WordPress este pregătit să înceapă implementarea propunerii de actualizare automată a site-urilor mai vechi la 4.7

Colaboratori WordPress din întreaga lume s-au alăturat ieri la o întâlnire animată pentru a continua discuția cu privire la propunerea de a actualiza automat site-urile vechi la versiunea 4.7 într-o lansare controlată. Ideea este că site-urile s-ar actualiza treptat de la o versiune majoră la alta (nu toate odată). Discuția a fost condusă de liderul pentru lansarea WordPress 3.7, Andrew Nacin, cu ajutorul lui Ian Dunn și a liderului echipei de securitate, Jake Spurlock.

Pe baza răspunsurilor participanților în timpul întâlnirii, au existat o mână de disidenți care nu se simt confortabil cu actualizarea site-urilor vechi fără consimțământul explicit al proprietarului site-ului, care este dificil de obținut atunci când e-mailurile și notificările de la administrator nu vor ajunge la toți cei afectați.

Majoritatea contribuitorilor înclină spre găsirea celei mai bune implementări pentru a merge mai departe cu propunerea, care, în esență, ia o decizie îndrăzneață pentru utilizatorii obișnuiți care poate nu știu că nu sunt pe cea mai recentă versiune de WordPress și pentru cei care și-au abandonat site-urile. Proprietarii de site-uri care aleg în mod activ să renunțe la versiuni mai vechi, cel mai probabil, au renunțat deja la actualizările automate, iar aceste decizii vor fi respectate de sistemul de actualizare.

Dunn a spus că scopul său pentru discuție a fost să „asculte idei și, sperăm, să se apropie de un fel de decizie”. La început, a început cu un accent mai mare pe detaliile de marketing și implementare, mai degrabă decât problema dacă WordPress ar trebui sau nu să actualizeze automat site-urile la versiunile majore.

„Cred că este nevoie de un impuls major de marketing în acest sens”, a spus Spurlock. „Vrem să fim în fața oricăror știri despre site-urile WordPress care depășesc și să putem încadra această actualizare ca un beneficiu major pentru milioanele de site-uri care sunt actualizate.” După încurajarea directorului executiv WordPress, Josepha Haden, cei dornici să discute despre procesul de lansare s-au retras pentru a se implica în problema centrală a actualizărilor automate. Spurlock a rezumat cele trei opțiuni pe care le are echipa de securitate pentru site-urile mai vechi:

1. Renunțați la actualizările de securitate pentru site-urile mai vechi
2. Continuați actualizările de securitate, la costuri mari
3. Actualizați manual site-urile, lăsând site-urile mai vechi fără actualizări.

„Este demn de subliniat faptul că acești proprietari de site-uri au primit deja până la șase ani notificări de administrator”, a spus Nacin. „Cele mai vechi site-uri au primit probabil la nord de 30 de e-mailuri. Modul în care am putea comunica o nouă caracteristică (de exemplu, 5.3 sau 5.4) pentru a adăuga suport pentru actualizările automate ale versiunilor majore ar putea fi drastic diferit de modul în care am putea gestiona un site vechi care rulează 3.7 pe care ne-am dori să-l mutăm la 3.8 și o versiune ulterioară.”

Colaboratorii cântăresc consecințele lăsării site-urilor mai vechi fără actualizări

Contribuitorul principal Zebulan Stanphill a fost unul dintre cei mai vocali oponenți ai actualizării automate la versiunile majore fără consimțământ.

„Funcția de actualizare automată din 3.7 nu a fost promovată ca incluzând actualizări majore, așa că pare înșelător în opinia mea să o schimb brusc pentru a include asta”, a spus Stanphill. „Se simte ca și cum ai asumarea unui control mai mare asupra unui site web decât i-a dat proprietarul inițial WordPress. Sunt bine ca actualizările majore automate să devină implicite în noile versiuni de WordPress, dar aplicarea retroactivă a acestora la versiunile vechi mi se pare greșită.”

