Безопасно обновить WordPress — значит сначала сделать резервную копию, проверить обновления на тестовой копии сайта, затем обновлять по одному компоненту в правильном порядке и после каждого шага проверять ключевые функции. Такой регламент занимает немного больше времени, но исключает ситуацию «обновили — и сайт лёг в пятницу вечером».
Почему обновлять нужно, но не бездумно
Устаревшие плагины и темы — одна из самых частых причин взлома сайтов на WordPress. Разработчики регулярно закрывают уязвимости, и после выхода исправления информация о дыре становится публичной: боты начинают массово искать сайты, которые не обновились. Поэтому откладывать обновления на полгода опасно.
С другой стороны, обновление — это изменение кода на живом сайте. Новая версия плагина может конфликтовать с темой, другим плагином или старой версией PHP. Результат — от «съехавшей» вёрстки до белого экрана и неработающей корзины. Задача — обновляться регулярно, но контролируемо.
Что именно обновляется в WordPress
| Компонент | Как часто выходят обновления | Риск |
|---|---|---|
| Минорные версии ядра (6.x.1, 6.x.2) | По мере необходимости, часто исправления безопасности | Низкий, по умолчанию ставятся автоматически |
| Мажорные версии ядра (6.7 → 6.8) | Несколько раз в год | Средний: меняется редактор, API |
| Плагины | Постоянно, у популярных — часто | От низкого до высокого, особенно у конструкторов страниц, WooCommerce, плагинов оплаты |
| Тема | Зависит от разработчика | Высокий, если в теме правили код напрямую |
| PHP на хостинге | Раз в год-два меняется поддерживаемая ветка | Высокий для старых плагинов и тем |
Важно про доработанные темы
Если разработчик вносил изменения прямо в файлы купленной темы, обновление их перезапишет. Правильный подход — дочерняя тема (child theme), где хранятся все доработки. Перед первым обновлением выясните, как устроен ваш сайт: это можно увидеть в разделе «Внешний вид» → «Темы» — у дочерней темы указана родительская.
Подготовка: пять минут, которые экономят день
- Сделайте свежую резервную копию файлов и базы. Плагином (UpdraftPlus, BackWPup) или в панели хостинга — главное, чтобы копия была полной и вы знали, как из неё восстановиться.
- Прочитайте список изменений (changelog) у крупных обновлений: при переходе на новую мажорную версию разработчики обычно предупреждают о несовместимостях.
- Проверьте совместимость: на странице плагина в каталоге WordPress указана версия, с которой он проверен, и требования к PHP.
- Выберите время с низкой посещаемостью и когда вы сами сможете следить за сайтом ещё пару часов. Не обновляйтесь перед выходными и праздниками.
- Предупредите команду: в момент обновления никто не должен редактировать контент или принимать заказы вручную.
Тестовая копия (staging): когда она обязательна
Staging — это копия сайта на отдельном поддомене или в отдельной папке, закрытая от посетителей и поисковиков. Обновления сначала ставятся туда, проверяются, и только потом повторяются на рабочем сайте.
Для сайта-визитки из десяти страниц со стандартными плагинами можно обойтись резервной копией. Для интернет-магазина на WooCommerce, сайта с личным кабинетом, интеграцией с 1С или CRM тестовая копия обязательна.
Как создать тестовую копию
- Многие хостинги (Timeweb, Beget и другие) умеют создавать staging-копию WordPress в пару кликов в панели.
- Плагины вроде WP Staging создают копию в подпапке сайта.
- Вручную: поддомен, копия файлов и базы, замена адресов через WP-CLI.
Обязательно закройте копию от индексации — паролем на уровне сервера, а не только галочкой «Попросить поисковые системы не индексировать сайт». Иначе в Яндексе появится дубль вашего сайта. И отключите на копии отправку писем клиентам и обмен с CRM, чтобы тестовые действия не ушли реальным людям.
Правильный порядок обновлений
- Плагины — по одному, начиная с тех, у которых исправления безопасности. После каждого обновите страницу сайта и загляните в админку.
- Ядро WordPress — после плагинов, так как новые версии плагинов обычно готовы к новому ядру.
- Тема — после ядра. Если тема покупная и дочерняя, проверьте шаблоны, переопределённые в дочерней теме (особенно шаблоны WooCommerce).
- Переводы — последними, это безопасно.
Обновлять всё разом кнопкой «Выбрать всё» удобно, но если сайт сломается, вы не узнаете, какой компонент виноват. По одному — дольше, зато диагностика занимает минуты.
