Участники WordPress, разработчики и члены сообщества в настоящее время обсуждают предложение о внедрении новой политики в отношении поддержки безопасности для более старых версий. Дискуссия началась на прошлой неделе , когда команда безопасности свинец Джейк Spurlock просил обратную связь на различных подходах к Бэкпортому исправлению безопасности для старых версий. В продолжение этого обсуждения Ян Данн , постоянный участник ядра WordPress, спонсируемый Automattic, опубликовал предложение о продвижении новой политики:
Поддержка последних 6 версий и автоматическое обновление неподдерживаемых сайтов до самой старой поддерживаемой версии.
Это будет означать, что в настоящее время поддерживаются версии 4.7 – 5.2, а ветви 3.7 – 4.6 в конечном итоге будут автоматически обновлены до 4.7.
На практике это обеспечит примерно 2 года поддержки для каждой ветки, и примерно 10% текущих сайтов в конечном итоге будут автоматически обновлены до версии 4.7. После выпуска 5.3 самой старой поддерживаемой версией станет 4.8.
Данн изложил подробный план реализации новой политики, который включает в себя тестирование небольшого подмножества сайтов для выявления проблем перед постепенным обновлением старых сайтов с одной основной версии до следующей (не всех сразу). Администраторы сайта будут уведомлены по крайней мере за 30 дней до автоматических обновлений с помощью электронных писем и уведомлений в администраторе, которые также предложат возможность отказаться.
Предложение получило десятки комментариев, причем некоторые участники поддержали его, некоторые высказались за внесение изменений в развертывание, а другие категорически выступили против идеи автоматического обновления старых сайтов до основных версий.
Одна из основных проблем заключается в том, что многие администраторы не получат никаких уведомлений из-за неработающих адресов электронной почты или из-за того, что они недостаточно часто заходят в свои панели администратора. Противники также утверждают, что, несмотря на то, что существуют резервные варианты для сайтов, которые не могут быть обновлены, некоторые сайты могут быть повреждены таким образом, который WordPress не может обнаружить, из-за проблем с плагинами или темами.
«Внутреннее уведомление даже не сможет восполнить недостаток надежной электронной почты», – сказал Гленн Мессерсмит . «Множество владельцев сайтов никогда не решаются на бэкэнд после того, как их сайт был разработан. Это те самые люди, которые не будут получать уведомления по электронной почте, потому что это адрес давно ушедшего разработчика.
«Никакое обнаружение ошибок не может служить подстраховкой для тех, кто никогда не видел никаких уведомлений. Есть множество способов, которыми владелец сайта может считать свой сайт «сломанным», что скрипт обновления не может обнаружить ».
В ответ на опасения по поводу взлома заброшенных сайтов или из-за того, что администраторы сильно полагаются на плагин, который был заброшен, Данн согласился, что подобные ситуации могут быть неизбежны в рамках текущего предложения.
«Я определенно могу посочувствовать этой ситуации, но мы должны где-то подвести черту», - сказал Данн . «У нас нет неограниченных ресурсов, и текущая политика имеет разрушительные последствия для всей экосистемы WordPress.
«В действительности выбор никогда не бывает между чисто хорошим и чисто плохим; они всегда между конкурирующими компромиссами.
«Я определенно согласен с тем, что это плохо, если небольшому количеству владельцев сайта приходится проделывать дополнительную работу для обновления своего сайта, но по большому счету это намного, намного лучше, чем то, что нашей команде безопасности мешает чрезвычайно обременительная политика поддержки. . »
Автор предложения утверждает, что «никого не заставят обновлять»; Противники утверждают, что требование отказа от пользователей не является согласием
В дополнение к проблеме возможного взлома сайтов, противники этого предложения не согласны с тем, что WordPress форсирует обновление без получения явного согласия администраторов сайта. Предоставление пользователям возможности выбрать автоматическое обновление для основных выпусков – один из девяти проектов, над которыми Мэтт Мулленвег определился для работы в 2019 году. Однако план этого предложения является более агрессивным, поскольку он потребует от владельцев сайтов наличия версии 3.7. – ветви 4.6, чтобы отказаться, если они не хотят инкрементно автоматически обновляться до 4.7.
