Man met vinger op laptop toets met waarschuwing op sherm van gevaar

BLOG

Wordpress met tandwielen belangrijk voor het up-to-daten houden van Wordpress

WordPress Auto-Updates: Wat heb je te verliezen?

Wordpress auto-updates

Wordpress 5.5 staat gepland voor 11 augustus 2020. Hierin zit een nieuwe functie die het mogelijk maakt om plug-ins en thema’s automatisch bij te werken. In deze kernrelease van ‘s werelds populairste contentmanagementsysteem zullen site-eigenaren de mogelijkheid hebben om automatische updates voor individuele plug-ins en thema’s rechtstreeks vanuit het WordPress-dashboard in te schakelen.

In deze blog kijken we naar wat er gebeurt bij een automatische update. Waarom de kern van WordPress deze functie toevoegt en de voordelen en valkuilen van automatische updates. Daarnaast de drie verschillende benaderingen die een site-eigenaar kan volgen, en de algemene aanbevelingen van het Wordfence-team om de veiligheid en betrouwbaarheid van je WordPress-websites te garanderen.

Wat gebeurt er tijdens een Wordpress auto-update?

Auto-updates voor plug-ins en thema’s worden standaard uitgeschakeld bij de release, wat betekent dat auto-updates niet automatisch worden ingeschakeld wanneer WordPress 5.5 wordt uitgerold. Site-eigenaren zullen het thema of het dashboard van de plug-in moeten bezoeken om auto-updates in te schakelen en te kiezen welke pakketten automatisch worden bijgewerkt wanneer er een nieuwe versie van de plug-in of het thema beschikbaar is. Site-eigenaren kunnen ervoor kiezen om auto-updates in te schakelen voor alle geïnstalleerde plug-ins, om een aantal van hun plug-ins automatisch te updaten, of om geen auto-updates in te schakelen voor welke plug-ins dan ook.

WordPress Auto-Updates
Auto-update optie is een nieuwe functie die beschikbaar is in WordPress 5.5

Auto-updates in WordPress 5.5 hebben alleen een uit- of aan mogelijkheid. Site-eigenaren kunnen niet kiezen om verschillende soorten updates te selecteren, zoals alleen het toepassen van beveiligingsupdates, of alleen het bijwerken van kleine releases.

Updates zullen twee keer per dag door het wp-cron proces worden getriggerd. Als het proces vaststelt dat er plug-ins of thema’s met beschikbare updates zijn, zal de nieuwe versie van de plug-in of het thema worden gedownload en automatisch op de site worden geïnstalleerd. Het maakt dan niet uit of het gaat om een kleine beveiligingsfix of een grootschalige functie-update,  Updates komen alleen voor als de automatische updates zijn ingeschakeld voor die specifieke plug-in of dat thema.

Deze automatische updates zijn wat operations engineers noemen “onbeheerde updates”, wat betekent dat de code van plug-ins en thema’s worden bijgewerkt en ingezet zonder dat de eigenaar van de site meedoet. Ze kunnen worden getriggerd terwijl een site-eigenaar op de site aan het publiceren is. Ze kunnen ‘s nachts worden getriggerd als een site-eigenaar slaapt, of overdag als de site-eigenaar midden in een belangrijke vergadering zit. De site-eigenaar ontvangt een e-mail dat er updates hebben plaatsgevonden, maar als hij die e-mail mist, weet hij dat misschien pas als hij weer inlogt en een nieuwe versie van de bijgewerkte plug-in of het bijgewerkte thema ziet.

Dit markeert een grote verschuiving vergeleken met de bijgewerkte updates die op dit moment nodig zijn in WordPress. Op dit moment vereist elke plug-in en thema-update dat de eigenaar of beheerder van de site het updateproces start om een nieuwe versie van een plug-in of thema te downloaden en te installeren.

In zeldzame gevallen hebben sommige plug-ins auto-updates ingebouwd en worden ze al automatisch bijgewerkt. Wordfence is een van deze plug-ins. Wordfence biedt al enkele jaren een optionele auto-update functie aan om onze klanten veilig te houden.

Waarom voegt WordPress de mogelijkheid tot Automatisch Updaten toe?

