Actualizar un plugin vulnerable de WordPress de forma segura
Actualizar un plugin vulnerable de WordPress empieza cuando el escaneo de vulnerabilidades encuentra uno con un problema de seguridad conocido: la ejecución ofrece dos opciones, actualizarlo a la versión que corrige el problema o desactivarlo. En ambos casos, un administrador aplica el cambio con un clic en WordPress → Relvato. Después, Relvato vuelve a ejecutar todos los monitores que pasaban antes del cambio y, si alguno falla ahora, te avisa y te ofrece «Undo in WordPress». Tienes la corrección sin jugarte la tienda. La interfaz de Relvato está en inglés, así que sus textos aparecen aquí tal cual.
Actualizar a la versión corregida
Cada plugin vulnerable de la ejecución muestra su versión instalada y la versión que corrige todos los problemas encontrados en él. Pulsa «Update to <version> in WordPress»: se abre WordPress → Relvato, donde un administrador pulsa «Update and verify». Para un plugin de wordpress.org, el plugin de Relvato instala exactamente esa versión: la más baja que incluye todas las correcciones, que es el cambio más pequeño que cierra el agujero. Para un plugin que no está allí, consulta más abajo.
Después, la tarjeta sigue la verificación: cuántos de los monitores repetidos han terminado. Tarda unos minutos.
Si un monitor se rompe
Si algún monitor que pasaba antes de la actualización falla ahora, Relvato te avisa y la tarjeta ofrece «Undo in WordPress»: un clic en WordPress → Relvato restaura la versión que tenías y bloquea la versión corregida para que no se reinstale; Revertir una actualización de plugin explica el bloqueo. La tarjeta indica qué monitor falló y enlaza a su ejecución, y la campana de notificaciones también te avisa.
Tras una reversión la vulnerabilidad vuelve a estar abierta, así que la tarjeta ofrece la otra opción: desactivar el plugin hasta que el autor publique una corrección que funcione en tu sitio. Una versión que ya rompió tu sitio no se vuelve a ofrecer nunca.
Desactivar y verificar
Para un plugin que Relvato no puede actualizar —uno que aún no tiene versión corregida, o uno de pago cuyo proveedor no ofrece la descarga—, la tarjeta ofrece «Deactivate in WordPress», que un administrador aplica con «Deactivate and verify». El plugin de Relvato lo desactiva, Relvato vuelve a ejecutar los mismos monitores y, si resulta que el sitio lo necesita, «Undo in WordPress» lo reactiva con un clic.
Relvato nunca desactiva WooCommerce, lo que cerraría la tienda, ni un plugin del que dependan otros plugins activos.
Monitores que no pudieron ejecutarse
Un monitor que se omitió —bloqueada por un firewall, por ejemplo— no demuestra nada en ningún sentido, así que no cuenta; la tarjeta lo marca como no verificado. Si los monitores no han terminado en una hora, Relvato deja de esperar y mantiene el cambio. Y Relvato verifica un solo cambio a la vez por sitio, para que un monitor fallido siempre apunte a un único cambio.
Plugins de pago y de proveedores
Un plugin que no está en wordpress.org —uno de pago, o uno descargado del sitio de su proveedor— solo puede pasar a la versión que su proveedor ofrece en ese momento a través de WordPress, así que esa es la versión que aparece en el botón. El plugin de Relvato primero comprime la versión instalada en un ZIP dentro de wp-content/relvato-backups, una carpeta bloqueada para la web, y luego la actualiza con el actualizador propio de WordPress. Si un monitor se rompe, «Undo in WordPress» restaura esa copia en lugar de reinstalar desde wordpress.org.
Cuando el proveedor no ofrece la descarga —normalmente porque la licencia del plugin no está activa en el sitio—, la tarjeta lo dice en lugar de ofrecer la actualización. Activa la licencia en los ajustes del plugin y vuelve a ejecutar el escaneo.
Plugins con una actualización pendiente
El escaneo también muestra, bajo «Updates available», cada plugin para el que WordPress ofrece una actualización —aunque la versión instalada no tenga ninguna vulnerabilidad conocida—, cada uno con «Update to <version> in WordPress». Funciona igual: se vuelven a ejecutar los monitores que pasaban y, si alguno se rompe, deshaces la actualización con un clic en WordPress.
Si WordPress ya intentó la actualización y no se aplicó, la tarjeta lo indica. O bien falló la descarga, o bien el proveedor devolvió la versión que ya estaba instalada, algo que WordPress registra como una actualización terminada. Lo segundo suele significar que la licencia del plugin no está activa en el sitio.
Qué ofrece Relvato para un plugin vulnerable
| Plugin | Actualizar | Desactivar |
|---|---|---|
| De wordpress.org, con una corrección conocida | Sí, a la versión más baja que corrige todos los problemas | Sí |
| De pago, o fuera de wordpress.org | No: actualízalo desde su proveedor | Sí |
| Aún sin corrección conocida para algún problema | No | Sí |
| La versión corregida ya rompió este sitio | No: esa versión está bloqueada | Sí |
| WooCommerce | No: su actualización no se puede deshacer con seguridad | No: cerraría la tienda |
Preguntas frecuentes
¿Por qué la versión corregida más baja y no la última?
Es el cambio más pequeño que cierra todos los problemas conocidos, así que hay menos cosas que se puedan romper. Las versiones más nuevas siguen llegando con las actualizaciones de WordPress, y Relvato comprueba cada una.
¿Qué monitores se vuelven a ejecutar?
Todos los monitores activados cuya última ejecución pasó. Un monitor que ya estaba fallando no puede hacer que Relvato ofrezca deshacer una actualización buena.
¿Por qué WooCommerce no se actualiza así?
Sus actualizaciones migran la base de datos, y ejecutar código antiguo de WooCommerce sobre una base de datos más nueva no está soportado, así que deshacerlo no sería seguro. Haz una copia de seguridad y actualízalo desde WordPress.
¿Qué versión del plugin necesito?
El plugin de Relvato 1.10.0 o posterior, y 1.11.0 o posterior para actualizar un plugin que no está en wordpress.org. Si el tuyo es más antiguo, la tarjeta te pide que lo actualices primero.