Gary Pendergast, un colaborator sponsorizat cu normă întreagă la core, a răspuns că problema este că, potențial, milioane de proprietari de site-uri nu vor vedea anunțul și vor rămâne blocați pe versiuni vechi care în cele din urmă vor deveni nesigure. Stanphill a susținut că nu este responsabilitatea WordPress să actualizeze site-urile oamenilor pentru ei dacă aceștia nu au dat permisiunea.

„Este responsabilitatea noastră să nu punem bazele unei rețele botne dintr-o parte considerabilă a internetului”, a spus Pendergast.

WordPress are o amprentă mult mai mare pe web decât a avut-o în 2013, când a fost implementat sistemul de actualizare automată în 3.7. Cota de piață a platformei a crescut la 34,5% din primele 10 milioane de site-uri web din august 2019. Site-urile care rulează 3,7 au fost estimate în mod informal la aproximativ 2 milioane, dar un număr definitiv nu a fost confirmat.

„Dacă, fără să vrea, dăm cuiva o platformă pentru a face rău real, suntem suficient de mari încât ar putea avea consecințe”, a spus Mary Baum, colaborator principal.

Lipsa consimțământului explicit și posibilitatea de rupere au fost principalele două preocupări pentru cei care s-au opus planului. Cei în favoarea cred că se poate face fără a sparge milioane de site-uri web. Fostul lider al echipei de securitate, Aaron Campbell, a evidențiat avantajele lansării de actualizări pe niveluri:

Apropo de a începe de la 3.7 utilizatori ca bază de testare (care face parte din planul propus de Ian), unul dintre lucrurile grozave pe care le putem oferi utilizatorilor pe care le e greu să le facă ei înșiși, este o actualizare lentă de la versiune la versiune. Butonul din tabloul de bord al unui site 3.7 va actualiza site-ul la 5.2, ceea ce este de înțeles înfricoșător. Am actualiza 3.7->3.8, apoi 3.8->3.9, etc etc. până la 4.6->4.7. Va oferi o cale mai lină de la 3.7 la 4.7 ȘI ne va oferi o mulțime de locuri pentru a îmbunătăți procesul pe parcurs, dacă este necesar.

Cred că există câteva beneficii să rulezi. Una dintre acestea este modificările DB, care ar fi implementate în bucăți la fel cum s-au întâmplat în ultimii 6 ani, mai degrabă decât grupate într-o singură actualizare. Se pare că ar cauza mai puține erori de memorie și limită de timp.

După cum a afirmat în discuțiile anterioare P2, Nacin a reiterat că planul echipei de bază a fost întotdeauna să aducă actualizări automate pentru versiunile majore:

Vreau să împărtășesc puțin din istorie și context: numai cea mai recentă versiune de WordPress este, desigur, acceptată oficial. Actualizările automate de fundal din 3.7 (octombrie 2013) au schimbat complet calculul – pentru prima dată, am putut livra versiuni de securitate către filiale mai vechi. Dar nu am anunțat sau documentat aceste versiuni mai vechi, nu le-am oferit pentru descărcare regulată și nici nu le-am expus în ecranul Tabloul de bord → Actualizări. Nu a existat nicio intenție – și încă nu este – de a schimba politica noastră adesea declarată conform căreia numai cea mai recentă versiune de WordPress este acceptată oficial. Ceea ce ne-am dat seama, totuși, dacă construim capacitatea de a împinge rapid remedieri de securitate către site-uri mai vechi neacceptate, ne-am răbdai să nu folosim această funcție.

Ne așteptam să facem progrese mai rapide în ceea ce privește actualizările automate pentru versiunile majore, îmbunătățind siguranța și rezistența acelor actualizări. Acest lucru ne-ar fi permis apoi să actualizăm aceste site-uri mai vechi, până la 3.7, la versiuni mai recente de WordPress. Acesta a fost întotdeauna planul. Pur și simplu nu ne așteptam că ne va dura șase ani să ajungem acolo.

În cele din urmă, obiectivul pe termen lung este de a schimba valoarea implicită pentru actualizările majore în „renunțare”, odată ce acestea au dovedit stabilitatea. Propunerea de actualizare automată a versiunilor mai vechi la 4.7 ar fi următorul pas către trecerea treptată în această direcție. Nacin susține că site-urile mai vechi „sunt deja înscrise în virtutea că se află pe o instalare a WordPress 3.7+”.