Een van de meest productieve vectoren van WordPress-malware-infecties is de aanwezigheid van kwetsbaarheden in verouderde plug-ins, thema’s en minder vaak de WordPress-kern. Door geautomatiseerde updatefuncties toe te voegen aan WordPress-plug-ins en -thema’s in de WordPress 5.5-core-release, probeert het kernteam de veiligheid van WordPress-installaties over de hele linie te verbeteren en het onderhoud gemakkelijker te maken voor site-eigenaren. In plaats van regelmatig in te loggen op uw WordPress site om de vereiste plug-ins en thema-updates uit te voeren, zal uw site “onbeheerd” updates uitvoeren wanneer er updates voor geïnstalleerde plug-ins en thema’s beschikbaar worden gesteld binnen de WordPress repository.

Vorig jaar heeft de kern van WordPress fatale foutbescherming toegevoegd aan de ingebouwde site diagnose van de WordPress-site. Wanneer een fatale fout optreedt, bepaalt de fatale foutbescherming welke plug-in de fatale fout heeft veroorzaakt. Er gaat automatisch een e-mail naar de beheerder van de site. Als actie kunnen ze nu het probleem op de site oplossen om de problematische plug-te deactiveren en zo te proberen het probleem op te lossen. De toevoeging van deze functie gaf het WordPress-kernteam waarschijnlijk het vertrouwen dat de risico’s van auto-updates gemakkelijk zouden worden beheerd door fatale foutbeveiliging.

Geautomatiseerde updates een goede zaak?

In het algemeen is onze filosofie dat het verstrekken van geautomatiseerde updates een goede zaak is voor een subset van WordPress-sites. Blogs en informatieve of promotionele sites die vaak maanden of jaren onbeheerd kunnen blijven, lopen een groter risico om te worden gehackt via verouderde plug-ins of thema’s. Voor deze sites weegt het risico om gehackt te worden zwaarder dan het risico dat een automatische update misgaat. Voor andere soorten sites kunnen automatische updates echter problemen opleveren.

Problemen en valkuilen van geautomatiseerd updaten

Het onbeheerd automatisch bijwerken van een willekeurige update is niet zonder problemen.  En WordPress-thema’s en plug-ins zijn in dit opzicht niet uniek. Zelfs handmatig updates kunnen problemen opleveren. Wanneer de gezondheid en veiligheid van uw site op het spel staan, is het nemen van een geïnformeerde beslissing van cruciaal belang. Daarom hebben we enkele scenario’s ontwikkeld waarbij auto-updates potentiële problemen kunnen veroorzaken, zoals uitval van de site, datacorruptie, kwaadaardige inhoud, naast andere ongewenste effecten.
Niet al deze scenario’s kunnen van invloed zijn op je WordPress-site. Hieronder vindt je enkele voorbehouden om in gedachten te houden bij het bepalen van het risiconiveau waarmee je organisatie te maken krijgt door auto-updates in te schakelen.

Risico’s bij auto-updates.

