Сайт работает, значит обновлять незачем — так думают до первого взлома. Разбираем, какие обновления нельзя откладывать и как их ставить без риска.
Коротко
- Обновления безопасности не откладывают.
- Сначала тест, потом продакшен.
- Расширения опаснее самой CMS.
- Старая версия — причина большинства взломов.
Какие бывают обновления
| Тип | Когда ставить |
|---|---|
| Закрытие уязвимости | Сразу |
| Исправление ошибок | В плановое окно |
| Новые функции | Когда нужны |
| Смена мажорной версии | Отдельным проектом |
Разница между первой и последней строкой принципиальная. Обновление безопасности обычно маленькое и почти не ломает сайт; переход на новую мажорную версию может потребовать правок темы и расширений и планируется как отдельная работа. Смешивать их в одну задачу «обновить сайт» — способ не сделать ни того, ни другого.
Почему старая версия опасна
Уязвимость находят
И публикуют описание.
Выходит обновление
С описанием, что исправлено.
Описание читают все
Включая тех, кто ищет цели.
Сайты сканируют массово
По версии, автоматически.
Находят необновлённые
Ваш сайт не выбирали лично.
Ключевой момент — третий шаг. Публикация обновления делает уязвимость известной, поэтому промежуток между выходом заплатки и её установкой — самый опасный период. Массовые сканирования не разбирают, кому принадлежит сайт: им достаточно совпадения по версии.
Почему расширения опаснее самой CMS
| Причина | Что делать |
|---|---|
| Их больше, чем ядра | Считать все установленные |
| Авторы разные | Проверять, живы ли |
| Часть заброшена | Заменять или убирать |
| Ставились «на попробовать» | Удалять неиспользуемые |
| Отключённое тоже уязвимо | Удалять, а не отключать |
Последняя строка нарушается чаще всего. Отключённое расширение остаётся файлами на сервере, и уязвимость в нём никуда не исчезает. Правило простое: не используется — удалить, а не оставлять «на случай».
Как обновлять без риска
Сделать резервную копию
И проверить, что она есть.
Обновить на тестовой копии
Если сайт не типовой.
Проверить ключевые страницы
Главная, каталог, корзина, формы.
Обновлять по одному
Чтобы знать, что сломало.
Выбирать спокойное время
Не вечер пятницы.
Записать, что обновили
С датой.
Четвёртый шаг экономит часы разбора. Когда десять расширений обновлены одним нажатием и сайт сломался, причину ищут перебором; когда по одному — она известна сразу. Исключение — критическое обновление безопасности: его ставят немедленно.
Что делать, если обновление сломало сайт
| Ситуация | Действие |
|---|---|
| Сайт не открывается | Откат из копии |
| Сломалась часть вёрстки | Можно править на месте |
| Не работает форма или корзина | Откат, это потеря заявок |
| Ошибка в админке | Разбираться, сайт работает |
| Причина непонятна | Откат и разбор на копии |
Разделение простое: если страдает клиент — откат, если только вы — можно разбираться. Неработающая корзина обходится дороже, чем несколько часов на тестовой копии, а сломанный отчёт в админке подождёт до утра.
Какой ритм выбрать
| Что | Как часто |
|---|---|
| Проверка наличия обновлений безопасности | Еженедельно |
| Плановые обновления | Раз в месяц |
| Ревизия установленных расширений | Раз в полгода |
| Оценка смены мажорной версии | Раз в год |
| Проверка, поддерживается ли версия | Раз в год |
Последняя строка однажды становится главной. У версий CMS и у версий языка, на котором они работают, есть срок поддержки: когда он истёк, обновлений безопасности больше не выпускают, и никакая регулярность их установки не поможет. Это уже вопрос переезда на поддерживаемую версию.
Частые вопросы
Как часто обновлять CMS?
Обновления безопасности — сразу, плановые — раз в месяц, ревизию расширений — раз в полгода, смену мажорной версии — как отдельный проект.
Почему нельзя откладывать обновление безопасности?
Потому что выход обновления делает уязвимость известной. Сайты сканируют массово по версии, и ваш сайт при этом никто не выбирал лично.
Достаточно ли отключить неиспользуемое расширение?
Нет. Отключённое расширение остаётся файлами на сервере, и уязвимость в нём сохраняется. Его нужно удалить.
Что делать, если обновление сломало сайт?
Если страдает клиент — откатываться из копии и разбираться на тестовой. Если сломался только отчёт в админке, это может подождать.
Сделаем сайт, который приносит заявки
Спроектируем структуру под запросы, соберём и запустим — с учётом SEO с первого дня.
Обсудить разработку
