Automatische updates in WordPress: wat zet je wel en niet aan?

WordPress werkt kleine core-updates (onderhouds- en beveiligingsreleases) en vertalingen standaard automatisch bij. Nieuwe installaties sinds WordPress 5.6 doen dat ook met grote core-updates. Plugins en thema's worden alleen automatisch bijgewerkt als jij dat per plugin of thema aanzet, of in uitzonderlijke gevallen bij een kritiek lek.

Mijn advies: laat kleine core-updates en vertalingen altijd aan, en zet automatische updates van plugins alleen aan voor eenvoudige plugins met een goede updatehistorie. Zorg in alle gevallen voor een back-up en monitoring. Dat hoort bij website-onderhoud.

De soorten automatische updates in WordPress

WordPress kent vier soorten automatische achtergrondupdates:

• Core, onderverdeeld in development-, minor- en major-updates;
• plugins;
• thema's;
• vertalingen.

Een minor-update gaat bijvoorbeeld van 6.8.1 naar 6.8.2 en bevat fixes en beveiligingsupdates. Een major-update gaat naar een nieuwe hoofdversie. Bestaande installaties van vóór 5.6 houden het oude gedrag: alleen minor-updates, tenzij de beheerder major-updates aanzet.

Plugins en thema's van WordPress.org kan het WordPress-securityteam bij een kritiek lek geforceerd laten bijwerken. Dat gebeurt zelden en alleen via de update-API van WordPress.org.

Instellen via het dashboard

In Dashboard → Updates zie je of je site automatisch bijwerkt naar nieuwe hoofdversies, en kun je dat aan- of uitzetten. In de pluginlijst en bij de thema's staat per item een link om automatische updates in te schakelen of uit te schakelen.

Instellen via wp-config.php

Met de constante WP_AUTO_UPDATE_CORE leg je het gedrag van core vast. De constante overschrijft de instelling op het scherm Updates.

// Alleen minor core-updates (onderhoud en beveiliging)
define( 'WP_AUTO_UPDATE_CORE', 'minor' );

// Alle core-updates: development, minor en major
// define( 'WP_AUTO_UPDATE_CORE', true );

// Geen enkele core-update
// define( 'WP_AUTO_UPDATE_CORE', false );

Er is ook define( 'AUTOMATIC_UPDATER_DISABLED', true );. Die zet álle automatische updates uit, ook de beveiligingsupdates. Het WordPress-coreteam raadt dat sterk af, en ik ook.

Filters voor plugins en thema's

Wil je het per plugin regelen, onafhankelijk van wat er in het dashboard wordt aangeklikt, gebruik dan filters. Zet ze in een must-use plugin (wp-content/mu-plugins/), niet in wp-config.php. Daar kunnen ze conflicteren met WP-CLI.

<?php
// mu-plugin: alleen deze plugins automatisch bijwerken
add_filter( 'auto_update_plugin', function ( $update, $item ) {
    $plugins = array( 'akismet' );
    return in_array( $item->slug, $plugins, true ) ? true : $update;
}, 10, 2 );

Andere filters zijn auto_update_theme, auto_update_translation, allow_minor_auto_core_updates, allow_major_auto_core_updates en auto_core_update_send_email.

Let op: add_filter( 'auto_update_plugin', '__return_false' ); blokkeert ook de geforceerde beveiligingsupdates van het securityteam.

Overzicht van automatische updates in WordPress met de standaardinstelling en de plek waar je elke soort instelt.

Wat je beter niet automatisch bijwerkt

• WooCommerce en andere plugins met database-updates. Een nieuwe versie kan een database-update vragen. Die wil je gecontroleerd uitvoeren, niet midden in de nacht.
• Premium plugins. Die komen niet via WordPress.org, maar via een eigen updater met licentie. Hun gedrag bij automatische updates verschilt per leverancier.
• Plugins die veel met elkaar samenwerken, zoals een paginabouwer met add-ons. Een update van het ene deel kan het andere breken.

Staat je site onder versiebeheer, bijvoorbeeld met een .git-map in de installatie, dan schakelt WordPress automatische updates stil uit. Updates lopen dan via je deployproces.

Back-up en monitoring

Een automatische update zonder back-up is een gok. Zorg dat er dagelijks een back-up buiten de server staat en dat je weet hoe je die terugzet. Laat de e-mail van WordPress na een automatische update binnenkomen op een adres dat iemand leest, en controleer na een update de belangrijkste pagina's en formulieren.

Bronnen

https://developer.wordpress.org/advanced-administration/upgrade/upgrading/