WordPress-Plugins aktualisieren: Weniger Erweiterungen, weniger Risiken

Was ein Plugin nach der Installation kostet

WordPress-Plugins zu aktualisieren ist an sich nicht schwer: Ein Klick im Plugins-Bildschirm reicht aus. Was jedoch kostet, ist all das, was diesen Klick umgibt. Jedes Plugin hat seinen Autor, seinen Versionszeitplan, seine eigene Art, Einstellungen zu benennen, und seine eigene Weise, Hinweise im Administrationsbereich anzuzeigen.

Eine für einen einzigen Zweck installierte Erweiterung – sei es eine Weiterleitung, ein Security-Header, ein Cookie-Banner – verbleibt danach in Ihrer Verantwortung. Sie müssen sie im Auge behalten, nachlesen, was sich von einer Version zur anderen geändert hat, überprüfen, ob sie weiterhin gewartet wird und keine bekannten Sicherheitslücken vorliegen.

Multiplizieren Sie dies mit fünfzehn oder zwanzig Plugins und dann mit der Anzahl der Websites, die Sie verwalten. Die Wartung wird zu einer regelmäßigen und oft aufgeschobenen Aufgabe.

Warum Updates zu einer eigenständigen Arbeit werden

Das Risiko geht nicht von einem einzelnen Plugin aus, sondern von deren Zusammenspiel. Zwei Tools, die an derselben Stelle eingreifen – zum Beispiel zwei Erweiterungen, die jeweils Tags in den Header von Seiten schreiben –, funktionieren einzeln vielleicht einwandfrei, behindern sich jedoch, wenn sie zusammenkommen. Ein Update von einem der beiden reicht aus, um das Problem auftreten zu lassen.

Hinzu kommen aufgegebene Plugins. Sie laufen weiter, erhalten keine Patches mehr und niemand bemerkt es, solange keine Schwachstelle veröffentlicht wird.

Wenn schließlich nach einer Reihe von Updates etwas kaputtgeht, lautet die Frage immer gleich: Was hat sich geändert und wer hat es geändert? Ohne Protokoll sucht man im Blindflug.

• Mehr Plugins, mehr zu verfolgende Versionen.
• Mehr Autoren, mehr verschiedene Wege, dasselbe zu tun.
• Mehr aktiver Code, mehr Angriffsfläche für Sicherheitslücken.

Den Preis für ein Plugin zahlt man nicht bei der Installation, sondern bei jedem Update.

Ein einziges Plugin für alltägliche Aufgaben

nexya fasst die täglichen Aufgaben in einem einzigen Administrationspanel zusammen. Jede Aufgabe ist ein Modul, das sich über den Hub ein- oder ausschalten lässt. Ein ausgeschaltetes Modul zeichnet nichts auf: Keiner seiner Hooks wird auf der Website ausgeführt.

Für die Wartung ändert das zwei Dinge. Erstens werden mehrere Anforderungen, für die sonst jeweils ein eigenes Plugin nötig war, durch ein einziges Plugin abgedeckt, sodass nur ein einziges Update verfolgt werden muss. Zweitens aktivieren Sie nur das, was die Website tatsächlich benötigt, ohne unnötigen Code laufen zu lassen.

Hier sind die Aufgaben, die von den kostenlosen Modulen übernommen werden und oft auf separaten Erweiterungen basieren:

• SEO: Titel und Beschreibungen, Sitemap, Schema, llms.txt.
• Cookies: Einwilligungsbanner, zurückgehaltene Skripte Dritter bis zur Zustimmung, Analysetool zum Aufspüren derselben.
• E-Mail: SMTP oder API-Anbieter, Versandprotokoll, Testnachricht, unsichtbares Captcha.
• Weiterleitungen: Exakte Weiterleitungen und 404-Protokoll mit Aufrufanzahl.
• Sicherheit: Sicherheits-Header, Content-Security-Policy, Überprüfung der installierten Plugins.
• Wartung, Aktivitätsprotokoll, benutzerdefinierte Felder, Übersetzung, Medien, Rollen und Verknüpfungen.

Vor dem Aktualisieren von WordPress-Plugins: Schließen, Verschlanken, Sichern

Ein wichtiges Update will vorbereitet sein. Das Wartungsmodul bündelt drei nützliche Handgriffe für diesen Moment: eine Wartungsseite für Besucher, das Bereinigen der Datenbank und einen Export ebendieser Datenbank.

