Sinds een paar jaar staat er in het pluginoverzicht van WordPress bij elke plugin een linkje: “Automatische updates inschakelen”. Het klinkt aantrekkelijk. Nooit meer omkijken naar updates, alles blijft vanzelf bij, klaar. Maar wie wel eens een ochtend heeft besteed aan een website die na een nachtelijke update opeens een foutmelding gaf, weet dat het niet zo simpel ligt.

De vraag of u automatische updates in WordPress aan of uit zet, heeft geen algemeen antwoord. Het hangt af van welk onderdeel u bedoelt, hoe complex uw site is en of er iemand is die het merkt als iets breekt. In dit artikel zetten we voor- en nadelen naast elkaar, per onderdeel, en eindigen we met een advies dat voor de meeste ondernemers werkbaar is.

Wat WordPress zelf automatisch doet

Standaard installeert WordPress kleine onderhoudsreleases van de kern zonder dat u iets hoeft te doen: van 6.8.1 naar 6.8.2 bijvoorbeeld. Dit zijn beveiligingsreparaties en bugfixes, en het WordPress-team test ze uitgebreid. Grote releases, van 6.8 naar 6.9, worden niet automatisch geïnstalleerd, tenzij u dat inschakelt. Plugins en thema’s worden standaard ook niet automatisch bijgewerkt; dat moet u per plugin aanzetten.

Er is één uitzondering die weinig mensen kennen: bij een ernstig beveiligingslek in een populaire plugin kan het WordPress-team een geforceerde update uitrollen, ook als u automatische updates uit heeft staan. Dat is in het verleden een paar keer gebeurd en is bedoeld om grootschalige besmettingen te voorkomen.

Argumenten vóór automatische updates

  • Beveiligingslekken worden snel gedicht. De tijd tussen het bekend worden van een lek en het misbruiken ervan is vaak uren, geen weken. Wie maandelijks bijwerkt, loopt in de tussentijd een risico.
  • Het gebeurt gewoon. Handmatig bijwerken vereist discipline. In de praktijk schuift het op, en dan is het opeens een jaar later.
  • Kleine stappen zijn veiliger dan grote. Een site die dagelijks kleine updates krijgt, heeft zelden een grote inhaalslag nodig. Grote inhaalslagen zijn juist waar het misgaat.

Argumenten tégen automatische updates

  • Niemand kijkt mee. Als een update om drie uur ‘s nachts uw checkout breekt, ontdekt u dat pas als een klant belt. Bij een handmatige update staat u ernaast en ziet u het meteen.
  • Geen back-up vooraf. WordPress maakt zelf geen back-up voordat het een plugin bijwerkt. Gaat het mis, dan moet u terugvallen op wat uw hosting of back-upplugin toevallig heeft.
  • Volgorde en samenhang. Sommige updates horen bij elkaar: WooCommerce en een betaalplugin, of een paginabouwer en zijn uitbreidingen. Als de ene automatisch bijwerkt en de andere niet, kan dat tijdelijk conflicten geven.
  • Maatwerk. Sites met aangepaste code, oude plugins of een thema zonder child-thema zijn kwetsbaarder. Daar is een update zonder test een gok.

Per onderdeel: wat wij aanraden

WordPress-kern, onderhoudsreleases

Aan laten staan. Dit is de standaard en er is zelden een goede reden om het uit te zetten. De kans dat een onderhoudsrelease iets breekt, is klein; de kans dat een niet-geïnstalleerde beveiligingsreparatie ooit misbruikt wordt, is aanzienlijk groter.

WordPress-kern, grote releases

Uit laten, en handmatig doen na een back-up. Grote releases veranderen soms hoe de editor werkt of hoe thema’s worden ingeladen. Die wilt u zien gebeuren, liefst eerst op een kopie van de site.

Plugins

Dit is de moeilijkste categorie. Een werkbare aanpak: automatische updates aan voor kleine, stabiele plugins met weinig invloed op de opmaak (denk aan een SEO-plugin, een anti-spamplugin, een plugin voor een cookiemelding). Automatische updates uit voor alles wat de kern van uw site raakt: paginabouwers, WooCommerce en zijn uitbreidingen, betaalkoppelingen, formulierplugins, cacheplugins. Die werkt u handmatig bij, met een back-up en een controle achteraf.

Thema

Uit, tenzij u zeker weet dat er een child-thema wordt gebruikt en er geen aanpassingen in het thema zelf zitten. Thema-updates zijn de meest voorkomende oorzaak van “opeens ziet mijn site er anders uit”. Hoe u die veilig uitvoert, staat in het stappenplan voor thema-updates.

Een middenweg die in de praktijk goed werkt

De beste oplossing is eigenlijk geen van beide uitersten, maar een derde optie: updates die wél automatisch worden uitgevoerd, maar met een back-up vooraf, een controle achteraf en een terugdraaimechanisme als iets misgaat. Sommige hostingpartijen bieden dat aan onder de naam “smart updates” of “visuele regressietest”. Beheerders die een onderhoudsabonnement met maandrapport aanbieden, werken op een vergelijkbare manier, alleen dan met een mens die de controle doet in plaats van een script. WebMaintor voert updates bijvoorbeeld uit in vaste rondes, na een back-up, en bij webshops eerst op een staging-omgeving.

Een praktijkvoorbeeld van de andere kant. Een bloemist in Groningen had alle plugins op automatisch gezet. Dat ging een jaar goed. Toen kreeg de formulierplugin een grote update die niet samenwerkte met de oude versie van de captcha-plugin, en drie weken lang kwamen bestellingen via het formulier niet aan. Niemand had het gemerkt, omdat niemand meer keek. Sindsdien: kleine plugins automatisch, formulieren en betalingen handmatig, en elke maand een testverzending.

Wat u vandaag kunt instellen

Ga naar Plugins › Geïnstalleerde plugins en bekijk de kolom “Automatische updates”. Zet hem aan voor de eenvoudige plugins en uit voor alles wat met opmaak, formulieren of betalingen te maken heeft. Controleer onder Dashboard › Updates of de kern op onderhoudsreleases staat. En spreek met uzelf een vast moment af, bijvoorbeeld de eerste maandag van de maand, om de rest handmatig te doen. Automatisch waar het kan, met aandacht waar het moet.