La un moment dat al întâlnirii, discuția despre etica actualizării automate a site-urilor mai vechi la 4.7 s-a împărțit în analogii care implică întreținerea mașinilor, vaccinări, cadavre putrezite și orice ar putea contribui la rețea din lumea reală pentru a face opiniile lor mai identificabile. la subiectul în cauză.

„Este greu să vorbim despre „autonomie” pentru site-urile care au fost efectiv abandonate”, a spus Mark Jaquith. „De exemplu, dacă mori pe stradă, societatea nu te lasă doar să putrezești acolo pentru că nu ai consimțit la înmormântare.”

Contribuitorul principal, John James Jacoby, a spus că nu se simte în totalitate confortabil cu consimțământul implicit al renunțării versus opt-in-ului, dar în cele din urmă a fost de acord că este „ceva care trebuie să se întâmple”.

„Dar pentru a-l parafraza pe Mark de mai devreme, cred că cred că WordPress nu ar trebui să-și curețe propriile carcase de pe web decât dacă include o meta-casetă mare în Tabloul de bord care spune „Hei, a trebuit să facem asta pentru tine și iată de ce'”, a spus Jacoby.

Alții se opun mai ferm ca WordPress să schimbe fișierele de pe serverele utilizatorilor, după ce au comunicat inițial că 3.7 va efectua doar actualizări automate de securitate, dacă nu au decis să opteze pentru actualizări majore.

„Sunt foarte mult împotriva introducerii unei actualizări majore nesupravegheate pentru orice software”, a spus Gabor Javorszky. „WordPress Core nu are autoritatea de a schimba codul pe serverul meu fără solicitarea mea explicită. Sunt de acord ca acesta să se actualizeze singur pentru versiunile minore, pentru că pentru asta m-am înscris și așa funcționează în mod implicit actualizatorul automat actual. Îl pot schimba pentru a permite actualizări majore și îl pot schimba pentru a nu permite deloc actualizări, dar WP anulează această alegere este greșită.”

Michael Panaga a susținut că utilizatorii ar fi mai dispuși să înțeleagă că site-urile lor vechi au fost sparte, decât să afle că site-urile lor s-au stricat din cauza unei actualizări automate neautorizate. Oponenții propunerii nu cred că este responsabilitatea WordPress să împiedice site-urile oamenilor să fie compromise, chiar dacă milioane de site-uri sunt sparte. Ei văd asta ca fiind problema utilizatorului sau ceva ce ar trebui să se ocupe de companiile de găzduire.

„Oamenii rezonabili pot și vor fi în dezacord în acest sens, dar filozofia noastră este că nu credem că este responsabilitatea exclusivă a utilizatorului dacă site-ul lor este piratat”, a spus Nacin. „Și noi simțim această responsabilitate și vom face absolut tot ce ne stă în putință pentru a ne asigura că site-ul lor rămâne actualizat și că rulează cea mai recentă și cea mai bună versiune de WordPress.”

Nu a fost anunțată nicio decizie oficială, dar cei care au puterea de a implementa planul sunt hotărâți ferm și par să fi obținut un consens prin întâlnirea de ieri.

„La sfârșitul zilei, există doar câțiva oameni care au capacitatea de a împinge modificarea serverului de actualizare automată pentru a face această renunțare în loc de opt-in și pare că au hotărât, așa că nu are rost să continuarea [discuțiilor] P2, ar putea la fel de bine să treacă în faza de implementare și să încerce să minimizeze distrugerea”, a spus dezvoltatorul WordPress Earle Davies.

Nacin le-a mulțumit colaboratorilor pentru că și-au împrumutat vocile discuției și a spus că vor fi câteva postări ulterioare și, eventual, o foaie de parcurs publicată pentru a fi realizată/nucleu în zilele următoare, documentând deciziile anterioare încă din 2007.

„Sunt foarte bucuroasă că ați venit cu toții pentru a vorbi despre acest subiect”, a spus Nacin. „Chiar și după 10 ani, rămân profund impresionat de comunitatea WordPress și de cât de mult îi pasă de utilizatorii săi. Web-ul merită.”