Het rode cijfertje bij Dashboard > Updates wordt elke week hoger, maar je durft niet op bijwerken te klikken omdat je bang bent dat je site daarna plat ligt. WordPress update je veilig door eerst een back-up te maken, de updates in kleine porties uit te voeren (eerst plugins, dan het thema, dan WordPress-core) en na elke portie te controleren of je site nog werkt. Hieronder lees je in welke volgorde ik update, wat ik automatisch laat lopen en wat je doet als het misgaat.
Welke updates WordPress kent en hoe riskant ze zijn
Een WordPress-site krijgt updates op drie lagen, namelijk de core, het thema en de plugins, en elke laag heeft een eigen risico. De core is WordPress zelf. Daarvan verschijnen kleine onderhoudsversies, zoals van 6.8.1 naar 6.8.2, die vooral beveiligingslekken en bugs dichten. Die installeert WordPress standaard automatisch en daar gaat vrijwel nooit iets mee mis. Grote versies, zoals van 6.8 naar 6.9, voegen nieuwe functies toe en veranderen soms dingen waar plugins op leunen. Bij zo’n release wacht ik zelf meestal een paar dagen, tot de eerste herstelversie uit is.
Thema-updates raken de vormgeving. Ze zijn vooral riskant als iemand ooit rechtstreeks in de themabestanden heeft gewerkt, want de update overschrijft dat maatwerk zonder waarschuwing. Daarom hoort maatwerk in een child theme, een subthema dat je aanpassingen buiten schot houdt. Plugin-updates komen het vaakst voor en geven de meeste conflicten. Logisch, want je laat software van tientallen makers samenwerken. Daar komt nog iets bij. Ook vertalingen krijgen updates, en de PHP-versie op de server beweegt mee. Een plugin die een nieuwere PHP-versie eist dan jouw server draait, kan na een update niet meer werken, dus kijk bij twijfel naar de vereisten op de pluginpagina.
Zo update je in de juiste volgorde
De veiligste volgorde is back-up, controle van de vereisten, plugins in kleine groepjes, het thema en als laatste de core, met na elke stap een korte test.
- Maak een back-up van je bestanden en je database. Dit is de stap die alles vergeeft. Hoe je dat goed regelt, lees je in de gids over WordPress back-up en migratie.
- Draait je site op omzet, test grote updates dan eerst op een staging-omgeving, een kopie van je site waar niemand last van heeft als er iets breekt.
- Lees bij grote updates de changelog en check bij elke plugin Getest tot en de vereiste PHP-versie.
- Kies een rustig moment. Niet vrijdagmiddag om vijf uur en bij een webshop niet tijdens de drukste uren.
- Werk de plugins bij in groepjes van twee of drie via Dashboard > Updates, daarna het thema en dan WordPress zelf.
- Loop na elke portie de site na. Laadt de homepage, werkt het contactformulier en kun je afrekenen?
Waarom plugins eerst? Makers brengen vaak al een versie uit die klaar is voor de volgende WordPress-release, dus als je plugins bijgewerkt zijn, landt de nieuwe core op een fundament dat hem verwacht. Gaat er na dertig updates in één keer iets stuk, dan weet je niet welke de boosdoener is. Bij groepjes van twee weet je het binnen een minuut. Let ook op premium plugins en pagebuilders. Die updaten alleen met een geldige licentie, en een verlopen licentie is een sluipende oorzaak van verouderde software. Meer daarover lees je in plugins installeren, beheren en updaten.
Automatische updates, wat ik aanzet en wat niet
Automatische updates zijn veilig voor kleine core-versies en eenvoudige hulpplugins, maar niet voor de onderdelen waar je site functioneel van afhangt. Sinds WordPress 5.5 kun je onder Plugins > Geïnstalleerde plugins per plugin Automatische updates inschakelen aanklikken, en bij Weergave > Thema’s kan dat per thema. De automatische core-onderhoudsupdates laat ik altijd aan staan, want dat zijn je beveiligingspatches. Een plugin die alleen een redirect regelt of een kleine instelling toevoegt, mag gerust automatisch updaten.
