Trong bảng điều khiển WordPress của bạn có lẽ đang hiện một con số đỏ: "14 bản cập nhật". Nhiều chủ website hoặc mặc kệ nó suốt hai năm, hoặc một hôm bấm "Cập nhật tất cả" rồi website trắng trang giữa buổi sáng. Cả hai cách đều sai, và cách đúng chỉ mất 30 phút mỗi tháng.
Vì sao phải cập nhật
Không phải để có tính năng mới. Lý do chính là bảo mật: mỗi bản cập nhật WordPress hoặc plugin thường vá một vài lỗ hổng đã được công bố công khai. Ngay khi công bố, các công cụ quét tự động bắt đầu tìm website chưa vá. Website chậm cập nhật 3–6 tháng gần như chắc chắn nằm trong danh sách mục tiêu.
Khi chúng tôi kiểm tra website của khách mới, hơn nửa số website WordPress đang chạy phiên bản cũ trên một năm. Đó là lý do bài website bị hack phải làm gì là bài được hỏi nhiều nhất.
Bốn thứ cần cập nhật, theo thứ tự
| Thứ tự | Thành phần | Nhịp ra bản mới | Rủi ro khi cập nhật |
|---|---|---|---|
| 1 | Plugin | Liên tục, nhiều plugin ra bản mới hàng tuần | Trung bình, tuỳ plugin |
| 2 | Theme | Vài tháng một lần | Cao nếu theme đã bị sửa trực tiếp |
| 3 | WordPress (core) | Bản nhỏ hàng tháng, bản lớn 2–3 lần/năm | Thấp với bản nhỏ, trung bình với bản lớn |
| 4 | PHP (trên hosting) | Mỗi năm một phiên bản, mỗi phiên bản hỗ trợ khoảng 3 năm | Cao nếu plugin, theme cũ |
Thứ tự này có lý do: cập nhật plugin trước để chúng tương thích với bản WordPress mới sắp lên; PHP để cuối cùng vì ảnh hưởng tới mọi thứ.
Quy trình 30 phút mỗi tháng
Trước khi bấm bất cứ gì (10 phút)
- Sao lưu: cả file và cơ sở dữ liệu. Kiểm tra bản sao lưu vừa tạo có dung lượng hợp lý (không phải 0 KB).
- Chọn giờ: sáng sớm hoặc tối, lúc ít khách. Không cập nhật lúc đang chạy quảng cáo hoặc ngày khuyến mãi.
- Đọc ghi chú phiên bản của plugin quan trọng (WooCommerce, trình dựng trang, plugin thanh toán). Bản "lớn" (số đầu đổi, ví dụ 8.x lên 9.0) cần thử trên bản nháp trước.
Cập nhật (10 phút)
- Cập nhật plugin từng cái một hoặc theo nhóm nhỏ, mỗi lần xong mở trang chủ xem còn chạy không. Nếu website trắng trang, bạn biết ngay do plugin nào.
- Cập nhật theme. Nếu theme đã được người làm web sửa trực tiếp mà không dùng theme con (child theme), đừng cập nhật cho tới khi kỹ thuật kiểm tra, vì cập nhật sẽ xoá sạch phần đã sửa.
- Cập nhật WordPress.
- Xoá plugin và theme không dùng. Plugin đã tắt vẫn có thể bị khai thác nếu còn file.
Sau khi cập nhật (10 phút)
- Mở trang chủ, một trang dịch vụ, một bài viết, trang liên hệ. Trên cả máy tính và điện thoại.
- Gửi thử form liên hệ.
- Nếu có bán hàng: thêm sản phẩm vào giỏ, đi tới bước thanh toán.
- Ghi lại: ngày, đã cập nhật gì, có lỗi gì. Một dòng trong file ghi chú là đủ.
PHP: thứ bị bỏ quên nhiều nhất
PHP là ngôn ngữ chạy WordPress, cài trên hosting, không hiện trong bảng cập nhật của WordPress nên hầu như không ai để ý. Thực tế khi kiểm tra: rất nhiều website tại Việt Nam vẫn chạy PHP 7.4, thậm chí 5.6, đã ngừng vá lỗi bảo mật từ nhiều năm.
Cách xem: trong WordPress vào Công cụ → Sức khoẻ trang web → Thông tin → Máy chủ. Dưới 8.1 là cần nâng. Cách nâng: trong bảng điều khiển hosting, mục PHP Selector hoặc MultiPHP, chọn 8.2 hoặc 8.3. Thử trước trên bản nháp vì plugin và theme cũ có thể lỗi với PHP mới, và giữ sẵn cách hạ về phiên bản cũ.
Khi website trắng trang sau cập nhật
Đừng hoảng. Trắng trang gần như luôn do một plugin hoặc theme không tương thích.
- Vào hosting bằng File Manager hoặc FTP.
- Vào thư mục `wp-content/plugins`, đổi tên thư mục của plugin vừa cập nhật (thêm `-off` vào cuối). Website sẽ chạy lại nếu đúng plugin đó.
- Nếu không xác định được plugin nào, đổi tên cả thư mục `plugins` thành `plugins-off`, website chạy lại, rồi đổi tên lại và bật từng plugin.
- Nếu vẫn trắng: khôi phục bản sao lưu vừa tạo ở bước 1. Đó là lý do bước 1 không được bỏ.
Nên bật cập nhật tự động không?
- Bản nhỏ của WordPress (ví dụ 6.6.1 → 6.6.2): bật tự động. Chủ yếu là vá bảo mật, rủi ro thấp.
- Plugin: chỉ bật tự động cho plugin nhỏ, ít ảnh hưởng (SEO, bảo mật). Không bật cho trình dựng trang, WooCommerce, plugin thanh toán.
- Theme và bản lớn của WordPress: làm tay.
Nếu không có ai làm việc này
Quy trình trên là 30 phút mỗi tháng nếu có người biết làm và nhớ làm. Với đa số doanh nghiệp nhỏ, cả hai điều kiện đều không có, và website cứ thế cũ dần. Việc cập nhật hàng tháng, sao lưu trước khi cập nhật, và kiểm tra sau cập nhật nằm trong mọi gói bảo trì và quản trị website của chúng tôi, có ghi vào báo cáo tháng.
Muốn biết website của bạn đang chạy WordPress và PHP phiên bản nào mà không cần đăng nhập? Gửi link ở đây, báo cáo kiểm tra miễn phí đọc được phần lớn thông tin đó từ bên ngoài.
