לומדים וורדפרס – שיעור 10: תחזוקת אתר וורדפרס, אבטחה וגיבויים

הקמת האתר היא רק הצעד הראשון. אתר וורדפרס דומה לרכב: גם הטוב ביותר צריך טיפולים קבועים כדי להמשיך לנסוע. תחזוקת אתר וורדפרס כוללת ארבעה תחומים מרכזיים: עדכונים שוטפים, אבטחה, גיבויים ובדיקות תקינות וביצועים. בשיעור הזה נעבור על כל אחד מהם, נבנה שגרת תחזוקה מסודרת ונראה מה עושים כשמשהו משתבש.

מה כוללת תחזוקת אתר וורדפרס?

לפני שנצלול לפרטים, הנה התמונה המלאה. אפשר לשמור את הטבלה הזו כצ'ק ליסט:

תדירות	משימה
כל יום (אוטומטי)	גיבוי אוטומטי (לאתרים פעילים ולחנויות), ניטור זמינות (Uptime)
כל שבוע	בדיקת עדכונים זמינים ועדכון, סקירת דוח תוסף האבטחה, בדיקה שטפסי יצירת קשר עובדים
כל חודש	בדיקה ב"בריאות האתר" (Site Health), בדיקת מהירות, ניקוי מסד נתונים, בדיקת שגיאות ב-Google Search Console
כל רבעון	שחזור ניסיוני מגיבוי, מחיקת תוספים ותבניות שלא בשימוש, סקירת משתמשים והרשאות, בדיקת גרסת PHP

עדכונים שוטפים

וורדפרס, התבנית והתוספים שלכם מתעדכנים כל הזמן. יש שלוש סיבות לא לדחות עדכונים:

• אבטחה: רוב העדכונים כוללים תיקוני אבטחה. תוסף שלא עודכן הוא אחת הדרכים הנפוצות ביותר לפרוץ לאתרי וורדפרס.
• ביצועים ופיצ'רים: עדכונים משפרים מהירות, מוסיפים יכולות חדשות ומתקנים באגים.
• תאימות: גרסה חדשה של וורדפרס או של PHP עלולה לדרוש עדכון של תוספים ותבניות כדי שהכול ימשיך לעבוד יחד.

סוגי העדכונים שצריך להכיר

1. ליבת וורדפרס (Core): עדכוני תחזוקה ואבטחה קטנים (למשל 6.8.1 → 6.8.2) מותקנים אוטומטית כברירת מחדל. גרסאות ראשיות (למשל 6.8 → 6.9) כדאי לבדוק לפני שמעדכנים. רוצים להבין איך בנויות הגרסאות? קראו על גרסאות וורדפרס ושמות הג'אז שלהן.
2. תוספים: המקור המרכזי לבעיות ולפרצות. מאז וורדפרס 5.5 אפשר להפעיל עדכון אוטומטי לכל תוסף בנפרד ממסך התוספים.
3. תבניות: אם ביצעתם שינויים ישירות בקבצי התבנית, הם יימחקו בעדכון. לכן עובדים עם תבנית בת (Child Theme).
4. גרסת PHP: מתעדכנת דרך חברת האחסון, לא מתוך וורדפרס. גרסת PHP ישנה היא סיכון אבטחה והיא גם מאטה את האתר. אפשר לבדוק איזו גרסה מותקנת ב"כלים ← בריאות האתר ← מידע".

איך לעדכן בצורה בטוחה? (5 שלבים)

1. גבו את האתר (קבצים + מסד נתונים) לפני כל עדכון משמעותי.
2. קראו את ה-Changelog של העדכון, במיוחד בגרסה ראשית.
3. בדקו בסביבת Staging: באתרים חשובים ובחנויות, בודקים קודם בעותק של האתר. איך מקימים סביבה כזו? ראו סביבת Staging לוורדפרס.
4. עדכנו אחד אחד: קודם תוספים, אחר כך תבנית ובסוף ליבה. כך קל לזהות מה גרם לתקלה.
5. בדקו את האתר אחרי העדכון: דף הבית, טפסים, עגלת קניות ותהליך תשלום (בחנות), ולוח הבקרה.

מה עושים אם עדכון "שבר" את האתר?

