Gekaufte Plugins und Themes sehen oft erst nach, ob es ein Update gibt, wenn jemand im Verwaltungsbereich der Seite angemeldet ist. Eine Prüfung, die frühmorgens läuft, bekommt sie deshalb nie zu sehen. Gelernt habe ich das, nachdem ich Ende März aufgehört hatte, selbst nach offenen WordPress-Updates zu suchen. Seitdem meldet jede Seite, auf der mein Plugin läuft, selbst, was ansteht, und am nächsten Morgen steht es in KIRAs Tagesplan.
Für dich in 30 Sekunden
- Lass deine Seiten selbst melden, statt jeden Morgen nachzusehen.
- Trenne Melden und Einspielen. Ein Update, das automatisch kommt, kann eine Seite auch automatisch kaputt machen.
- Frag, was deine Prüfung nicht sehen kann. Bei WordPress sind das oft genau die gekauften Plugins und Themes.
Lesezeit rund 7 Minuten
Was ich wollte: WordPress-Updates im Blick behalten
Eine WordPress-Seite besteht aus drei Teilen, die sich ständig ändern: WordPress selbst, die Plugins, also die Erweiterungen für Formulare, Shop oder Suchmaschinen, und das Theme, das für das Aussehen sorgt. Alle drei bekommen Updates, die oft Fehler beheben und Sicherheitslücken schließen. Wer eine Seite betreut, muss wissen, wo etwas offen ist.
Die Seiten sollten mir selbst sagen, was ansteht, und das Ergebnis sollte dort landen, wo ich ohnehin jeden Tag hinschaue: im Tagesplan.
Was ich gemacht habe: ein Plugin, das Updates meldet
Am 21. März: ein Briefkasten für Meldungen
Zuerst brauchte es einen Ort, an dem Meldungen ankommen. Meine Projekt-App bekam am 21. März eine Schnittstelle dafür, also eine Adresse, an die eine Website ihre Liste schicken kann. Die Projekt-App prüft, ob der Lizenzschlüssel stimmt, ob er zur Adresse der Seite passt und ob es für diese Seite einen Wartungsvertrag gibt. Dann legt sie je Kunde eine Aufgabe „WordPress Updates“ an, mit einem Eintrag je Update, zum Beispiel „Plugin: Name (alt → neu)“.
Der wichtigste Gedanke steckt im Abhaken: Was in der nächsten Meldung nicht mehr auftaucht, gilt als eingespielt und wird als erledigt markiert. Kommt eine leere Liste, ist die ganze Aufgabe abgeschlossen. Niemand muss etwas von Hand abhaken.
Am selben Tag bekam KIRA dazu einen eigenen Prüfschritt in ihrem nächtlichen Durchlauf. Er holt die offenen Update-Aufgaben in meinen Tagesplan, mit Kundenname und Anzahl der Updates, ohne doppelte Einträge. Und er hakt sie im Tagesplan ab, sobald sie in der Projekt-App erledigt sind.
Am 26. März: das Plugin
Dann fehlte noch der Absender. Am 26. März war die erste Fassung meines eigenen Plugins fertig: das DM Toolkit. Im Änderungsprotokoll steht es als „Modulares Service-Plugin für alle DerMacher-Kunden“. Modular heißt: ein Plugin mit einzelnen Bausteinen, die sich je Seite ein- und ausschalten lassen. Alle Seiten bekommen dieselben Dateien und nutzen davon so viel, wie sie brauchen. Zum Start waren es drei Bausteine: Einstellungen, SEO-Daten und der Update-Check.
Der Update-Check startet jeden Tag ab 6 Uhr über die eingebaute Zeitsteuerung von WordPress, genauer beim ersten Seitenaufruf danach. Er sammelt, was bei WordPress, den Plugins und den Themes offen ist, und schickt die Liste zusammen mit dem Lizenzschlüssel und der Adresse der Seite ab. Ohne gültige Lizenz wird nichts gesendet. WooCommerce, das Shop-Plugin, läuft dabei als gewöhnliches Plugin mit, eine eigene Prüfung dafür gibt es nicht.
Wichtig ist, was das Plugin nicht tut: Es spielt keine Updates selbst ein. Es meldet nur. Ob und wann ein Update auf eine Seite kommt, entscheide ich.
Warum ein eigenes Plugin und kein fertiges Werkzeug für die Wartung? Weil ich Werkzeuge brauche, die nur das machen, was sie machen sollen.
Was schwierig war: blinde Flecken und ein Umzug
Was die tägliche Prüfung nicht sieht
Gekaufte Plugins und Themes holen ihre Updates oft nicht aus dem offiziellen WordPress-Verzeichnis, sondern über einen eigenen Prüfer des Herstellers. Und der läuft oft nur, wenn jemand im Verwaltungsbereich der Seite angemeldet ist. Die tägliche Prüfung ab 6 Uhr hat diese Updates schlicht nicht gesehen.
Die Lösung steht schon im ersten Stand im Versionsarchiv vom 31. März: Ein Besuch im Verwaltungsbereich löst eine Momentaufnahme aus, höchstens einmal pro Stunde, und die geht mit der nächsten Meldung mit. Dazu kommen die Sicherheitspatches des Themes, die auf einem eigenen Weg geliefert werden.
Eine Aufgabe ist keine Adresse
Im August haben KIRA und ich aneinander vorbeigeredet. Ich sagte, die Updates seien überall erledigt, außer auf meiner eigenen Website. Im Plan sah es nach drei offenen Seiten aus, und keine davon war meine.