  • Gelijktijdige auto-updates kunnen mislukken. Als een aantal plug-ins binnen een paar uur updates hebben en wp-cron triggert ze allemaal tegelijk om auto-update uit te voeren, kan dit leiden tot het mislukken op een server waar de middelen overbezet zijn. Als een getriggerde auto-update om welke reden dan ook mislukt, kan de site fatale foutmeldingen krijgen. In zeldzame gevallen kunnen plug-ins worden gedeactiveerd of kan een site offline worden gehaald of vast komen te zitten in de onderhoudsmodus.
  • Er kunnen problemen worden geïntroduceerd die de functionaliteit van de site beperken zonder dat de eigenaar van de site daarvan op de hoogte is. Bijvoorbeeld, laten we zeggen dat je een WooCommerce winkel hebt. En niet ondenkbeeldig dat je WooCommerce ondersteunende plug-ins een auto-update doen terwijl je op vakantie bent. Na het automatisch bijwerken van deze plug-ins  wordt het afrekenen van producten op uw site onmogelijk. Het is augustus. Je hebt meestal een seizoensgebonden vertraging als veel mensen op vakantie zijn. Dus de daling van de verkoop is niet onverwacht. Ondertussen functioneert uw e-commerce site in wezen niet goed en wordt je vakantie onderbroken wanneer een klant je dagen later meldt dat er niet bestelt kan worden.
  • Moeilijkheid om te bepalen wat er is veranderd. Wanneer een probleem zich voordoet in IT-operaties, is de eerste vraag die men zich moet stellen wanneer men probeert het probleem op te lossen “Wat is er veranderd?” Als je twee of meer onbeheerde updates hebt die zijn opgetreden, zijn er meerdere dingen veranderd en kan het veel moeilijker worden om de hoofdoorzaak van het probleem te isoleren.
  • Kwetsbaarheden kunnen worden geïntroduceerd met nieuwe functies. Met een recente update van de wpDiscuz-plug-in hebben nieuwe functies nieuwe kwetsbaarheden geïntroduceerd die meer dan 80.000 WordPress-sites troffen. Als je als organisatie een review doet op een update van een plug-in code die wordt ingezet op je productie WordPress site, blokkeert auto-updating de mogelijkheid om deze code review te doen en mogelijk kwetsbaarheden op te vangen voordat ze worden ingezet.
  • Grote versies kunnen compatibiliteitsproblemen hebben. Af en toe zal een leverancier een grote release uitbrengen die belangrijke wijzigingen aanbrengt in de code, of in de database, of in beide. Deze releases met een hoger risico kunnen problemen opleveren, zoals we hebben gezien met plug-ins die een grote installatiebasis hebben, zoals Yoast en Jetpack. In april 2020 bracht de populaire SEO plug-in Yoast SEO versie 14.0 uit. Een belangrijke versie, die de manier waarop informatie in de WordPress-database wordt opgeslagen, werd gereconstrueerd. We spraken over de aankomende grote update met Yoast CEO Marieke van de Rakt en COO Michiel Heijmans op WordCamp US afgelopen najaar. Deze grote update zorgde ervoor dat sommige sites problemen hadden die onmiddellijke aanpassingen (patching) vereisten. Voor grote plug-in-releases kan het zinvol zijn om een “afwachtende” benadering te volgen om er zeker van te zijn dat de release stabiel is voordat deze wordt uitgerold. Auto-updates verwijderen je mogelijkheid om deze aanpak te volgen.
  • QA middelen variëren tussen de plug-ins. Sommige plug-ins hebben grote teams van ontwikkelaars en software kwaliteitsborging (SQA of QA) ingenieurs achter zich. Andere plug-ins hebben kleinere teams of worden aangedreven door een enkele ontwikkelaar die een hobbyist kan zijn. Het inschakelen van auto-updates voor plug-ins met grotere teams is een lager risico, omdat het eigen QA-team van de plug-in een uitgebreide testdekking heeft geleverd en het risico dat er iets misgaat met de release aanzienlijk heeft verminderd. Plug-ins met individuele ontwikkelaars die geen QA middelen hebben, moeten worden beschouwd als een hoger risico vanwege het gebrek aan testdekking of het ontbreken van testen in zijn geheel.
  • Gebrek aan “kanaries” die op problemen kunnen worden getest. Kanarische updates rollen een code uit naar een klein percentage van de sites om te controleren op problemen. Chroom/Chroom gebruikt dit model om de grotere installatiebasis te beschermen tegen catastrofale problemen. Als er geen problemen worden gedetecteerd, rolt de update uit naar de rest van de sites. WordPress heeft dit systeem niet ingebouwd in auto-updates in versie 5.5. En dus wordt de auto-updates voor een plug-in roll out op hetzelfde moment naar de gehele gebruikerspopulatie verzonden. Dit biedt geen vroegtijdig waarschuwingssysteem dat een catastrofaal probleem met een plug-in aan het licht brengt. Als je een missie kritische website uitvoert, kunt je het proces van de “kanarie-uitgave” nabootsen door een paar dagen te wachten voordat je een update uitvoert, voor niet-veiligheidsgerelateerde uitgaven. Dit kan een reden zijn om auto-updates uit te schakelen, afhankelijk van uw specifieke behoeften.
  • Gebrek aan “kanaries” die op problemen kunnen worden getest. Kanarische updates rollen een code uit naar een klein percentage van de sites om te controleren op problemen. Chroom/Chroom gebruikt dit model om de grotere installatiebasis te beschermen tegen catastrofale problemen. Als er geen problemen worden gedetecteerd, rolt de update uit naar de rest van de sites. WordPress heeft dit systeem niet ingebouwd in auto-updates in versie 5.5. En dus wordt de auto-updates voor een plug-in roll out op hetzelfde moment naar de gehele gebruikerspopulatie verzonden. Dit biedt geen vroegtijdig waarschuwingssysteem dat een catastrofaal probleem met een plug-in aan het licht brengt. Als je een missie kritische website uitvoert, kunt je het proces van de “kanarie-uitgave” nabootsen door een paar dagen te wachten voordat je een update uitvoert, voor niet-veiligheidsgerelateerde uitgaven. Dit kan een reden zijn om auto-updates uit te schakelen, afhankelijk van uw specifieke behoeften.
kanarie in kooi