Обновление PHP — отдельный проект
Переход на новую версию PHP не стоит совмещать с обновлением плагинов. Сначала обновите все компоненты на текущей версии PHP, затем на тестовой копии переключите PHP и проверьте сайт. Включите журнал ошибок: предупреждения об устаревших функциях помогут найти проблемный код до того, как он сломается.
Проверка после обновления
Составьте короткий список проверок один раз и проходите его после каждого обновления:
- Главная, типовая страница, запись блога, карточка товара открываются без ошибок.
- Мобильная версия выглядит нормально.
- Формы отправляются, письма доходят, заявки попадают в CRM.
- Для магазина: добавление в корзину, оформление заказа, оплата тестовым платежом, письмо о заказе.
- Поиск по сайту и фильтры каталога работают.
- Цели в Яндекс Метрике срабатывают — проверьте в отчётах за текущий день.
- В панели «Здоровье сайта» (Инструменты → Здоровье сайта) нет новых критических проблем.
- Скорость загрузки не ухудшилась — быстрый замер в PageSpeed Insights.
Если что-то сломалось
Белый экран или критическая ошибка
WordPress обычно отправляет администратору письмо со ссылкой на режим восстановления, где можно отключить проблемный плагин. Если письма нет, отключите плагин через файловый менеджер хостинга: переименуйте его папку в wp-content/plugins — WordPress деактивирует его.
Сломалась вёрстка или функция
Откатите конкретный плагин на предыдущую версию: для этого есть плагин WP Rollback, или можно загрузить прошлую версию из каталога WordPress вручную. Затем напишите разработчику плагина и дождитесь исправления.
Ничего не помогает
Восстановите сайт из резервной копии, сделанной перед обновлением. Если в промежутке пришли заказы, сохраните их данные перед откатом.
Ведите журнал обновлений
Простая таблица или заметка в задачнике сильно упрощает жизнь, когда проблема проявляется не сразу. Например, через неделю менеджер замечает, что перестали приходить заявки с одной из форм, — и по журналу видно, что как раз тогда обновлялся плагин форм. Фиксируйте:
- дату и время обновления;
- какие компоненты обновлены и с какой версии на какую;
- где лежит резервная копия, сделанная перед обновлением;
- результат проверки и замеченные проблемы;
- кто выполнял работу.
Журнал пригодится и при смене подрядчика: новый специалист быстрее поймёт, в каком состоянии сайт, какие плагины капризничают и что обновлять осторожно.
Автообновления: включать или нет
Минорные обновления ядра стоит оставить автоматическими — это исправления безопасности с минимальным риском. Автообновления плагинов можно включить выборочно для простых, надёжных плагинов без влияния на оформление заказа. Для WooCommerce, платёжных модулей, конструкторов страниц и темы надёжнее ручной контролируемый процесс. В любом случае включите почтовые уведомления об автообновлениях и мониторинг доступности сайта.
Частые вопросы
Как часто нужно обновлять WordPress и плагины?
Разумный ритм — плановые обновления раз в две-четыре недели плюс срочные, когда выходит исправление критической уязвимости в используемом плагине. Долгие перерывы опасны: чем больше версий накопилось, тем выше риск несовместимости при обновлении.
Можно ли вообще не обновлять, если всё работает?
Сайт действительно может работать годами без обновлений, но каждый месяц он становится уязвимее. Для ботов, которые ищут известные дыры, неважно, насколько сайт маленький. Отказ от обновлений почти всегда заканчивается взломом или вынужденной переделкой.
Что делать с плагином, который давно не обновлялся?
Если плагин не обновлялся больше года или удалён из каталога WordPress, ищите замену. Такие плагины не получают исправлений безопасности и со временем перестают работать с новыми версиями ядра и PHP. Замену лучше проверить на тестовой копии.
Сколько плагинов — это много?
Важно не количество, а качество и необходимость. Удалите всё неактивное и дублирующее функции. Десяток проверенных плагинов безопаснее пяти заброшенных. Каждый плагин — это дополнительный код, который нужно обновлять и который влияет на скорость.
Если не хочется тратить время на регламент обновлений, возьмём это на себя в рамках поддержки сайтов Pear Advert: обновления с копией и тестовой проверкой входят в базовый тариф 5 000–15 000 ₽ в месяц. Если сайт давно не обновлялся и обновить его «в лоб» уже нельзя, оценим объём доработки и составим план.