• מצב שחזור (Recovery Mode): מאז וורדפרס 5.2, כשתוסף או תבנית גורמים לשגיאה קריטית, וורדפרס שולח למייל של מנהל האתר קישור שמאפשר להיכנס ללוח הבקרה ולהשבית את הרכיב הבעייתי.
• השבתת תוסף דרך FTP או מנהל הקבצים: משנים את שם התיקייה של התוסף בתוך wp-content/plugins/. וורדפרס ישבית אותו אוטומטית.
• שחזור מגיבוי: הפתרון הבטוח ביותר, ובגלל זה מגבים לפני שמעדכנים.

רוצים שחלק מהעדכונים והגיבויים ירוצו לבד? ראו את המדריך אוטומציה לתחזוקת וורדפרס.

אבטחת אתר וורדפרס

וורדפרס היא מערכת פופולרית ופתוחה, ולכן היא גם יעד נפוץ למתקפות. אבל רוב הפריצות לא נובעות מחולשה במערכת עצמה. הן נובעות מהזנחה: תוספים לא מעודכנים, סיסמאות חלשות והרשאות רחבות מדי. הרחבתי על כך במאמר 10 מיתוסים על וורדפרס.

10 צעדי אבטחה בסיסיים

1. שם משתמש שאינו "admin", וגם לא שם הדומיין.
2. סיסמה חזקה וייחודית לכל משתמש. כדאי להשתמש במנהל סיסמאות.
3. אימות דו-שלבי (2FA) לכל המשתמשים עם הרשאות ניהול.
4. הרשאות מינימליות: כותב תוכן מקבל תפקיד "כותב" או "עורך", לא "מנהל".
5. תוסף אבטחה כמו Wordfence, Sucuri או Solid Security, לחומת אש (WAF), סריקת קבצים זדוניים והתראות.
6. הגבלת ניסיונות התחברות כדי לחסום מתקפות Brute Force.
7. תעודת SSL (HTTPS): כיום היא ניתנת בחינם ברוב חברות האחסון (Let's Encrypt).
8. הורדה רק ממקורות אמינים: מאגר התוספים הרשמי או מפתחים מוכרים. לעולם לא להתקין תוספים "פרוצים" (Nulled). הם מקור מוכר לקוד זדוני.
9. מחיקה (לא רק השבתה) של תוספים ותבניות שלא בשימוש. גם תוסף מושבת נשאר על השרת.
10. השבתת עורך הקבצים המובנה בלוח הבקרה. מוסיפים ל-wp-config.php:

// השבתת עריכת קבצי תבניות ותוספים מתוך לוח הבקרה
define( 'DISALLOW_FILE_EDIT', true );

סימנים שהאתר נפרץ ומה עושים

סימנים נפוצים: הפניות לאתרים זרים, משתמשי מנהל שלא יצרתם, קבצים לא מוכרים בשרת, אזהרה מגוגל ("האתר עלול להיות פרוץ"), או ירידה פתאומית בתנועה.

צעדים ראשונים:

1. להחליף את כל הסיסמאות: וורדפרס, אחסון, FTP ומסד נתונים.
2. להריץ סריקה מלאה בתוסף האבטחה.
3. לשחזר מגיבוי נקי מלפני הפריצה, ואז לעדכן את כל הרכיבים מייד.
4. להחליף את מפתחות האבטחה (Salts) ב-wp-config.php. זה מנתק את כל המשתמשים המחוברים.
5. אם גוגל סימן את האתר, לבקש בדיקה חוזרת ב-Google Search Console אחרי הניקוי.

אם אין גיבוי נקי, או שהפריצה חוזרת, זה הזמן לפנות לאיש מקצוע לניקוי וירוסים.

גיבוי אתר וורדפרס

גיבוי הוא קו ההגנה האחרון. כשכל השאר נכשל, עדכון שבר את האתר, האתר נפרץ או מישהו מחק משהו בטעות, הגיבוי מחזיר אתכם לאוויר.

מה בדיוק מגבים?

אתר וורדפרס בנוי משני חלקים, וצריך את שניהם:

• קבצים: בעיקר תיקיית wp-content (תמונות, תוספים ותבניות) וקובץ wp-config.php.
• מסד נתונים: כל התוכן, ההגדרות, המשתמשים וההזמנות.

גיבוי של קבצים בלבד לא מספיק. בלי מסד הנתונים אין לכם את התוכן.

כלל 3-2-1

• 3 עותקים של המידע
• 2 סוגי אחסון שונים
• 1 עותק מחוץ לשרת (בענן: Google Drive, Dropbox, Amazon S3)

גיבוי ששמור רק על אותו שרת שבו נמצא האתר ייעלם יחד איתו אם השרת ייפגע.