Auto-updates klinkt alsof het problemen heeft. Echt waar?

Met al deze valkuilen zijn er vanzelfsprekende vragen over het al dan niet inschakelen van auto-updates een goede oplossing. De grootste vraag die je zou kunnen hebben is: waarom Wordfence en andere beveiligingsexperts aanraden om plug-ins up-to-date te houden als een snelle update zoveel problemen zou kunnen introduceren?

Op dit moment wordt bijna elke update die je uitvoert op je site gedaan als een bijgewerkte update. Dit betekent dat je de update initieert, je weet wanneer je site is geüpdatet, je kunt de changelog van de ontwikkelaar lezen om te bepalen of het al dan niet een kritieke beveiligingsupdate is, een bug fix-update, of een grote release-update waarop je misschien wilt wachten. Je kunt uw site ook testen na elke plug-in-update, en de kans is groter dat je de bron van eventuele problemen die door een problematische plug-in-update worden geïntroduceerd, kunt vaststellen.

Door het gebruik van onbeheerde auto-updates, verliest je die controle en menselijke intelligentie wanneer een update plaatsvindt.

We introduceerden enkele jaren geleden auto-updates voor de Wordfence plug-in. We deden dit omdat het, als een veiligheidsplug-in, van cruciaal belang is dat onze gratis en betaalde klanten de nieuwste bedreigingsinformatie en beveiligingsmogelijkheden op hun site hebben. Voordat we auto-updates inzetten in onze eigen plug-in, hebben we veel tijd en energie gestoken in het verzekeren van ons QA-team en QA-proces, dat ongelooflijk robuust was, met een brede en diepe testdekking.

We hebben onze plug-in getest op een groot aantal hostingplatforms en met een groot aantal configuraties voordat we enige code vrijgaven. Een goede test door het nabootsen via het kanarische vrijgaveproces door de plug-in op een breed scala op systemen te laten draaien voordat deze werd uitgerold naar de gehele gebruikerspopulatie. Toen we eenmaal tevreden waren dat het automatisch updaten van de Wordfence-plug-ins van onze kant weinig risico’s met zich meebracht, hebben we deze functie ingezet. Sindsdien hebben we geen noemenswaardig probleem meer gehad, terwijl onze klanten hebben geprofiteerd van automatische updates van hun bedrijfskritische beveiligingsplug-in.

We blijven zwaar investeren in ons QA-team, de infrastructuur en de processen om het risico op automatische updates zeer laag te houden.

De drie benaderingen.

Wij zijn van mening dat je een geïnformeerde keuze moet maken over WordPress plug-in auto-updates, met kennis van de voordelen en de valkuilen.
Er zijn drie manieren waarop je auto-updates kunt benaderen:
1. Zet auto-update aan voor alle plug-ins.
2. Schakel auto-update in voor sommige plug-ins.
3. Schakel de auto-update uit voor alle plug-ins.

Welke update-strategie is geschikt voor jou?

WordPress is populair omdat WordPress zo flexibel is. Je kunt een site hebben die een applicatie op bedrijfsniveau is met miljoenen gebruikers, een learning management systeem met honderden gebruikers of een niche lidmaatschapssite. WordPress maakt het site eigenaren en/of bedrijven op oneindig veel manieren mogelijk. Je update-strategie is afhankelijk van je specifieke omstandigheden en behoeften.

