Mantener las actualizaciones al día

Módulo 7: Seguridad · Tiempo de lectura: 8 minutos

Objetivo de aprendizaje: Tras esta lección podrá configurar las actualizaciones para que se realicen de forma rápida y segura, y sabrá qué hacer con un plugin que ya no recibe actualizaciones.

Conceptos clave: versión menor, versión mayor, actualización de seguridad, actualizaciones automáticas (núcleo, plugins, temas), rollback, actualizaciones del instalador, plugin abandonado, registro de cambios, entorno de pruebas (staging) para actualizaciones grandes

Por qué actualizar rápido es más importante que esperar con precaución

La lección 7.1 ya lo mostró: los intrusos buscan fallos conocidos para los que ya existe una actualización. Entre la publicación de una reparación y los primeros rastreos masivos a veces solo pasan unas horas o unos días. Quien "espera primero un mes a ver si la actualización es correcta" permanece expuesto durante ese mes.

Al mismo tiempo, una actualización puede romper algo. La solución no es esperar, sino asegurarse de que actualizar sea automático, rápido y reversible:

• actualizaciones menores y de plugins automáticas;
• una copia de seguridad justo antes de la actualización, con una restauración automática si algo falla;
• las actualizaciones grandes se prueban primero en el entorno de pruebas (staging) (lección 8.3), pero en cuestión de días, no de meses.

Versiones menores y mayores de WordPress

WordPress numera las versiones como 7.1.4:

• 7.1 es la versión mayor (major release). Aparecen varias al año, con funciones nuevas.
• .4 es una versión menor (minor release): reparaciones y actualizaciones de seguridad, sin grandes cambios.

Desde la versión 3.7, WordPress instala las versiones menores y las actualizaciones de seguridad de forma automática, salvo que lo haya desactivado. Las versiones mayores las instala usted mismo por defecto, con un botón en Escritorio > Actualizaciones. En wp-config.php puede controlar este comportamiento:

define( 'WP_AUTO_UPDATE_CORE', 'minor' );  // por defecto: solo versiones menores
define( 'WP_AUTO_UPDATE_CORE', true );     // también versiones mayores
define( 'WP_AUTO_UPDATE_CORE', false );    // nada automático (no recomendado)

Elija una de las tres líneas. El valor por defecto (minor) es adecuado para la mayoría de los sitios; si su instalador o su proveedor de alojamiento actualiza las versiones mayores por usted, eso también está bien.

WordPress solo da soporte oficial a la última versión mayor. Las reparaciones de seguridad también se aplican durante un tiempo a series anteriores, pero no debe contar con ello.

Plugins y temas automáticos

Desde WordPress 5.5, en Plugins puede activar Activar actualizaciones automáticas para cada plugin, y en Apariencia > Temas para cada tema. Actívelo para la mayoría de los plugins: ahí es donde están los fallos (lección 7.1).

Desde WordPress 6.6, WordPress comprueba tras una actualización automática de un plugin si el sitio sigue funcionando. Si la actualización provoca un error fatal, WordPress restaura la versión anterior (un rollback) y recibirá un correo. Esto cubre el mayor riesgo de las actualizaciones automáticas: un sitio en blanco que no descubre hasta una semana después.

Instaladores como Installatron (lección 2.2) también pueden hacerlo: con una copia de seguridad previa y una restauración si la actualización falla. Use uno de los dos sistemas de forma consciente; no se interfieren entre sí, pero conviene saber quién hace qué.

Excepciones en las que a veces conviene desactivar las actualizaciones automáticas:

• un plugin del que sabe que las versiones mayores suelen cambiar algo (un creador de páginas, un plugin de tienda online con integraciones); actualícelo tras probarlo en el entorno de pruebas (staging), pero con rapidez;
• un tema con modificaciones en los propios archivos. Mejor: coloque esas modificaciones en un tema hijo (lección 5.2), así el tema padre puede actualizarse automáticamente sin problema.

Plugins de pago

Los plugins de pago solo reciben actualizaciones mientras su licencia esté vigente. Una licencia caducada significa: sin actualizaciones de seguridad. Mantenga el control de sus licencias (lección 9.4). Y un plugin de pago descargado de un sitio de descargas no recibirá ninguna actualización (lección 5.3).

