אתר וורדפרס לא מעודכן: מה באמת עלול לקרות כשמזניחים תחזוקה?

"האתר שלי עובד מצוין, אז למה אני צריך תחזוקה?"

זאת שאלה שאני שומע הרבה, ואני מבין מאיפה היא מגיעה. אם האתר נפתח, העיצוב יפה והכול נראה במקום, קל לחשוב שאין באמת סיבה לגעת בו.

רק שאתר הוא לא תמונה שתולים על הקיר ושוכחים ממנה. מאחורי העיצוב יש WordPress, תוספים, שרת, טפסים ולפעמים גם מערכת סליקה וחיבורים נוספים. כל אחד מהחלקים האלה יכול להשתנות, להתיישן או להפסיק להסתדר עם השאר.

הבעיה היא שלא כל תקלה רואים מיד. לפעמים האתר ממשיך להיראות תקין, בזמן שמתחת לפני השטח מצטברים רכיבים ישנים, חיבורים בעייתיים וסיכוני אבטחה. לא כל אתר ישן הוא אתר מסוכן, ועדכונים לא מבטיחים שלא יהיו תקלות. אבל ככל שמזניחים את התחזוקה, כך גדל הסיכוי לגלות בעיה דווקא כשהלקוחות צריכים את האתר.

במאמר הזה אראה מה עלול לקרות כשלא מתחזקים אתר, אילו סימנים אפשר לזהות לבד ואיך ניגשים לתיקון בצורה מסודרת, בלי לשבור משהו שעוד עובד.

האם אתר יכול להיות מסוכן גם אם הכול נראה תקין?

כן. מראה תקין אינו בדיקת אבטחה. גם אתר שעולה מהר וכולל תעודת HTTPS יכול להכיל תוסף עם חולשה ידועה או משתמש מנהל שכבר אינו צריך גישה.

חלק מהבעיות מתגלות לגולש מיד, למשל הודעת שגיאה. אחרות שקטות יותר: קובץ שהשתנה בלי הרשאה, ניסיונות כניסה חוזרים, הודעות שלא נשלחות או תהליכים שרצים ברקע. לכן אי אפשר להסיק על מצב התחזוקה רק מהעובדה שעמוד הבית נפתח.

מצד שני, לא צריך להיבהל מכל עיגול אדום בלוח הניהול. כדאי לבדוק איזה רכיב דורש עדכון, עד כמה הוא חשוב ומה המשמעות של השינוי לאתר שלכם.

שבעה דברים שעלולים לקרות כשהאתר לא מתוחזק

1. חולשות אבטחה נשארות פתוחות

כאשר מפתחי תוסף או WordPress מפרסמים תיקון אבטחה, המטרה היא לסגור בעיה שהתגלתה. אתר שממשיך לפעול עם גרסה פגיעה עלול להישאר חשוף לניצול של אותה חולשה. הסיכון תלוי בחומרת החולשה, בתנאי הניצול ובהגנות הקיימות, ולא רק במספר הגרסה.

חשוב להבין: עדכון אינו מבטיח אפס פריצות, אבל התעלמות מעדכוני אבטחה ידועים היא בחירה מיותרת בסיכון. אם כבר יש סימנים לפגיעה, צריך טיפול בפריצה עצמה ולא רק לחיצה על "עדכן".

אם יש חשד שהאתר כבר נפגע, הכנתי מדריך לאתר שנפרץ עם סדר הפעולות הראשוני, לפני שממשיכים בעדכונים.

בסרטון קצר הסברתי איך לאבטח את האתר בצורה הכי טובה:

הצגת התמלול

"פרצו לי לאתר" זה החלום השחור של כל בעל אתר.

אז הנה כמה שלבים פשוטים שתעשו כדי לוודא שהאתר שלכם מאובטח.

הדבר הראשון הוא בחירה נכונה של חברת אחסון. אם בוחרים חברת אחסון אמינה, חלק גדול מהעבודה כבר נעשה.

דבר שני, וזה אולי ברור אבל עדיין חשוב להזכיר, הוא תעודת SSL באתר. כמעט כל חברות האחסון מאפשרות להתקין אותה בחינם.

דבר שלישי, שנו את כתובת ההתחברות לממשק הניהול. ברירת המחדל בוורדפרס היא wp-admin, והכתובת הזאת מוכרת לכל מי שמנסה לפרוץ לאתרים.

דבר רביעי, עדכנו באופן קבוע את וורדפרס, התוספים והתבניות. הרבה עדכונים סוגרים פרצות אבטחה שהתגלו.

ודבר חמישי, התקינו תוסף אבטחה.