Om je te helpen bij het nemen van beslissingen hebben we persona’s ontwikkeld die verschillende soorten WordPress-sites en site-eigenaren vertegenwoordigen, om je te helpen een geïnformeerde beslissing te nemen over je auto-update-strategie. Bij elke persona hoort een ander niveau van risicotolerantie, en daarmee een andere benadering van het mogelijk maken van auto-updates.

Hobbyist/Blogger

WordPress Auto-Updates

Je hebt een site ontwikkeld om te schrijven over iets wat je dierbaar is, maar je meldt je bijna nooit aan, je onderhoudt je plug-ins niet actief en je vertrouwt erop dat de Wordfence firewall alleen maar kwaadaardige aanvallen gaat blokkeren. Je werkt de plug-ins willekeurig bij op één dag om de paar maanden als je je aanmeldt.
Voor deze Hobbyist WordPress-gebruiker raden wij je aan auto-updates voor alle thema’s en plug-ins aan te zetten.

Waarom?
– Het risico is lager omdat je niet op uw WordPress site vertrouwt voor inkomsten of diensten.
– Je controleert uw site niet zo vaak, dus auto-updates zorgen ervoor dat uw site up-to-date blijft, wat de veiligheid verbetert.
– De kosten van een auto-update die invloed heeft op uw gebruikers is laag. Het ergste geval is dat uw inhoud voor een bepaalde tijd ontbreekt totdat je het probleem ontdekt en repareert.

Voor kleine bedrijven

WordPress Auto-Updates

Een bureau heeft je geholpen bij het ontwerpen van uw site, maar je voert zelf het onderhoud en de updates van je site uit. Je werkt je site niet veel bij en logt zelden in. Als je site voor korte tijd niet beschikbaar is, wordt dat door weinig mensen opgemerkt en dient je site vooral als marketinginstrument.

Voor de gebruiker van Kleine bedrijven Brochureware WordPress raden wij aan om de automatische updates voor alle thema’s en plug-ins aan te zetten.

Waarom?
– Het risico is gematigd omdat je niet direct op uw WordPress site vertrouwt voor inkomsten of diensten, maar voor marketing.
– Je controleert uw site niet zo vaak, dus auto-updates kunnen ervoor zorgen dat je site up-to-date blijft, wat de veiligheid ten goede komt.
– De impact op de gebruiker in het geval van downtime is laag. Het ergste geval voor gebruikers is dat je marketingcontent voor een bepaalde tijd ontbreekt. Hoewel er een probleem kan ontstaan met een auto-update plug-in, is het in het grotere geheel van de dingen belangrijker dat je plug-ins geüpdatet blijven om de veiligheid en stabiliteit te verbeteren.

Kleinzakelijke E-commerce

WordPress Auto-Updates

Je site is een integraal onderdeel van uw bedrijf. Het neemt bestellingen en betalingen van klanten aan of heeft andere interactieve elementen zoals een lidmaatschapssite, een learning managementsite of andere interactieve commerciële elementen die ervoor zorgen dat de database van je site regelmatig verandert. Je meldt zich regelmatig aan op het admin-dashboard en je voert uw eigen bijgewerkte versies uit.

Voor de Small Business Ecommerce WordPress-gebruiker raden wij aan om de auto-updates voor thema’s en plug-ins selectief aan te zetten, en alleen in zeldzame gevallen. Als je er zeker van bent dat een plug-in-verkoper een robuust QA-team en -proces heeft, en een sterke reputatie voor het vrijgeven van solide code, dan kunt je overwegen om auto-updates in te schakelen voor de plug-ins van die verkoper. Als je dit doet, kunt je profiteren van een snelle update voor releases die mogelijk beveiligingsfixes bevatten.

We raden je aan om door te gaan met het uitvoeren van bijgewerkte updates op plug-ins die geen sterk QA-team en -proces hebben. In deze gevallen wilt je misschien wachten om te bepalen of de release problematisch is voordat je gaat updaten. Je voert ook een bijgewerkte update uit, die ervoor zorgt dat je aanwezig bent en de prestaties van je site observeert, zodat je problemen vroegtijdig kunt opsporen en snel kunt verhelpen.