«Они по-прежнему сохраняют агентство, несмотря ни на что, никого не заставят обновлять, каждый сохраняет контроль над своим сайтом и может отказаться, если захочет», – сказал Данн . «Что-то включенное по умолчанию очень отличается от принуждения кого-то к чему-то. Мы бы упростили возможность отказа – просто установите плагин, настройка не требуется – и инструкции по отказу будут включены в каждое электронное письмо и уведомление администратора ».
Данн также пояснил в комментарии, кто будет получать эти обновления:
Никто не будет принужден, это будет процесс отказа. Если кто-то уже отключил автоматическое обновление основных версий, это будет соблюдено, и его сайт не будет обновляться.
Если кто-то щелкнет ссылку отказа в электронном письме или если он нажмет кнопку отказа в уведомлении администратора, обновления также будут отключены.
Обновления будут получать только те, кто:
1) Хотите обновления
2) Все равно
3) Покинули свои сайты или учетные записи электронной почты
Несколько участников дискуссии спросили, почему процесс включения этих сайтов в 4.7 не может быть вызван согласием, вместо того, чтобы принудительно обновлять тех, кто не отказывается. Независимо от того, насколько удобен механизм отказа, его наличие не означает согласия. Многие владельцы сайтов, которые будут вынуждены участвовать в этом процессе, думали, что они будут в безопасности, выбрав обновления для обслуживания и безопасности и оставив свои сайты для выполнения «обновлений во время сна», как описывалась эта функция в сообщении о версии 3.7 .
«Незащищенные сайты плохо, но , возможно, задним числом увеличивая силу , предоставленное самому себе, этот механизм хуже,» UpdraftPlus создатель Дэвид Андерсон сказал . «Потенциально это может повредить доверию + репутацию больше, чем неуверенность. Я бы сказал, что огромная панель управления уродливыми, неустранимыми уведомлениями в старых версиях, предупреждающими о предстоящем отказе + необходимость обновления, было бы лучше. Пусть ответственность берет на себя владелец сайта. Не играйте с няней, не злоупотребляйте доверием, не ломайте сайты, а потом пишите в блогах о том, что это был сопутствующий ущерб. Никто, кто просыпается и обнаруживает неисправный сайт, не будет доволен этим ».
Эндрю Насин, руководитель выпуска WordPress 3.7 и соавтор функции автоматического фонового обновления WordPress, призвал тех, кто стоит за этим предложением, пояснить, что WordPress поддерживает только последнюю основную версию и никогда официально не поддерживал более старые версии.
«Конечно, для обратного порта требуется много работы, – сказал Нацин. «Но мы все равно должны придерживаться нашей северной звезды, а именно, что WordPress имеет обратную совместимость от версии к версии, что пользователям WordPress не нужно беспокоиться о том, какую версию они используют, и что мы должны просто поддерживать сайты в актуальном состоянии, если мы можем.”
Nacin предложил больше контекста по исходной стратегии для внедрения автоматических обновлений, которая включала постепенный переход к основным выпускам в виде автоматических обновлений, чтобы все сайты в конечном итоге были на последней версии:
Во-первых, когда мы впервые выпустили автоматические фоновые обновления, мы подумали, что следующим большим шагом вперед будет выпуск основных автоматических обновлений в ближайшие несколько лет. На практике мы можем сделать это в любое время, и действительно, 3.7 поддерживал это как флаг. Но идея заключалась в том, что мы потратим силы на создание песочницы, защиту от белого экрана, улучшение наших функций отката и т. д., Поэтому наш показатель успеха был таким же высоким для основных версий, как и для второстепенных. (Частота отказов несколько линейно зависит от количества файлов, которые необходимо скопировать, а также становится более сложной, когда файлы нужно добавить, а не просто изменить.) Как только мы это сделаем, мы просто начнем обновлять все сайты до последней версии и прекратить бэкпорт. Очевидно, мы еще не дошли.