אני עובד עם Wordfence, ובנוסף מגביל את מספר ניסיונות ההתחברות ומוסיף אימות דו שלבי למי שמנסה להיכנס לאתר.

כמובן שיש עוד דברים שאפשר לעשות בשביל אבטחה מלאה, אבל תתחילו מכאן וכבר תחסמו חלק גדול מניסיונות הפריצה.

המשך יום מאובטח לכולם.

2. תוספים מפסיקים להסתדר זה עם זה

תוסף טפסים, תבנית, בונה עמודים ותוסף מטמון עובדים יחד. ככל שעובר זמן, גרסאות מתרחקות זו מזו. יום אחד מתקינים תוסף חדש או משנים גרסת PHP, ואז משהו שהיה "בסדר" במשך חודשים מפסיק לעבוד.

לא כל תקלה נוצרת מהזנחה, אבל כשהאתר לא עבר תחזוקה מסודרת הרבה זמן, קשה יותר לזהות איזה רכיב גרם לבעיה ומתי היא התחילה.

3. האתר נהיה איטי או לא יציב

אתר איטי יכול להיגרם מתמונות כבדות, שרת לא מתאים, תוספים עמוסים, סקריפטים חיצוניים או מסד נתונים שדורש בדיקה. אין דרך אחת לפתור כל אתר איטי, וכשלא עוקבים אחרי הביצועים, הבעיות האלה עלולות להצטבר בלי שמישהו ישים לב.

לפעמים הטעינה איטית רק בנייד, ולפעמים רק בעמודים מסוימים. לכן מדידה של עמוד אחד במחשב אינה מספקת. כדאי לבדוק את העמודים המרכזיים ואת הפעולות שמבקרים באמת מבצעים.

אם המהירות היא הבעיה העיקרית, הנה 8 סיבות לאתר איטי ומה כדאי לבדוק קודם.

4. פניות מלקוחות מפסיקות להגיע

לפעמים הטופס מציג "ההודעה נשלחה", אבל הפנייה לא מגיעה לעסק. אם אף אחד לא בודק זאת מדי פעם, אפשר להפסיד לידים בלי לשים לב. בדיקת טופס אמיתית כוללת שליחת פניית ניסיון, בדיקה שהפרטים הגיעו ליעד הנכון ושההודעה לא נתקעה בספאם או בחיבור למערכת חיצונית. במדריך לטופס יצירת קשר שלא שולח מיילים הסברתי איך בודקים את התקלה.

5. חנות אונליין מאבדת הזמנות בלי לדעת

זה כבר קרה ללקוח שלי: במשך כמה ימים לא נכנסו הזמנות לחנות שלו. כשנכנסתי לבדוק, האתר והמוצרים נראו תקינים. רק בקופה גיליתי שדה שלא עבד ומנע מלקוחות להשלים רכישה. תיקנתי את הבעיה ובדקתי שתהליך הקנייה עובד שוב.

זו בדיוק הסיבה שגם חנות שנראית מצוין צריכה בדיקות תקינות. פירטתי מה חשוב לבדוק במדריך לתחזוקת חנות אונליין: 9 בדיקות שלא כדאי לפספס.

6. הגיבויים מתגלים כחסרים דווקא כשצריך אותם

לפעמים האתר מגובה במשך חודשים, אבל איש לא בדק האם הגיבוי כולל גם קבצים וגם מסד נתונים, היכן הוא מאוחסן ואם אפשר לשחזר אותו. במקרה של תקלה, מגלים שאין נקודת חזרה מתאימה.

לכן כדאי להבין לא רק מתי נוצר גיבוי, אלא גם איך אפשר להשתמש בו במקרה הצורך. את ההסבר המלא על שחזור ואובדן מידע ריכזתי במדריך גיבוי אתר וורדפרס.

7. כל תקלה הופכת לפרויקט חירום

כשאין רישום של שינויים, אין כתובת לטיפול ואין תיעוד של הגישות והחיבורים, גם תקלה קטנה יכולה לקחת יותר זמן. מתחילים לחפש מי מחזיק בסיסמה לאחסון, מי שילם על הרישיון ומתי בוצע גיבוי אחרון.

תחזוקה לא מבטיחה שלא יהיו תקלות, אבל היא עוזרת להתמודד איתן מהר ובצורה מסודרת יותר: עם מידע, גישות, גיבויים, ניטור ותהליך עבודה ברור.

איך מזהים אתר שלא קיבל תחזוקה הרבה זמן?