Waarom?
– Het risico is groter omdat je direct op je WordPress site vertrouwt voor inkomsten en diensten. Je wilt dus voorzichtig zijn met het implementeren van auto-updates, zodat het geen invloed heeft op je inkomsten.
– Je logt vaak in en controleert je site vaker. Dus auto-updates zijn niet zozeer nodig, mits je nog steeds op tijd bijwerkt.
– Houd er rekening mee dat de plug-ins via auto-update zullen worden bijgewerkt zonder dat je aanwezig bent. Als je het team achter de plug-in vertrouwt om op verzoek kwaliteitscode op uw site te implementeren, dan is het inschakelen van auto-updates voor die plug-in nog steeds gepast.

Agentschappen of bedrijven met veel vestigingen

WordPress Auto-Updates

Je beheert sites voor tal van klanten en je hebt operationeel personeel, QA-personeel en QA-processen om bijgewerkte updates uit te voeren en te testen op problemen voordat je nieuwe code inzet. Alle sites onder jouw hoede worden beschouwd als mission-critical.
Als dit jouw situatie is, raden wij je aan om GEEN gebruik te maken van auto-updates zoals die worden geïmplementeerd in versie 5.5.

Waarom?
– Het risico is veel groter, omdat jij of je klanten rechtstreeks vertrouwen op de WordPress-sites die voor je inkomsten en diensten zorgen. Je wilt dus voorkomen dat je auto-updates gebruikt, zodat het geen invloed heeft op jouw inkomsten of die van je klanten.
– Je onderhoudt elke WordPress-site actief en beschikt over de middelen om dit te doen. Je werkt de WordPress-kern, de plug-ins en de thema’s al bij zodra dat mogelijk is.
– De impact op de gebruiker is kostbaar. Gebruikers van de website kunnen problemen ondervinden bij het doen van aankopen of het aanmelden voor diensten.

Onderneming

WordPress Auto-Updates

Je hebt staging-servers, ontwikkelingsservers en je voert code reviews uit op nieuwe plug-ins om te zoeken naar potentiële kwetsbaarheden die in alle updates zijn geïntroduceerd voordat ze worden uitgerold. Niets komt op productieservers terecht zonder rigoureus te worden getest door een r QA-team. Je processen zijn gebouwd voor 24/7 beschikbaarheid en je hebt de middelen en het team om alles eerst te beoordelen.
Als zakelijke gebruiker raden wij je aan GEEN onbeheerde auto-updates te gebruiken in de huidige implementatie.

Waarom?
– Het risico is het grootst omdat jouw WordPress-website missiekritisch is.
– Je QA team evalueert en test snel nieuwe plug-in releases in je staging omgeving. Auto-updates zouden deze stap verwijderen.
– Je operationeel team zet snel goed geteste code in productie met behulp van bijgewerkte updates. Auto-updates verwijderen dit proces.
– De bedrijfsimpact van een website verstoring is extreem. Klanten kunnen problemen ondervinden bij het doen van aankopen, het aanmelden voor diensten of het verkrijgen van toegang tot uw content en bronnen.

Hoe te beginnen met het gebruik van Auto-Updates.

WordPress 5.5 is een voorlopige implementatie van auto-updates, en is nuttig voor een deelverzameling van sites. We verwachten wel een verdere ontwikkeling van auto-update tools, misschien zelfs met de toevoeging van bèta-, alfa- en kanarie-releases om meer functionaliteit en betrouwbaarheid toe te voegen aan het auto-update proces.
We hopen dat deze discussie inzicht heeft gegeven in de nieuwe auto-update functie in WordPress 5.5 en je zal begeleiden bij het maken van een geïnformeerde beslissing.
En zorg dat er altijd een up-to-date back-up is. Dan kun je als het fout gaat de schade nog hertsellen.

Dit bericht is geplaatst in WordPress Security op 6 augustus 2020 door Matt Barry

Dank aan Chloe Chamberland, Ram Gall, Matt Rusnak en Kathy Zant voor hun onderzoek en bijdragen aan deze blog.

Bron(nen):

Wordfence.com


Bewerkt en vertaald naar Nederlands

Wellicht ook interessant:
Regel 1. Back-up je website. Veiligheid voor alles.

Leuk of leerzaam artikel? Deel het!

Cees van Stam

Wordpress onderhoud & Design