Voor veel gebruikers komen nieuwe WordPress-updates als een verrassing. Slechts weinigen volgen immers het releaseschema, zoals momenteel voor WordPress 5.8. Ook beschikbare updates voor plugins en themes zorgen vaak voor onzekerheid. Hoe je je WordPress systeem up-to-date kunt houden en welke updatestrategie succesvol is gebleken, legt Johannes Mairhofer vandaag uit. 

WordPress beveiliging

WordPress is wereldwijd het meest gebruikte content management systeem (CMS). Volgens w3techs wordt WordPress nu door 41 procent van alle websites gebruikt en de trend is stijgend. Het is vrij realistisch dat tegen 2025 de helft van alle websites gebaseerd zal zijn op WordPress. Door deze hoge verspreiding wordt WordPress ook interessant voor potentiële aanvallers. Dat komt omdat het uiterst zeldzaam is dat je persoonlijk door een mens wordt aangevallen. Dit gebeurt meestal via geautomatiseerde botnetwerken die het hele internet afspeuren naar bekende kwetsbaarheden en veiligheidslekken en deze misbruiken.

Om jezelf en je WordPress site te beveiligen, zijn er natuurlijk talrijke tools en tips die je ook hier in het magazine kunt vinden. Daarnaast is het ook belangrijk om je hele systeem up-to-date te houden en regelmatig updates uit te voeren. Ik zal je nu laten zien hoe je dat moet doen.

Updates in het WordPress Dashboard

Je kunt zien of je nog updates open hebt staan in je WordPress Admin Dashboard. Als je inlogt en er zijn updates beschikbaar, dan zie je dat aan de dubbele pijl die in een cirkel is veranderd boven in de statusbalk. Als je op dit icoontje klikt, krijg je een overzicht van de updates die in behandeling zijn en die je gemakkelijk kunt uitvoeren - in één keer of afzonderlijk.

In mijn voorkeursstrategie voor updates maak ik onderscheid tussen de updates van plugins- en themes en de updates van WordPress zelf. Waarom ik dat aanraad, zal in het volgende deel uitleggen.

WordPress themes

Over het algemeen geldt bij themes: minder is meer.

Naast het actieve theme zou je in het beste geval slechts één andere huidig standaard theme geïnstalleerd moeten hebben, die als "noodoplossing" gebruikt kan worden. Op die manier kan het systeem automatisch overschakelen op dit standaard theme als je huidige theme fouten veroorzaakt.

In mijn voorbeeldinstallatie kun je zien dat ik het thema "Neve" heb geactiveerd en gebruik. Daarnaast heb ik alleen het huidige standaard theme van WordPress "Twenty Twenty-One" geïnstalleerd. Als er fouten optreden met mijn eigenlijke theme "Neve" kan WordPress automatisch overschakelen naar "Twenty Twenty-One". 

Updates bij themes

Met WordPress themes adviseer ik je om alle uitgekomen updates direct te downloaden. Het risico dat een update hier tot ernstige schade leidt, is zeer klein en kan in ieder geval worden opgevangen door het standaard thema. Toch moet je voor elke update een back-up van je website maken, voor het geval er problemen zijn.

Belangrijk: Als je je theme aanpast en je wilt niet dat de wijzigingen verloren gaan tijdens een update, moet je zeker een Child Theme gebruiken. Wanneer je je WordPress themes bijwerkt, zullen alle themebestanden, inclusief je aanpassingen, overschreven worden.

WordPress plugins

WordPress is de laatste jaren enorm gegroeid en meestal is bijna alles wat je nodig hebt ingebouwd. Het kan echter gebeuren dat je een gewenste functie moet uitbreiden met een plugin. 

Net als bij WordPress themes geldt ook voor plugins: installeer alleen wat je echt nodig hebt en niet op een andere manier kunt oplossen. Want elke plugin opent een deur voor potentiële aanvallers. En natuurlijk bestaat elke plugin uit code, wat de site een beetje trager maakt.