יש כמה סימנים שכדאי לשים לב אליהם. כל אחד מהם לבדו לא מוכיח שהאתר מסוכן, אבל אם כמה מהם מופיעים יחד, כדאי לבדוק את המצב לעומק.

• עשרות התראות על עדכוני תוספים ותבניות שלא נבדקו זמן רב.
• תוספים שאין להם תחזוקה פעילה או שלא ידוע מי אחראי על הרישיונות שלהם.
• גישה למנהל אתר שנשמרה אצל עובדים וספקים שכבר אינם מעורבים.
• אין תשובה ברורה לשאלה מתי בוצע גיבוי שימושי ולאן הוא נשמר.
• אין בדיקות תקופתיות לטופס, לקופה או לפעולות החשובות באתר.
• האתר חווה נפילות או האטות חוזרות, אבל אף אחד לא אוסף מידע על מועד וסיבת התקלה.
• אין אדם מוגדר שמקבל התראות ומטפל כשמתעוררת בעיה.

אפשר לבצע בדיקת אתר בחינם כדי לקבל תמונת מצב חיצונית ראשונית על נושאי אבטחה, ביצועים וגרסאות. הבדיקה מועילה בתור התחלה, אבל היא לא רואה כל דבר שקורה בתוך מערכת הניהול ולא מחליפה בדיקה של תהליכי רכישה ופניות.

האם כדאי פשוט לעדכן הכול עכשיו?

לא בהכרח. אם האתר לא עודכן במשך תקופה ארוכה, חשוב יותר לפעול בצורה מסודרת. קפיצה של כמה גרסאות בבת אחת עלולה לחשוף חוסר תאימות בין רכיבים, במיוחד כשהאתר כולל תוספים ישנים או קוד מותאם.

הייתי מתחיל במיפוי: מה מותקן, מה פעיל, מה כבר לא נתמך, האם קיים גיבוי תקין ואילו תהליכים קריטיים לא יכולים להיפגע. לאחר מכן מתכננים עדכונים לפי דחיפות, מכינים סביבת בדיקה במידת הצורך, ורק אז נוגעים באתר החי.

אין הצדקה להשאיר חולשת אבטחה משמעותית פתוחה בלי סיבה, אבל הפתרון הוא טיפול מתוכנן ומהיר, לא לחיצה עיוורת על כל הכפתורים. מי שרוצה להבין את סדר העבודה יכול להמשיך למדריך המלא לעדכון תוספים בוורדפרס.

תחזוקה מונעת: מה באמת צריך לעשות בקביעות?

עדכונים עם בדיקה אחריהם

עוברים על גרסאות WordPress, תבניות ותוספים, בוחנים עדכונים ומוודאים שהאתר ממשיך לתפקד לאחר התקנתם. אני מכיר את זה מהשטח: נתקלתי לא פעם באתר שנפל בעקבות עדכון תוסף. לכן השאלה החשובה היא לא רק אם העדכון הסתיים, אלא אם האתר והפעולות החשובות שבו עדיין עובדים. רמת הבדיקה משתנה בהתאם לסוג האתר ולסיכון של הרכיב שעודכן.

גיבויים ואפשרות התאוששות

דואגים לגיבויים עם תדירות מתאימה, שמירה בטוחה ובקרה שהם מתבצעים. מפעם לפעם כדאי גם לבדוק יכולת שחזור, ולא רק להניח שכל קובץ גיבוי שימושי.

ניטור זמינות ואבטחה

מגדירים התראות על בעיות זמינות, עוקבים אחרי אירועים חריגים ומטפלים בחולשות ידועות. חשוב לזכור שניטור של עמוד הבית אינו בודק אוטומטית שכל הפונקציות באתר תקינות.

בדיקות של מה שמכניס לכם כסף

באתר תדמית אני שם דגש על פעולות כמו שליחת טופס, לחיצה להתקשרות או קביעת פגישה. בחנות חשוב לבדוק גם סל קניות, קופה ותשלומים. הרי מה שחשוב הוא לא רק שהאתר ייטען, אלא שהלקוח יוכל לבצע את הפעולה שבשבילה נכנס אליו.

סדר בגישות, רישיונות ותיעוד

בודקים מי צריך גישה, מי מחזיק רישיונות ואיפה נשמר מידע טכני חשוב. לעיתים עבודה פשוטה של סידור הגישות חוסכת הרבה בלגן בזמן התקלה הבאה.

כמה עולה להזניח אתר לעומת לתחזק אותו?