Je webshopplugin, je pagebuilder, je thema en alles wat met betalingen of formulieren te maken heeft, houd ik handmatig. Volautomatisch updaten klinkt zorgeloos, maar in de praktijk betekent het dat je site om drie uur ’s nachts kan breken terwijl niemand kijkt. WordPress stuurt na een automatische update wel een mail naar het beheerdersadres, dus zorg dat dat adres gelezen wordt. Krijgt een plugin al lange tijd helemaal geen updates meer, dan is de vraag niet wanneer je hem bijwerkt maar of hij er nog moet zijn. In verouderde plugins opruimen lees je hoe ik dat beoordeel.
Als een update je site breekt
Breekt een update je site, schakel dan de laatst bijgewerkte plugin of het thema uit, en zet de back-up van vóór de update terug als dat niet helpt. Eerst leeg ik de cache, want een kapotte opmaak is verrassend vaak alleen een oude opgeslagen versie. Helpt dat niet, dan deactiveer ik de plugin die als laatste is bijgewerkt. Kom je het dashboard niet meer in, hernoem dan via de bestandsbeheerder of SFTP de map van die plugin in wp-content/plugins, waarna WordPress hem uitschakelt.
Blijft je site hangen op de melding dat hij tijdelijk niet beschikbaar is wegens gepland onderhoud, dan is een update halverwege gestopt. Verwijder dan het bestand .maintenance in de hoofdmap van je site en voer de update opnieuw uit. Wil je terug naar de vorige versie van één plugin, dan kan dat met een rollback-plugin zoals WP Rollback. Dat is sneller dan een volledige back-up terugzetten, maar alleen als je zeker weet dat die ene plugin het probleem is. Meld het daarna bij de maker en wacht op een herstelde versie. De volledige herstelroute, met wat elk symptoom betekent, staat in site kapot na een update.
Maak er een vast ritme van
De beste updatestrategie is saai, namelijk een vast moment per week of per twee weken waarop je een back-up maakt, bijwerkt en controleert. Een kwartier per week is veiliger dan elk kwartaal een middag met dertig updates. Hoe lang je wacht, maakt het risico groter. Een bijgewerkte site is in vijf minuten bij, een verwaarloosde site is een project, omdat je dan meerdere grote versies tegelijk overbrugt. Gebruik de WordPress onderhoud checklist als leidraad. Het bredere onderhoudsritme staat in WordPress-beheer, de complete gids.
Wil je dit liever niet zelf doen, dan nemen we het bij Surver van je over met WordPress onderhoud. We werken dan elke maand core, thema’s en plugins bij. Hoe uitgebreid we daarna controleren, hangt af van je pakket, van zonder controle bij Personal tot een functionele controle bij Business, en bij Enterprise testen we de updates eerst op staging. Ligt je site al een tijd stil, dan valt de inhaalslag daar ook onder. Doe je het liever zelf op onze managed WordPress hosting, dan maak je een staging-omgeving door je installatie te klonen in Installatron, en zet je een back-up terug met JetBackup 5 in cPanel. Maak vóór dat terugzetten wel eerst een verse back-up, want de huidige staat wordt niet automatisch bewaard.
Veelgestelde vragen
Hoe vaak moet ik WordPress updaten?
Kijk minstens één keer per week of er updates klaarstaan, en installeer beveiligingsupdates zo snel mogelijk. Voor een kleine site zonder webshop is een vast moment per twee weken ook prima, zolang de automatische core-onderhoudsupdates aan staan.
Wat gebeurt er als ik WordPress niet update?
Je site blijft eerst gewoon werken, maar bekende lekken in oude plugins en thema’s worden actief misbruikt door bots. Verouderde software is de meest voorkomende oorzaak van gehackte WordPress-sites die ik tegenkom. Daarnaast wordt elke volgende update groter en dus riskanter.
Raak ik mijn content kwijt bij een WordPress-update?
Nee, je pagina’s, berichten en instellingen staan in de database en een update vervangt alleen softwarebestanden. Wel kan maatwerk in een hoofdthema verloren gaan, en daarom maak je altijd eerst een back-up. Bij Surver maken we op de shared pakketten daarnaast zelf dagelijks, wekelijks en maandelijks back-ups.
