Applicaties onderhouden

Dit artikel is voor jou als beheerder: hoe je de WordPress-sites, Joomla's, Nextclouds en andere applicaties op je servers bijhoudt zonder ze één voor één langs te gaan. Hoe een klant één installatie bijwerkt staat in Applicaties installeren en bijhouden en Je WordPress-sites; hier gaat het over het beleid, het venster, de bulkacties en wat je doet als er 's nachts iets misging.

Hoe het in elkaar zit

Een update van een applicatie gebeurt altijd op dezelfde manier: eerst een herstelpunt (bestanden plus database), dan de update, dan een controle van de site, en bij een afgekeurde controle automatisch terug naar het herstelpunt. Dat geldt voor een klik van een klant, een bulkactie van jou en de nachtelijke ronde.

Twee dingen bepalen wat er vanzelf gebeurt:

• Het beleid per installatie: Niets, Alleen beveiligingsupdates (de standaard) of Alles. Voor WordPress apart voor WordPress zelf, plugins en thema's.
• De timer per server: of de server dat beleid 's nachts uitvoert, en in welk venster. Standaard staat hij uit; de serverprofielen voor gedeelde hosting en WordPress zetten hem aan met het venster 05:00–07:00.

Waar de nieuwe versies vandaan komen: de bouwserver haalt uitgaven op bij de makers, controleert hun handtekening of hash en zet ze in een ondertekende applicatiecatalogus. Je servers halen die catalogus elke zes uur op. Een applicatie wordt dus nooit rechtstreeks van internet bijgewerkt.

De timer van een server aanzetten

1. Open Accounts, kies een account op die server en ga naar Applicaties (/accounts/:account/apps).
2. Onder de lijst staat voor beheerders het blok Automatische updates van websites. Zet Voer het beleid van elke installatie automatisch uit aan, kies het Venster en klik Opslaan.

Het blok toont ook wanneer de volgende ronde draait en hoeveel installaties op die server elk beleid hebben. Het venster staat los van het onderhoudsvenster van het besturingssysteem: dat mag de machine herstarten, en een herstart midden in een update is precies wat je niet wilt.

De nachtelijke ronde slaat installaties over met de reden erbij in het Logboek: een installatie met het beleid Niets, een installatie waarvan het herstelpunt is uitgezet, een installatie waarvan de installatie nooit is afgerond, en onder Alleen beveiligingsupdates een sprong naar een nieuw hoofdnummer.

Grote versiesprongen

Van Joomla 5 naar Joomla 6 is geen update maar een verhuizing: de database verandert mee en de extensies moeten die stap ook gemaakt hebben. Onder het beleid Alleen beveiligingsupdates gebeurt zo'n sprong nooit vanzelf. De wachtende uitgave blijft op de kaart van de installatie staan; kies hem met de klant samen, op een moment dat jullie uitkomt, met Update naar ….

Joomla en Nextcloud hebben hun eigen updater. Die zet CoreCP uit zolang het beleid van de installatie niet Niets is, zodat er niet twee partijen tegelijk bijwerken. Zet je het beleid op Niets, dan blijft die updater zoals hij stond; CoreCP zet hem niet vanzelf weer aan.

Beveiligingsmeldingen over applicaties

• WordPress-plugins en -thema's: de bouwserver leest elk uur de kwetsbaarhedenlijst van Wordfence en je servers halen die ondertekend op. Staat een plugin op een draaiende site in die lijst en is het beleid Alleen beveiligingsupdates of Alles, dan wordt hij in het eerstvolgende venster bijgewerkt. Staat het beleid op Niets, dan blijft het lek open en krijgt de klant bericht.
• Joomla en Drupal: de adviezen van Joomla (VEL) en Drupal komen binnen als bevinding op Componenten & beveiliging (/components), net als de bevindingen over serversoftware.

Mislukt een nachtelijke update, of werd een site teruggezet naar zijn herstelpunt, dan staat dat de volgende ochtend op het overzicht van het account en krijgt de klant een mail. Welke meldingen jij zelf krijgt, stel je in onder Meldingen.

Veel installaties tegelijk

Op Applicaties vink je installaties aan en klik je Bijwerken. Op WordPress (/accounts/:account/wordpress) is dat Alles bijwerken, en met Beleid voor alle sites zet je het beleid van de aangevinkte sites — of, als je niets aanvinkt, van alle WordPress-sites van het account — in één keer gelijk. Elke installatie in zo'n bulkactie krijgt haar eigen herstelpunt en haar eigen controle; één mislukte installatie houdt de rest niet tegen.

Voor alle installaties op één server tegelijk gebruik je de terminal: daar kies je bewust --all on, zodat "alles" nooit per ongeluk gebeurt doordat je een filter vergat.

Terugzetten

Een herstelpunt blijft bewaard voor de laatste vijf wijzigingen. Voor applicaties zet je er een terug onder Herstelpunten met Terugzetten. Het WordPress-scherm zelf heeft geen terugzetknop: het verwijst naar de herstelpunten van de site onder Applicaties, en op de terminal is het corectl wp restore.

Wil je vooraf weten of het vangnet werkt, gebruik dan op een rustig moment Terugdraaien beproeven in het overzicht van de installatie: de update wordt echt uitgevoerd, de applicatie wordt expres stukgemaakt en het herstelpunt teruggezet.

Een gevonden installatie onder beheer nemen

Zoeken naar installaties op het applicatiescherm van een account kijkt in de websites van dat account naar applicaties die buiten het paneel om zijn neergezet — bijvoorbeeld na een verhuizing — en neemt ze niet meteen over. Wat nog niet beheerd wordt, staat daarna in het blok Gevonden, nog niet beheerd, met waar het staat en welke versie het is.

Onder beheer nemen vraagt eerst om bevestiging, net als Niet meer beheren, en stelt één vraag: onder welk account. Een installatie hoort bij het account dat de website bezit; kies je een ander account, dan weigert de server dat, zegt hij bij welk account het wel kan, en blijft alles zoals het was. Aan de installatie zelf verandert niets; vanaf dan volgt het paneel haar updates en maakt het herstelpunten. Nog eens klikken doet niets dubbel — de server zegt dan dat ze al beheerd werd.

Vanaf de terminal

Op de server:

corectl app list                                   # alle installaties op deze server
corectl app auto --auto enable --window 05:00-07:00
corectl app update-all --dry-run                   # wat de volgende ronde zou doen
corectl app policy <installatie> --updates security
corectl app update <installatie> --dry-run
corectl app snapshots
corectl app restore <herstelpunt> --instance <installatie>
corectl app bulk update --all on --dry-run on
corectl app bulk policy --account klant1 --updates security
corectl wp updates                                 # wachtende WordPress-updates
corectl wp bulk policy --all on --core minor --plugins security --themes security
corectl wp snapshots
corectl wp restore <herstelpunt>
corectl app scan <account> --attach=false      # alleen melden
corectl app attach phpbb <domein> --path forum --account <account>

Zie ook

• Applicaties installeren en bijhouden — installeren, bijwerken en het beleid per installatie.
• Je WordPress-sites — veilig bijwerken, beleid per plugin en terugzetten.
• Componenten en beveiliging — bevindingen over software op je servers.
• Besturingssysteem-onderhoud en onderhoudsmodus — het onderhoudsvenster van de server zelf.