Die Reihenfolge ist einfach. Sie bereinigen die Datenbank, damit sie schlanker wird, erstellen mit dem Export eine Kopie und schalten dann für die Dauer des Eingriffs die Wartungsseite ein. Sollte ein Update Probleme bereiten, sehen die Besucher keine halb kaputte Website und Sie haben eine aktuelle Kopie der Datenbank zur Hand.

Mit nexya Pro kann die Bereinigung der Datenbank automatisiert werden, sodass man nicht jedes Mal daran denken muss.

Danach: Wissen, was sich geändert hat

Das Aktivitätsprotokoll hält fest, wer was geändert hat, inklusive des Vorher- und Nachher-Werts. Nach einer Reihe von Updates wissen Sie genau, was sich auf der Website bewegt hat und von wem, anstatt es aus dem Gedächtnis rekonstruieren zu müssen.

Das ist auch dann nützlich, wenn mehrere Personen an derselben Website arbeiten. Wenn sich zwischen zwei Eingriffen eine Einstellung geändert hat, zeigt der Protokolleintrag dies an – inklusive des alten Wertes, um ihn wiederherzustellen.

Mit nexya Pro kann eine Änderung direkt aus dem Protokoll heraus rückgängig gemacht werden, und die Speicherdauer der Einträge ist länger.

Eine Update-Routine in vier Schritten

1. 1

   Bestandsaufnahme machen

   Listen Sie Ihre Plugins auf und identifizieren Sie diejenigen, deren Aufgabe einem nexya-Modul entspricht: SEO, Cookies, E-Mails, Weiterleitungen, Sicherheitsheader. Schalten Sie das Modul im Hub ein, übernehmen Sie die Einstellungen und deaktivieren Sie dann das alte Plugin.

   
2. 2

   Datenbank verschlanken und kopieren

   Bereinigen Sie im Wartungsmodul die Datenbank und exportieren Sie sie anschließend. Zeigen Sie dann die Wartungsseite für die Dauer des Eingriffs an.

   
3. 3

   Aktualisieren und Protokoll überprüfen

   Starten Sie die Updates in WordPress. Öffnen Sie danach das Aktivitätsprotokoll, um zu sehen, was sich geändert hat, inklusive des Vorher- und Nachher-Werts.

   
4. 4

   Verbleibende Plugins überprüfen

   Überprüfen Sie im Sicherheitsmodul die installierten Plugins auf bekannte Schwachstellen. Aktualisieren oder ersetzen Sie die gemeldeten Plugins und entfernen Sie anschließend die Wartungsseite.

   

Die verbleibenden Plugins im Blick behalten

Sogar mit nexya werden Sie andere Plugins behalten: einen Page Builder, einen Shop, ein Business-Tool. Das Sicherheitsmodul gleicht die installierten Plugins mit bekannten Schwachstellen ab. So wissen Sie genau, welche davon ein schnelles Update oder einen Ersatz erfordern.

Dasselbe Modul setzt Sicherheits-Header und eine Content-Security-Policy – zwei Einstellungen, die man sonst gerne noch einem weiteren Plugin anvertraut.

Mit nexya Pro läuft die Schwachstellenprüfung täglich, und ein Dateisignaturen-Abgleich spürt Änderungen im Website-Code auf, wobei die Möglichkeit besteht, diese rückgängig zu machen.

Standardmäßig sendet das Plugin keine Daten an Dritte. Funktionen, die über das Netzwerk laufen, und die von ihnen übermittelten Daten sind im Abschnitt über externe Dienste des Plugins aufgelistet.

Was kostenlos ist, was Pro ist

Alle in diesem Artikel genannten Module sind kostenlos, für so viele Websites, wie Sie möchten: Hub, Wartung mit Wartungsseite, Bereinigung und Export der Datenbank, Aktivitätsprotokoll, Schwachstellenprüfung, Sicherheits-Header.

nexya Pro, das auf nexya.dev verkauft wird, übernimmt die wiederkehrenden Aufgaben: tägliche Schwachstellenprüfung, Datei-Fingerabdruck mit Rollback, Zurücksetzen über das Protokoll, geplante Datenbankbereinigung und längere Aufbewahrung der Protokolle. Zudem fügt es zwei Module hinzu: Mailya für Newsletter und einen Seitencache.

Die kostenlose Version enthält diesen Code nicht. nexya Pro wird nach dem Kauf von Freemius bereitgestellt und übernimmt nahtlos das kostenlose Plugin unter Beibehaltung derselben Einstellungen. Sie müssen also nichts neu konfigurieren.