Mở trang quản trị WordPress thấy một loạt số đỏ báo cập nhật, nhiều chủ website rơi vào thế khó: bấm thì sợ vỡ web, không bấm thì sợ bị hack. Cả hai nỗi lo đều đúng, nhưng có cách làm để giảm cả hai. Bài này đưa quy trình 5 bước chúng tôi dùng khi cập nhật WordPress, plugin và giao diện, giải thích cái gì nên để tự động, cái gì nên làm tay, và WordPress đã có sẵn những lưới an toàn nào.
Vì sao phải cập nhật, và vì sao không nên bấm hết một lượt
Tài liệu quản trị của WordPress khuyên luôn dùng phiên bản mới nhất, vì bản cũ thiếu các bản vá bảo mật và lỗ hổng của nó đã được công bố công khai, ai cũng tra được. Lõi WordPress, plugin và giao diện đều có lúc bị phát hiện lỗ hổng; thứ nào lâu ngày không cập nhật sẽ thành cửa ngõ cho kẻ xấu.
Nhưng mỗi bản cập nhật cũng là một thay đổi. Plugin bán hàng đổi cách tính phí giao hàng, trình dựng trang đổi cách hiển thị, hai plugin cũ không còn hợp nhau: bấm “cập nhật tất cả” lúc 9 giờ sáng thứ Hai là cách nhanh nhất để biết điều đó từ khách hàng. Vì vậy cần một quy trình, không phải sự can đảm.
Quy trình 5 bước
- Sao lưu và chắc chắn bản sao lưu dùng được. Sao lưu cả tệp và cơ sở dữ liệu, cất ở nơi khác máy chủ website. Tài liệu WordPress nói rõ: không có bản sao lưu toàn bộ trước khi cập nhật thì gần như không thể quay lại được.
- Đọc trước khi bấm. Xem nhật ký thay đổi của từng bản: bản vá bảo mật thì làm sớm; bản lớn (đổi số đầu, ví dụ 8.x lên 9.0) của plugin quan trọng thì đọc kỹ phần thay đổi. Xem thêm phiên bản PHP tối thiểu và bản WordPress plugin đã được thử.
- Thử trên bản sao trước với website quan trọng. Website bán hàng, nhận đặt lịch nên có một bản sao (staging) để cập nhật thử. Nhiều nhà cung cấp hosting có nút tạo bản sao sẵn.
- Cập nhật từng nhóm, vào giờ vắng khách. Bản WordPress lõi trước, rồi plugin từng cái một (plugin lớn như bán hàng, trình dựng trang, đa ngôn ngữ làm riêng), giao diện sau cùng. Sau mỗi nhóm, tải lại trang chủ một lần. Có lỗi thì biết ngay do cái vừa cập nhật.
- Kiểm tra sau cập nhật. Mở trang chủ, một trang dịch vụ, gửi thử biểu mẫu liên hệ, thêm thử sản phẩm vào giỏ (nếu có), xem trên điện thoại. Mở trang Tình trạng website trong khu quản trị xem có cảnh báo mới không. Ghi lại ngày cập nhật và danh sách đã cập nhật.
Cái gì để tự động, cái gì làm tay
WordPress có cập nhật tự động chạy nền từ bản 3.7: mặc định các bản vá nhỏ của lõi (ví dụ 7.1.1 lên 7.1.2) được tự cài, và với website cài mới từ bản 5.6 thì cả bản lớn cũng tự cài. Từ bản 5.5, bạn bật hay tắt tự động cho từng plugin bằng liên kết “Bật cập nhật tự động” ở trang Plugin đã cài đặt; mặc định plugin và giao diện không tự cập nhật.
| Loại | Gợi ý | Lý do |
|---|---|---|
| Bản vá nhỏ của WordPress lõi | Để tự động | Chủ yếu vá lỗi và bảo mật, ít thay đổi giao diện |
| Bản lớn của WordPress lõi | Làm tay theo 5 bước | Có tính năng mới, có thể ảnh hưởng giao diện, plugin |
| Plugin nhỏ, ít liên quan nhau (chống spam, sao lưu) | Có thể để tự động | Rủi ro thấp, lợi ích bảo mật cao |
| Plugin bán hàng, trình dựng trang, đa ngôn ngữ | Làm tay, thử trước | Đụng tới đơn hàng, bố cục, nội dung toàn website |
| Giao diện (theme) và theme con | Làm tay | Thay đổi hiển thị trực tiếp; chỉnh sửa phải nằm ở theme con để không mất |
| Plugin không còn được cập nhật nhiều năm | Thay thế hoặc gỡ | Không ai vá lỗ hổng khi bị phát hiện |
Plugin đã tắt nhưng chưa xoá vẫn nằm trên máy chủ và vẫn có thể bị khai thác, nên plugin không dùng thì xoá hẳn. Danh sách plugin càng ngắn, mỗi lần cập nhật càng nhẹ.
Lưới an toàn có sẵn trong WordPress
- Chế độ khôi phục (từ bản 5.2): khi một plugin hay giao diện gây lỗi nghiêm trọng, WordPress gửi email tới địa chỉ quản trị kèm đường dẫn đặc biệt để vào trang quản trị với thứ gây lỗi đã được tạm dừng. Vì vậy email quản trị phải là hộp thư bạn đọc thường xuyên.
- Tự quay lại bản cũ khi cập nhật tay thất bại (từ bản 6.3): nếu quá trình cập nhật plugin hay giao diện bị lỗi giữa chừng, WordPress khôi phục bản đã cài trước đó.
- Tự quay lại khi cập nhật tự động làm hỏng web (từ bản 6.6): sau khi tự cập nhật một plugin, WordPress kiểm tra trang chủ; nếu gặp lỗi nghiêm trọng thì khôi phục bản cũ và gửi email báo cho quản trị.
Các lưới này chỉ bắt được lỗi làm sập trang. Lỗi “êm” như form không gửi được, giá tính sai, bố cục lệch trên điện thoại vẫn cần người kiểm ở bước 5. Không có lưới nào thay được bản sao lưu.
Bỏ cập nhật nhiều tháng là con đường quen thuộc dẫn tới bị xâm nhập; nếu đã lỡ, xem bài Website bị hack: dấu hiệu và việc cần làm ngay, và đọc thêm Bảo mật đăng nhập WordPress: 6 việc nên bật để khoá cửa còn lại. Khi nhận bàn giao website mới, hãy kiểm tra sao lưu tự động đã chạy chưa theo bài 12 điểm kiểm tra trước khi nhận bàn giao website. Nếu bạn không có thời gian tự làm, xem trang Lưu trữ và bảo trì website.
Tóm lại
- 5 bước: sao lưu và kiểm bản sao lưu, đọc nhật ký thay đổi, thử trên bản sao với website quan trọng, cập nhật từng nhóm, kiểm tra lại các chức năng chính.
- Để tự động bản vá nhỏ của lõi và plugin nhỏ; làm tay bản lớn, plugin bán hàng, trình dựng trang, giao diện; gỡ plugin bỏ hoang.
- WordPress có chế độ khôi phục và tự quay lại bản cũ khi cập nhật lỗi, nhưng chỉ bắt lỗi sập trang; bản sao lưu vẫn là lưới cuối cùng.