Он прокомментировал, что в целом это предложение – «отличный план», но подчеркнул преимущества сообщения пользователям о том, что обновление безопасно и что WordPress намеревается поддерживать только последнюю версию.
Большинство участников дискуссии выступают за то, чтобы группа безопасности прекратила перенос исправлений в старые версии WordPress. Вопрос, который остается без ответа для оппонентов, заключается в том, почему именно WordPress заставляет обновлять старые сайты.
«Я не думаю, что это должно быть решение WordPress обновлять сайты, которые им не удается, до основных / критических версий, но я думаю, что поддержку этих веток следует прекратить», – сказал Уилл Стокс. «Вы (WordPress) не владеете инфраструктурой или бизнес-процессами и не понимаете, какая поддержка существует для управления этими сайтами. Есть также причина, по которой эти сайты все еще используют эту версию сегодня и не обновлялись ранее ».
Существуют и другие подходы, которые по-прежнему могут подвести черту с уважением к ограниченным ресурсам группы безопасности без принудительного обновления основных версий без согласования. Рэйчел Черри, директор WPCampus, прокомментировала предложение, настоятельно призвав WordPress получить согласие перед обновлением этих сайтов:
Мы пытаемся понять, вызовут ли принудительные обновления технические проблемы, и полностью упускаем из виду настоящую проблему.
Мы обсуждаем принудительное обновление программного обеспечения людей, когда они не дали согласия.
И для чего? В чем здесь настоящая проблема? Потому что мы не хотим беспокоиться об обновлении старых версий?
Есть и другие способы решения этой проблемы.
Мы можем разработать четкую политику в отношении поддержки релизов EOL.
Мы можем добавить настройку в ядро, которая позволяет пользователю выбирать, хотят ли они автоматические обновления, и в дальнейшем это принимает решение. Тогда у нас есть согласие.
Мы можем работать над образованием и связью по поводу обновлений.
Мы можем послать людям электронное письмо о том, что их сайт устарел и небезопасен, и им следует как можно скорее обновить его, а также предоставить ссылки на образование и передовой опыт. Если им все еще нужна помощь, посоветуйте им обратиться к профессионалу.
Мы можем исправить эту проблему в будущем, но мы не подразумеваем ретроактивное согласие только потому, что мы никогда не устанавливали механизм разрешений.
Если кто-то не обновлял свой сайт, он сделал это не просто так. Или безразличие. В любом случае, мы не имеем права заниматься подобным образом и изменять веб-сайты людей.
Участники обсуждения все еще борются с потенциальными последствиями предлагаемого изменения политики. Незначительные обновления оказались очень надежными как автоматические обновления. Данн сообщил, что при автоматическом обновлении версии 3.7.29 произошел только один сбой, который пришлось откатить до версии 3.7.28. Использование системы автоматического обновления для отправки основных обновлений на сайты столь же старые, поскольку они еще не были тщательно протестированы.
«Независимо от того, будем ли мы обновлять выпуски 3.7 -> 5.x автоматически или нет, я полностью поддерживаю заявление о том, что это то, что мы ожидаем начать делать в будущем (5.x -> x.x +)», – Джереми Фелт прокомментировал предложение. «Работа по тестированию инфраструктуры и кода, поддерживающего это, в любом случае должна выполняться». Фелт также сказал, что ценит поэтапное планирование развертывания предлагаемых выпусков, а также план по предоставлению официально поддерживаемого плагина для отключения автообновлений.
Обсуждение предложения все еще ведется, но, похоже, до сих пор между участниками существует фундаментальное разногласие по поводу того, имеет ли WordPress право принудительно обновлять основные версии без явного согласия, даже если это делается с целью спасти владельцев сайтов от возможного взлома. .
«Одно можно сказать наверняка, это похоже на то, что до сих пор это вызывает беспокойство большинства, хотя многие из нас любят эти благородные намерения, я просто не уверен, что быть доброжелательным властелином Интернета – это хороший имидж для продвижения WP. , – сказал разработчик плагина Филип Ингрэм .