Waar velen ook geen rekening mee houden: naast de twee genoemde punten "veiligheid" en "prestaties", die natuurlijk pleiten tegen het hebben van teveel plugins is er sinds enkele jaren nog een argument. Veel populaire plugins, zoals het contactformulier, zijn relevant voor de gegevensbescherming en moeten in het privacybeleid worden opgenomen. Wanneer je gebruik maakt van dergelijke plugins raad ik je zeker aan om intensief onderzoek te verrichten of zelfs contact op te nemen met een advocaat. 

Plugins installeren

Helaas worden plugins vaak in een opwelling geïnstalleerd en dan vergeten. Daarom wil ik hier kort bespreken wanneer het een goed idee is om plugins te installeren en waar je op moet letten:

Je moet plugins alleen installeren als...

• ...je niet zonder de functie kunt.
• ...de functie niet "in-house" via het WordPress systeem of je hoster uitgevoerd kan worden.
• ...je je bewust bent van de gevolgen op het vlak van gegevensbescherming.
• ...je bereid bent om regelmatige updates uit te voeren.

Als deze punten op jou van toepassing zijn, kun je nieuwe plugins installeren via je WordPress dashboard in de sectie Plugins → toevoegen.

Nu zie je een overzicht van alle beschikbare plugins. Met behulp van de sorteerfunctie bovenaan kun je bijvoorbeeld populaire, nieuwe of aanbevolen plugins uit de officiële WordPress plugin directory vinden. Als je niet zeker weet of een plugin veilig is, zijn er vier factoren die je als leidraad voor je beslissing kunt gebruiken. Ik zal je laten zien wat ze zijn met behulp van het contactformulier voorbeeld hierboven.

Voorbeeld contactformulier

Om dit te doen, voer je allereerst "Contactformulier" in het zoekveld in. Nu kom je op de pagina met de resultaten, die meer dan 5.000 passende plugins heeft gevonden. Laten we eens kijken naar Contact Form 7, een van de meest populaire WordPress plugins voor contactformulieren. 

Er zijn vier factoren die je helpen bij de beslissing of je een plugin wel of niet moet installeren:

1. De sterren zijn de beoordelingen van andere gebruikers. Vergelijkbaar met webwinkels of de app store van je smartphone besturingssysteem kun je hier zien hoe andere mensen de plugin hebben beoordeeld.
2. Het aantal installaties geeft aan hoe vaak de plugin al is geïnstalleerd. Een paar miljoen keer is een zeer goed teken van wijdverbreid gebruik. 
3. Last Updated laat zien wanneer de laatste update voor de plugin werd gepubliceerd. Hoe korter hoe beter, maar alles tot een half jaar zou ik als onproblematisch beschouwen als alle andere punten hier positief zijn. Dus bijvoorbeeld veel installaties en goede beoordelingen.
4. In het laatste punt kun je zien of de plugin compatibel is met je WordPress versie. Als je niet precies weet wat je doet, raad ik je sterk af om de plugin te installeren die niet compatibel is met je WP versie of vraag het aan de uitgever van de plugin.

Aan de hand van deze vier factoren kun je zien of je de plugin nodig hebt en of het een goed idee is om hem te installeren. Toch zou ik niet alleen alle onnodige plugins deactiveren, maar ook helemaal verwijderen. Als je de mogelijkheid hebt, kun je het beste eerst een nieuwe plugins testen in een Staging omgeving, voordat je deze activeert op je live website.

Updates bij plugins

Net als bij de themes hierboven, raad ik je aan om de beschikbare plugin-updates vrij snel na de release uit te voeren. Nogmaals, de kans op een ernstige fout is zeer klein. Als het toch gebeurt, kun je meestal gewoon de plugin uit de pluginmap verwijderen en je site zal weer in orde zijn. Je moet echter altijd een back-up van je website maken voordat je gaat updaten!