El plugin abandonado

Un plugin sin actualizaciones desde hace mucho tiempo, o que ha sido retirado del repositorio de plugins de wordpress.org ("Este plugin ha sido cerrado"), ya no recibirá reparaciones. Qué hacer:

1. Averigüe por qué. En un plugin cerrado suele indicarse el motivo (por ejemplo, un problema de seguridad). Si es un problema de seguridad, actúe de inmediato.
2. Busque una alternativa que se mantenga de forma activa (lección 5.3), o compruebe si realmente sigue necesitando esa función.
3. Sustitúyalo en el entorno de pruebas (staging), pruébelo y después elimine por completo el plugin antiguo.

Dejar un plugin abandonado "por si acaso" es precisamente el riesgo que debe evitar.

Leer el registro de cambios

Cada actualización incluye un registro de cambios (changelog): qué se ha modificado. Lo encuentra en Escritorio > Actualizaciones o en la página del plugin (pestaña Desarrollo o Changelog). Preste especial atención a palabras como "security", "seguridad" o "fix vulnerability": en ese caso, actualice lo antes posible. Y a "breaking change", "requires PHP 8.x" o "nueva versión de": en ese caso, pruebe primero.

Después de una actualización

• Revise brevemente su sitio, incluidas las funciones principales (formulario, carrito de la compra, inicio de sesión).
• Lea los correos de WordPress o de su instalador sobre actualizaciones correctas, fallidas o revertidas. Un rollback significa que vuelve a estar activa la versión antigua (vulnerable): resuélvalo, a menudo actualizando también PHP, el tema u otro plugin, o sustituyendo el plugin.
• Compruebe en Salud del sitio (lección 5.4) si quedan avisos.

En la práctica: así se ve en un panel

En la administración de WordPress:

1. Escritorio > Actualizaciones: el estado de WordPress, los plugins y los temas. Aquí también se indica si las actualizaciones automáticas de versiones mayores están activadas.
2. Plugins: en la columna Actualizaciones automáticas, por cada plugin, "activar" o "desactivar". En la parte superior puede activar varios a la vez con Acciones en lote.
3. Apariencia > Temas: haga clic en un tema para ver el botón de actualizaciones automáticas.

En Installatron (DirectAdmin) se configura por cada instalación en Editar > Ajustes > Auto-Update. En Softaculous (cPanel) y en el WP Toolkit (Plesk) la misma opción está en los ajustes de la instalación.

Resumen

• Los fallos conocidos se explotan rápidamente; actualizar debe ser rápido, automático y reversible.
• WordPress instala las versiones menores automáticamente (desde la 3.7); las versiones mayores, por defecto, tras un clic, o de forma automática si así lo elige.
• Active las actualizaciones automáticas para la mayoría de los plugins y temas; desde la versión 6.6, WordPress revierte las actualizaciones de plugins fallidas.
• Una licencia caducada o un plugin abandonado significan ausencia de actualizaciones de seguridad: sustitúyalo.
• Lea el registro de cambios y los correos tras una actualización; un rollback hay que resolverlo de forma activa.

Cuestionario

Ejercicio

Ejercicio A7.2: ¿Su WordPress está actualizado? Consulte en la administración de su sitio, en Escritorio > Actualizaciones, qué versión de WordPress tiene e introdúzcala, junto con su dominio. El programa obtiene la última versión de la API pública de versiones de wordpress.org y la compara: verde si tiene la última, naranja si está dentro de la misma versión mayor pero le falta una actualización menor, rojo si usa una versión mayor más antigua. Indique también cuántos plugins tienen activadas las actualizaciones automáticas y cuántos no, y por qué.

Más información

Estos artículos describen los pasos en los paneles de WebOké; en otros paneles funcionan de forma similar.

• Manual de DirectAdmin 13.5: Actualizaciones y actualizaciones automáticas
• Actualizar Joomla y WordPress con Installatron
• Error 500 o "error crítico" en su sitio web (también después de una actualización de WordPress)
• Configurar las actualizaciones automáticas (wordpress.org, en inglés): https://wordpress.org/documentation/article/configuring-automatic-background-updates/