NordVPN
Krypterar internetuppkopplingen för anställda som jobbar på distans eller öppet wifi, så att inloggningar och kunddata inte exponeras i onödan.
Passar: Företag där någon loggar in på adminpaneler, e-post eller FTP utanför kontoret.
Säkerhet & GDPR
WordPress-uppdateringar som återkommande säkerhetsrutin
De flesta WordPress-uppdateringar går bra. Det som ställer till det är när de görs utan återställningspunkt eller utan att någon testat att tillägget faktiskt fungerar med den nya versionen. Här är en rutin för kärna, tillägg och teman som går att upprepa varje månad.
Den här sidan hjälper dig som redan driver en WordPress-sajt att sätta en enkel, återkommande rutin för uppdateringar av kärna, tillägg och teman. Den handlar inte om att välja WordPress som plattform, utan om vad som bör göras på en sajt som redan finns, så att uppdateringar varken skjuts upp för länge eller görs på ett sätt som riskerar att sajten går sönder. WordPress.org:s egen dokumentation är tydlig med att uppdateringar bör göras med kontroll av kärna, teman och tillägg tillsammans med en säkerhetskopia före större förändringar, snarare än ad hoc när någon råkar lägga märke till en notis i adminpanelen.
Snabb triage: vem uppdaterar, när och vad händer vid avvikelse
Innan rutinen sätts på plats behöver tre saker vara tydliga, annars blir uppdateringar något "någon" antas sköta vid sidan av annat arbete.
- Ansvarig: en namngiven person som äger uppdateringsrutinen, inte "webbyrån" eller "IT" i allmänhet.
- Tidsgräns: säkerhetsuppdateringar installeras skyndsamt, medan övriga uppdateringar av kärna, tillägg och teman samlas till ett fast tillfälle, till exempel en gång i månaden.
- Vid avvikelse: om en uppdatering gör att något på sajten slutar fungera, eller om ett tillägg inte längre underhålls av utvecklaren, dokumenteras det och den ansvariga tar ställning till om tillägget ska bytas ut innan nästa uppdateringstillfälle.
Risk, åtgärd och kontrollbevis
Tabellen sammanfattar de risker som hör specifikt till uppdateringsrutinen, åtgärden och vad som går att spara som bevis på att den faktiskt genomförts.
| Risk | Åtgärd | Kontrollbevis | Källa |
|---|---|---|---|
| Föråldrad kärna, tillägg eller tema med känd sårbarhet | Installera säkerhetsuppdateringar skyndsamt enligt fast rutin | Datum och versionsnummer i en uppdateringslogg | NCSC |
| Uppdatering görs utan återställningspunkt | Ta en fullständig backup av filer och databas innan uppdatering | Tidsstämplad backup lagrad separat från sajten | WordPress.org |
| Ny version bryter ett tillägg på en komplex sajt | Testa uppdateringen i en staging- eller testmiljö först | Testprotokoll eller skärmbild från testmiljön före skarp uppdatering | WordPress.org |
| Snabb patchning görs utan avvägning mot test och återställning | Väg tidskritiska säkerhetsuppdateringar mot behovet av test, backup och möjlighet att återställa | Dokumenterat beslut om varför en uppdatering gjordes direkt eller testades först | IMY |
Rutinen i praktiken: kärna, tillägg och teman i tur och ordning
Gå igenom uppdateringarna i en fast ordning istället för att klicka igenom allt på en gång. Börja med WordPress-kärnan, eftersom den ligger till grund för att tillägg och teman ska fungera som väntat. Uppdatera sedan tillägg ett i taget, särskilt de som hanterar formulär, betalningar eller kunddata, eftersom det är där ett fel märks snabbast om något går snett. Teman uppdateras sist, och om sajten använder ett anpassat undertema bör det kontrolleras att uppdateringen inte skriver över egna ändringar.