Sinds enige tijd biedt WordPress zelfs de optie om automatisch updates voor veel plugins te installeren. Of je hoster biedt managed WordPress hosting aan en verzorgt alle updates en back-ups voor jou.

Bij plugins met hoge downloadaantallen en goede beoordelingen zijn automatische updates meestal geen probleem. Voor plugins waar je niet zeker van bent, kun je de updates handmatig uitvoeren. Want hoewel de kans klein is, zijn er gevallen waarin fouten optreden tijdens de plugin updates. Bij een handmatige update zul je dit onmiddellijk merken, bij de automatische updates mogelijk pas later.

Naast tijdsbesparing bieden automatische updates echter het grote voordeel dat je plugins altijd op de nieuwste versie draaien en eventuele beveiligingslekken en kwetsbaarheden dus nooit lang open blijven staan. Als je je plugins handmatig bijwerkt en wacht met de update, staat je website langer bloot aan het risico van een aanval dan met automatische plugin updates.

WordPress Core Updates

Dit brengt ons bij het belangrijkste deel. Hoewel theme- en plugin-updates je wellicht slechts in beperkte mate beïnvloeden omdat je er maar een paar van hebt geïnstalleerd, zijn de updates voor het eigenlijke WordPress systeem, de zogenaamde "core updates", voor alle gebruikers relevant.

Bij WordPress updates is er een belangrijk onderscheid tussen minor updates (drie cijfers, bijv. WordPress 5.7.1) en major updates (twee cijfers, bijv. WordPress 5.8). Minor updates kunnen meestal zonder problemen worden doorgevoerd, omdat ze alleen kleine bugs verhelpen of kleine aanpassingen in bestaande features aanbrengen. Major updates daarentegen brengen grotere wijzigingen en nieuwe functies in de WordPress Core.

Het zal je misschien verbazen, maar vooral bij major WordPress updates raad ik je aan om minstens 10 dagen te wachten met updaten. De reden hiervoor is dat grote updates meer kans hebben op conflicten met plugins of themes die enorme bugs veroorzaken. Een voorbeeld van dergelijke compatibiliteitsproblemen veroorzaakt door een update was de sprong naar WordPress 5.0, omdat deze versie de nieuwe Gutenberg editor introduceerde, waar veel plugins en themes toen nog niet op voorbereid waren. Intussen hebben de fabrikanten van plugins en themes hun voorbeeld gevolgd en is compatibiliteit met de blok-editor nu standaard. 

Mijn tip: Wanneer er een major update wordt uitgebracht, houd dan de WordPress community in de gaten of vraag je host naar hun beoordeling. Op die manier kom je er vrij snel achter of een update van WordPress fouten veroorzaakt. Pas als je na 10 tot 14 dagen geen hints leest over defecte WordPress updates, kun je je systeem updaten. Zoals altijd geldt ook hier het belangrijke advies: maak eerst een back-up, en ga dan pas updaten!

Conclusie

Ondanks alle voorzorgsmaatregelen en risicobeperking kan het natuurlijk gebeuren dat er iets misgaat. Het is ook begrijpelijk als je geen tijd of zin hebt om deze problemen zelf aan te pakken. In dit geval zijn er gespecialiseerde managed WordPress hosters zoals Raidboxes die je kunnen helpen bij het beheer van je websites. Risico's kunnen bijvoorbeeld worden beperkt door geautomatiseerde back-ups, gemanagede updates en het besparen van plugins. 

Het is raadzaam om een update-strategie te hebben, uiterlijk vanaf het moment dat je website meer is dan alleen een hobby en altijd beschikbaar moet zijn. Premium hosting met beheerde back-ups en updates aan de hosterzijde stoot gevaren af en biedt geruststelling. Op die manier kun je je concentreren op het belangrijkste deel van je website: de inhoud.