WordPress 站长最常问我们的问题之一，就是插件应该多久更新一次。诚实的答案是：视网站而定，但做决定的框架在每个网站上都一样。挑一个契合你风险状况、精力，以及你所用插件类型的计划，然后认真坚持它。最糟糕的计划，就是根本没有计划。
每周更新的理由
对任何在乎安全或收入的网站而言，每周更新是黄金标准。它把从漏洞披露到网站打上补丁之间的窗口保持得很短，通常在七天以内。大多数自动化的漏洞利用行动，都发生在这个窗口之内。
对于电商网站、处理个人数据的网站、流量可观的网站，以及此前曾被入侵过的网站，每周都是恰当的节奏。阻力很小。一位熟练的维护者大约 30 分钟就能处理完一周的更新，包括一次备份、对高风险改动做一次预演环境测试，以及事后的一次冒烟测试。
每月更新的理由
每月是小企业 WordPress 网站最常见的节奏。它在安全性与妥善测试所需时间之间取得了合理平衡。对于插件不超过二十个、且没有时间紧迫型交易的网站，每月更新效果很好。
每月的隐患在于，从披露到补丁之间的窗口，可能拉长到将近一个月。对大多数插件而言这没问题；但对于一个存在未授权远程代码执行公告的插件来说，就太久了。每月更新只有在同时包含针对真正关键公告的「计划外更新」时，才行得通。
为什么「按需」不是一种计划
「按需」听起来很负责，但实际上它往往是「从不」的委婉说法。日历上没有一个反复出现的时间，工作就会一直拖到有人发现问题的那一天。而到那时，网站已经落后了好几个月。
如果让你 WordPress 网站保持更新的唯一依靠，是你自己对插件通知邮件的留意，那么这套机制其实早已失效。大多数站长都把那些邮件丢进了一个从不打开的文件夹。
以自动更新作为基线
自 WordPress 5.5 起，插件自动更新可以在后台按插件逐个启用。对于低风险插件、且网站不便做预演测试的情况，开启自动更新也胜过完全没有计划。新版本一经发布，插件便会自动更新，全程无人参与。
代价是，自动更新不会先在预演环境测试。一旦某次更新弄坏了网站，你只能在生产环境中才发现。对个人博客来说这可以接受，对电商网站而言则有风险。
明智的做法是混合模式。对那些很少出问题的常规安全插件开启自动更新；对电商平台、页面构建器和各类集成等更复杂的插件，则以每周或每月的节奏做人工更新并配合预演测试。
计划外更新
无论你的常规计划是什么，总有一些公告需要立刻处理。一个正在野外被积极利用的关键漏洞，等不到下周二那个既定窗口。计划里必须包含一条「计划外更新」的通道，并明确规定：什么情况符合条件，以及谁有权在短时间内实施更新。
订阅你所用插件的安全公告源。Wordfence、Patchstack 和 WPScan 都会近乎实时地发布公告。如果你没时间读它们，一份托管式支持协议就应当替你去读。
一次更新会话包含什么
一次像样的更新会话，不只是点一下「更新」。它包括：先做一次经过验证的备份；对每个跨越不止一个补丁版本的插件快速查看变更日志；分批更新，每批小到足以让排查问题的成本很低；每批之后做冒烟测试；以及最后确认后台功能和主要的公开路径仍能正常工作。
对一个典型的小企业 WordPress 网站，这是 20 到 40 分钟的专注工作。对一个复杂的 WooCommerce 网站，可能会拉长到一个小时。无论哪种，它都不是那种能塞进忙碌一天最后五分钟里去完成的工作。
把计划写下来
把计划落到纸面上：谁来做更新、什么时候做、冒烟测试涵盖哪些内容、出问题时的升级路径是什么、备份存放在哪里。这不是企业式的官样文章，而是那份能在常规维护者休假当天，防止整套机制崩塌的文件。
如果你现在的计划只存在于某一个人的记忆里，那它就很脆弱。一份简短的书面操作手册，能守护住这套例行流程。
何时该收紧节奏
出现下列任一情况时，就从每月升级到每周：网站从纯展示型变为对收入至关重要；一次以往的入侵让网站成了已知目标；插件清单显著增多；上线了新的电商功能；网站开始处理个人数据。
节奏应当与一次事件的代价相匹配。代价越大，节奏就越要收紧。
需要帮忙吗？
如果你希望有人为你的 WordPress 网站搭建并运行一套插件更新计划，Defyn 可以来做。我们在自己管理的网站上都采用每周的节奏，也能把这套流程调整到最适合你网站的步调。