Föråldrade tillägg är en av de vanligaste vägarna in för angripare, just för att sårbarheten redan är känd och dokumenterad offentligt när ett tillägg slutar uppdateras. Det är själva skälet till att uppdateringsrutinen behöver omfatta samtliga tillägg, inte bara kärnan, och till att ett tillägg som inte längre underhålls av utvecklaren bör bytas ut snarare än att lämnas kvar i väntan på nästa säkerhetslarm. För en sajt som är affärskritisk eller har flera tillägg som samverkar med varandra lönar det sig att först installera uppdateringen i en kopia av sajten, en staging- eller testmiljö, och kontrollera att formulär, kassaflöde och andra centrala funktioner fortfarande fungerar innan samma uppdatering görs på den skarpa sajten. En enklare sajt med få tillägg kan hantera en snabbare rutin, så länge en återställningspunkt finns på plats innan uppdateringen påbörjas.
Säkerhetskopia och återställningspunkt innan uppdatering görs skarpt
En backup som tas men aldrig testas är i praktiken en okänd storlek. Ta för vana att en fullständig säkerhetskopia, som täcker både filer och databas, alltid finns tillgänglig innan en uppdatering görs på den skarpa sajten, och att kopian går att återställa på riktigt, inte bara att den existerar som fil på en server. Backupen bör dessutom förvaras på en annan plats än sajten själv, så att den inte skadas eller försvinner tillsammans med sajten om något går fel under uppdateringen. Den testade backupen är samtidigt rutinens rollback-plan: går en uppdatering sönder är återställning av den senast bevisat fungerande kopian det snabbaste sättet tillbaka, snarare än att felsöka vidare på en skarp sajt som redan krånglar. Se backupstrategi för webbplats för hur backup, förvaring och återställning hänger ihop mer i detalj.
Om ni saknar rutin eller verktyg för att testa en återställning, eller om en uppdatering redan har gjort att sajten inte fungerar som den ska, är nästa steg att kontakta webbhotellet eller en utvecklare istället för att fortsätta klicka i adminpanelen. Se Skydda WordPress mot intrång med en enkel rutin för hur uppdateringsrutinen hänger ihop med behörigheter och backup i stort, och Hackad hemsida: steg för steg de första timmarna om ni misstänker att sajten redan är komprometterad.
En uppdatering som görs utan återställningspunkt är inte snabbare i praktiken, bara mer riskfylld. Ta en testad backup och, för komplexa sajter, kör uppdateringen i en testmiljö först. Säkerhetsuppdateringar installeras ändå skyndsamt, men det ena utesluter inte det andra.
Vanliga frågor
Hur ofta bör WordPress uppdateras?
Säkerhetsuppdateringar för kärna, tillägg och teman bör installeras skyndsamt, det är en av de åtgärder NCSC lyfter som mest central mot kända sårbarheter. Övriga uppdateringar kan samlas till ett fast, återkommande tillfälle där de testas innan de går skarpt.
Varför är föråldrade tillägg en vanlig väg in för angripare?
Ett tillägg som inte uppdaterats kan ha en känd sårbarhet som redan är dokumenterad offentligt, vilket gör den enkel att leta efter automatiskt. WordPress.org:s härdningsguide räknar därför uppdaterade tillägg och teman som en del av samma löpande säkerhetsarbete som kärnan, inte något som kan skjutas upp.
Räcker det att ta en backup innan man uppdaterar?
Nej, backupen måste också gå att återställa. WordPress.org:s guide för säkerhetskopiering pekar på att både filer och databas behöver ingå, och att kopian bör förvaras separat från sajten så att den inte skadas eller försvinner tillsammans med den om något går fel.
Måste uppdateringar testas i en separat miljö innan de görs skarpt?
För en sajt som är affärskritisk eller har flera tillägg som samverkar, ja. WordPress.org rekommenderar att testa uppdateringar där sajten är komplex, medan en enkel sajt med få tillägg kan hantera en snabbare rutin så länge en återställningspunkt finns på plats först.