Der Grund: Die Aufgabe trägt im Titel nur den Namen des Kunden, die Adresse der Seite steht erst in der Beschreibung. Zwei Seiten liefen unter dem falschen Kunden, und meine eigene war gar nicht erfasst. Wer nur den Titel liest, hakt die falsche Seite ab.
Der Umzug im Juli
Als die Projekt-App im Juli abgeschaltet wurde, zogen die Meldungen zu macher.one um. Eine neue Adresse im Plugin, sonst nichts, so sah es aus. Beim Lizenz-Check wäre ein bloßer Adresstausch aber schiefgegangen: Die neue Antwort hätte anders ausgesehen, und die Plugins hätten ihre Lizenz für ungültig gehalten und ihre Bausteine abgeschaltet. Deshalb bekam macher.one eine eigene Adresse, die genau so antwortet wie die alte.
Merksatz:
Eine Meldung ist nur so gut wie die Prüfung, die sie erzeugt, und die Stelle, an der sie landet.
Was du daraus mitnehmen kannst: Tipps für deine WordPress-Updates
- Lass deine Seiten selbst melden, statt nachzusehen. Eine tägliche Liste ersetzt das morgendliche Durchklicken.
- Trenne Melden und Einspielen. Ein Update, das automatisch kommt, kann eine Seite auch automatisch kaputt machen.
- Berechne „erledigt“, statt es abzuhaken. Was nicht mehr gemeldet wird, ist eingespielt.
- Frag, was deine Prüfung nicht sehen kann. Bei WordPress sind das oft gekaufte Plugins und Themes.
- Schreib die Adresse der Seite in den Titel. Ein Kunde kann mehrere Seiten haben.
Ohne selbst zu programmieren
Auch ohne eigenes Plugin bekommst du einen Überblick. WordPress zeigt im Verwaltungsbereich unter „Dashboard“ und „Aktualisierungen“, was offen ist. Melde dich deshalb regelmäßig dort an, gerade wegen der gekauften Plugins, die erst dann nachsehen. Und bevor du ein großes Update einspielst, frag die KI: „Was hat sich in dieser Version geändert, und worauf sollte ich danach auf meiner Seite achten?“ Die Antwort vergleichst du dann mit dem Änderungsprotokoll des Herstellers, denn nur dort steht, was wirklich drin ist.
Fragen, die du der KI stellen kannst
- „Warum soll ich WordPress-Updates überhaupt regelmäßig einspielen, und was kann passieren, wenn ich es nicht tue?“
- „Welche Plugins auf meiner Seite holen ihre Updates nicht aus dem WordPress-Verzeichnis?“
- „Zeig mir mit Datei und Zeile, woher mein Update-Bericht seine Liste nimmt und welche Updates er dabei nicht sehen kann.“
Wie es weitergeht: Fehler finden, bevor der Kunde sie findet
Dasselbe Plugin meldete vom ersten Tag an noch etwas anderes: Fehler, an denen eine Seite abstürzt. Bald wurde jeder Absturz zu einer Nachricht auf meinem Handy, und danach war ich fast vier Monate damit beschäftigt, diese Nachrichten wieder leiser zu machen. Warum ein Alarm, der zu oft schreit, so gefährlich ist wie einer, der schweigt, erzähle ich in Kapitel 13.
Was du noch wissen solltest
Viele Updates schließen Sicherheitslücken. Sobald eine Lücke bekannt ist, suchen automatische Angriffe gezielt nach Seiten, die noch die alte Fassung haben, ganz egal, wie klein die Seite ist. Eine Seite kann also tadellos aussehen und trotzdem offen stehen.
WordPress kann Aufgaben zu festen Zeiten anstoßen, etwa einen täglichen Check. Standardmäßig läuft so eine Aufgabe aber nur, wenn gerade jemand die Seite aufruft. Auf einer Seite mit wenig Besuch kann sie sich deshalb verspäten, weshalb viele Betreuer sie zusätzlich über einen echten Zeitplan am Server anstoßen lassen.
Das offizielle Verzeichnis führt nur kostenlose Plugins und Themes. Gekaufte liefert der Hersteller selbst aus, meist nur gegen einen gültigen Lizenzschlüssel bei ihm. Deshalb haben sie einen eigenen Weg für Updates, und den sieht nicht jede Prüfung.
WordPress spielt kleine Sicherheitsupdates für sich selbst standardmäßig automatisch ein, für Plugins und Themes lässt sich das je Erweiterung einschalten. Das spart Arbeit, aber ein Update kann sich mit einem anderen Plugin oder dem Theme beißen, und dann merkt es zuerst der Besucher. Bei einer einfachen Seite ist das oft vertretbar, bei einem Shop oder einer stark angepassten Seite besser gezielt von Hand.
Vorher eine vollständige Sicherung von Dateien und Datenbank machen. Größere Sprünge, etwa eine neue Hauptversion, zuerst auf einer Testkopie der Seite ausprobieren. Danach die wichtigsten Seiten durchklicken, bei einem Shop auch einmal bis zur Kasse.
Ein Lizenzschlüssel ist eine Art Seriennummer, mit der sich das Plugin ausweist. Damit erkennt die Gegenstelle, von welcher Seite eine Meldung kommt, prüft, ob der Schlüssel zur Adresse passt und ob es für die Seite einen Wartungsvertrag gibt. Ohne gültigen Schlüssel schickt das Plugin gar nichts ab.