אין דרך להבטיח שתחזוקה תחסוך תמיד סכום מסוים, ובטח לא נכון להמציא מספרי הפסד כדי להפחיד. אבל אפשר לחשוב על העלויות האפשריות: זמן שבו האתר לא זמין, פניות שלא הגיעו, שעות עבודה לתיקון חירום, אובדן מידע או התאוששות מאירוע אבטחה.

לעומת זאת, תחזוקה שוטפת היא הוצאה שניתן לתכנן מראש לפי סוג האתר ורמת השירות. אם אתם רוצים להבין את טווחי המחירים ומה באמת כלול בהם, תוכלו לקרוא את מדריך מחירי התחזוקה של טוויסט. המאמר מפריד בין אתר קטן לחנות מורכבת ובין תחזוקה שוטפת לפיתוח חדש.

מה עושים אם האתר שלכם כבר מוזנח?

לא חייבים להתחיל הכול מחדש. הרבה אתרי וורדפרס אפשר להחזיר לתחזוקה מסודרת באמצעות בדיקה, ניקוי רכיבים מיותרים, טיפול בעדכונים חשובים, תיקון גישות וסידור גיבויים.

עם זאת, אם התשתית הישנה כבר אינה נתמכת, קיימת פגיעה באבטחה או שיש פיתוח מותאם שלא ניתן לעדכן בצורה בטוחה, ייתכן שיידרש שדרוג משמעותי יותר. את זה אפשר להחליט רק אחרי שבודקים את האתר עצמו.

כשאני מקבל אתר לתחזוקה, גם אם לא אני בניתי אותו, אני רוצה להבין קודם מה המצב הקיים. קודם לבדוק מה עובד, מה דורש תיקון ואיך כדאי להמשיך.

בשירות התחזוקה שלי אני דואג גם לאחסון ולחידוש הרישיונות הרלוונטיים לאתר. במקום שתצטרכו לרדוף אחרי כל חידוש או להבין מי מטפל בכל תקלה, יש לכם כתובת אחת.

שאלות נפוצות על אתר וורדפרס לא מעודכן

אם האתר עובד, למה צריך לעדכן אותו?

כי תפקוד גלוי ואבטחה הם שני דברים שונים. עדכונים יכולים לכלול תיקוני אבטחה, באגים ותאימות. כדאי ליישם אותם בצורה מבוקרת, עם גיבוי ובדיקות, ולא להימנע מהם רק מפני שהאתר נראה תקין.

אתר שלא עודכן שנה בהכרח נפרץ?

לא. אי אפשר לקבוע זאת רק לפי הזמן שעבר. אבל ככל שמצטברים רכיבים ישנים וחולשות שלא טופלו, יש יותר דברים שצריך לבדוק. בדיקה מקצועית יכולה להעריך את המצב בפועל.

תוסף אבטחה אחד מספיק כדי להגן על האתר?

לא. אבטחה כוללת גם עדכונים, הרשאות, סיסמאות, שרת, גיבויים, בקרה וטיפול בחולשות ידועות. תוסף אבטחה הוא כלי עזר, לא תחליף לתחזוקה ולניהול סיכונים.

האם תחזוקה מונעת כל נפילה או פריצה?

לא. שום שירות מקצועי לא יכול להבטיח אפס תקלות או חסינות מוחלטת. תחזוקה יכולה לצמצם סיכונים, לסייע בזיהוי מוקדם ולהכין אפשרויות התאוששות.

חייבים את בונה האתר המקורי כדי להתחיל תחזוקה?

בהחלט אפשר לבדוק את האפשרות. כל עוד מדובר באתר WordPress ויש גישות נדרשות, אפשר לבצע אבחון ולראות מה דרוש כדי לקחת עליו אחריות מסודרת. לעיתים צריך קודם להשלים גישות או לטפל בבעיות קיימות.

לא חייבים לחכות שמשהו יישבר

אם האתר שלכם לא קיבל תחזוקה הרבה זמן, אין צורך להיכנס ללחץ, אבל גם לא כדאי להמשיך להתעלם. אפשר להתחיל בבדיקה, להבין את מצב האתר ולהחליט מה חשוב לעשות קודם.

בטוויסט אני נותן שירות תחזוקת אתרי WordPress גם לאתרים שלא בניתי. אני דואג לעדכונים, לגיבויים, לאבטחה ולניטור, ומסביר לכם בשפה פשוטה מה מצב האתר ומה כדאי לעשות עכשיו.

רוצים לדעת מה מצב האתר שלכם? התחילו עם בדיקת האתר בחינם, ואם תרצו שאבדוק את הדברים לעומק, דברו איתי. עדיף לגלות בעיה בבדיקה ולא דרך לקוח שלא הצליח להשאיר פרטים.