Una delle domande più frequenti che ci pongono i proprietari di WordPress è ogni quanto vadano aggiornati i plugin. La risposta onesta è che dipende dal sito, ma il quadro per decidere è lo stesso su ogni sito. Scegli il calendario adatto al tuo profilo di rischio, alla tua capacità e al tipo di plugin che usi. Poi impegnati a rispettarlo. Il peggior calendario è nessun calendario.
L’argomento a favore degli aggiornamenti settimanali
Un calendario settimanale è lo standard di riferimento per qualsiasi sito in cui contino la sicurezza o i ricavi. Tiene breve la finestra tra la divulgazione di una vulnerabilità e un sito aggiornato, di solito meno di sette giorni. La maggior parte delle campagne di sfruttamento automatizzato avviene entro quella finestra.
Settimanale è la cadenza giusta per i siti di e-commerce, i siti che gestiscono dati personali, i siti con traffico significativo e i siti già compromessi in passato. L’attrito è minimo. Un manutentore esperto può smaltire una settimana di aggiornamenti in circa 30 minuti, backup compreso, test in staging per le modifiche rischiose e uno smoke test finale.
L’argomento a favore degli aggiornamenti mensili
Mensile è la cadenza più comune per i siti WordPress delle piccole imprese. Trova un equilibrio ragionevole tra sicurezza e tempo necessario a testare come si deve. Per siti con venti plugin o meno e senza commercio a scadenze critiche, il mensile funziona bene.
Il problema del mensile è che la finestra tra divulgazione e patch può allungarsi fino a quasi un mese. Per la maggior parte dei plugin va bene. Per un plugin con un avviso di esecuzione di codice da remoto non autenticata, è troppo lunga. Il mensile funziona solo se include aggiornamenti fuori ciclo per gli avvisi davvero critici.
Perché «all’occorrenza» non è un calendario
«All’occorrenza» suona responsabile. In pratica è di solito un eufemismo per «mai». Senza un orario ricorrente sul calendario, il lavoro viene rimandato al giorno in cui qualcuno nota un problema. A quel punto il sito è indietro di mesi.
Se l’unica cosa che tiene aggiornato il tuo sito WordPress è la tua attenzione alle email di notifica dei plugin, il sistema ha già fallito. La maggior parte dei proprietari tiene quelle email in una cartella che non legge mai.
Gli aggiornamenti automatici come base
Da WordPress 5.5, gli aggiornamenti automatici dei plugin possono essere attivati plugin per plugin dall’amministrazione. Per plugin a basso rischio su un sito dove i test in staging non sono pratici, attivare gli aggiornamenti automatici è meglio di nessun calendario. Il plugin si aggiorna automaticamente non appena viene pubblicata una nuova versione, senza nessuno nel processo.
Il compromesso è che gli aggiornamenti automatici non testano prima in staging. Se un aggiornamento rompe il sito, lo scopri in produzione. Per un blog personale è accettabile. Per un sito e-commerce è rischioso.
Lo schema sensato è ibrido. Aggiornamenti automatici attivi per i plugin di sicurezza di routine che raramente danno problemi. Aggiornamenti manuali con test in staging, a cadenza settimanale o mensile, per i plugin più complessi come piattaforme di e-commerce, page builder e integrazioni.
Aggiornamenti fuori ciclo
Qualunque sia il tuo calendario normale, alcuni avvisi richiedono attenzione immediata. Una vulnerabilità critica sfruttata attivamente in circolazione non può aspettare la finestra programmata di martedì prossimo. Il calendario deve includere un percorso per gli aggiornamenti fuori ciclo, con una regola chiara su cosa vi rientra e su chi ha l’autorità di applicarli con breve preavviso.
Iscriviti ai feed di avvisi di sicurezza dei plugin che usi. Wordfence, Patchstack e WPScan pubblicano avvisi quasi in tempo reale. Se non hai tempo di leggerli, un accordo di supporto gestito dovrebbe farlo per te.
Cosa comprende una sessione di aggiornamento
Una sessione di aggiornamento fatta bene non è solo cliccare «aggiorna». Comprende un backup verificato eseguito per primo, una rapida rilettura del changelog di ogni plugin che sale di più di una versione di patch, aggiornamenti a lotti in gruppi abbastanza piccoli da rendere economico isolare un problema, smoke test dopo ogni lotto e un controllo finale che le funzioni di amministrazione e i principali percorsi pubblici funzionino ancora.
Per un tipico sito WordPress di piccola impresa, sono da 20 a 40 minuti di lavoro concentrato. Per un sito WooCommerce complesso, può arrivare a un’ora. In ogni caso, non è un lavoro da incastrare negli ultimi cinque minuti di una giornata frenetica.
Documentare il calendario
Metti per iscritto il calendario. Chi fa gli aggiornamenti. Quando. Cosa copre lo smoke test. Qual è il percorso di escalation quando qualcosa si rompe. Dove sono conservati i backup. Non è burocrazia aziendale. È il documento che impedisce al sistema di crollare il giorno in cui il manutentore abituale è in ferie.
Se il tuo calendario attuale è la memoria di una sola persona, è fragile. Un breve runbook scritto protegge la routine.
Quando stringere la cadenza
Passa da mensile a settimanale quando succede una di queste cose. Il sito passa da vetrina a critico per i ricavi. Una compromissione precedente l’ha reso un bersaglio noto. L’elenco dei plugin cresce in modo significativo. Viene lanciata una nuova funzione di e-commerce. Il sito inizia a gestire dati personali.
La cadenza dovrebbe corrispondere al costo di un incidente. Man mano che il costo cresce, la cadenza si stringe.
Ti serve una mano?
Se vuoi impostare e gestire un calendario di aggiornamento dei plugin per il tuo sito WordPress, Defyn può occuparsene. Applichiamo cadenze settimanali sui siti che gestiamo e possiamo adattare la routine al ritmo che ha senso per il tuo.