כל כמה זמן לגבות?

סוג האתר	תדירות מומלצת
אתר תדמית שכמעט לא משתנה	שבועי + לפני כל שינוי
בלוג פעיל	יומי
חנות WooCommerce	יומי לפחות. לחנויות עמוסות: בזמן אמת או כל כמה שעות

דרכים לגבות

• גיבוי של חברת האחסון: רוב חברות האחסון מציעות גיבוי יומי אוטומטי. זה נוח, אבל חשוב לבדוק כמה ימים הגיבויים נשמרים ואיך משחזרים. אל תסתמכו רק עליו.
• תוספי גיבוי:
  • UpdraftPlus: תזמון גיבויים ושמירה בענן, כולל בגרסה החינמית.
  • Duplicator: מצוין גם להעברת אתר לשרת אחר.
  • All-in-One WP Migration: פשוט מאוד לשימוש, אבל בגרסה החינמית יש מגבלת גודל ליבוא.
• גיבוי ידני: הורדת הקבצים ב-FTP וייצוא מסד הנתונים דרך phpMyAdmin. שימושי לפני שינוי גדול.

הצעד שכולם שוכחים: לבדוק שהגיבוי עובד

גיבוי שמעולם לא שוחזר הוא בגדר השערה. פעם ברבעון שחזרו גיבוי לסביבת Staging או לאתר בדיקה ובדקו שהכול עולה תקין.

רוצים לקחת את זה צעד קדימה עם גיבויים מדורגים וניטור? המשיכו לשיעור אוטומציה של תחזוקה מתקדמת.

בדיקות תקינות וביצועים

• בריאות האתר (Site Health): בלוח הבקרה, תחת "כלים ← בריאות האתר". הכלי מציג המלצות אבטחה וביצועים מתוך וורדפרס עצמה.
• מהירות: בדקו פעם בחודש ב-PageSpeed Insights. כל השלבים מפורטים במדריך שיפור מהירות אתר וורדפרס.
• ניקוי מסד נתונים: גרסאות ישנות של פוסטים, תגובות ספאם ונתונים זמניים (Transients) מצטברים עם הזמן.
• ניטור זמינות: שירות כמו UptimeRobot שולח התראה כשהאתר נופל.
• Google Search Console: לבדוק שגיאות אינדוקס, בעיות אבטחה ובעיות שימושיות.

תחזוקה לחנות WooCommerce: מה שונה?

בחנות, כל תקלה עולה כסף. כמה כללים נוספים:

• לא מעדכנים בשעות העומס. עדיף בלילה או בתחילת השבוע.
• גיבוי בתדירות גבוהה יותר, כי הזמנות חדשות נכנסות כל הזמן.
• אחרי כל עדכון מבצעים הזמנת ניסיון מלאה, כולל תשלום ומשלוח.
• עדכוני WooCommerce ותוספי הסליקה נבדקים ב-Staging.

עוד לא הקמתם חנות? התחילו מבניית אתר מסחר אלקטרוני עם WooCommerce.

לתחזק לבד או להעביר לאיש מקצוע?

אתר קטן עם כמה תוספים אפשר לתחזק לבד בכחצי שעה בשבוע, בעזרת הצ'ק ליסט שלמעלה. כדאי לשקול תחזוקה מקצועית כש:

• האתר מייצר הכנסה (חנות, לידים) וכל השבתה עולה כסף
• יש באתר פיתוחים מותאמים אישית שעדכון עלול לשבור
• אין לכם זמן או ידע טכני לטפל בתקלות

מחפשים מישהו שייקח את זה עליו? הנה פרטים על שירות תחזוקת אתרי וורדפרס.

סיכום וצעדים הבאים

במהלך הקורס למדתם את היסודות של בניית אתר וורדפרס. תחזוקה היא מה שמשאיר את האתר הזה בחיים: עדכנו באופן קבוע, אבטחו את הכניסה, גבו לשני מקומות ובדקו שהגיבוי עובד.

להמשך הלמידה:

• סביבת Staging: בדיקת עדכונים בלי סיכון
• ניהול וורדפרס משורת הפקודה עם WP-CLI: עדכונים וגיבויים בפקודה אחת
• אוטומציה של תחזוקה מתקדמת
• שגרת עבודה למתקדמים

שאלות נפוצות על תחזוקת אתר וורדפרס