Cách cập nhật plugin, theme, WordPress an toàn: không lỗi website, không mất dữ liệu

Trang quản trị WordPress hiện hàng loạt thông báo “có bản cập nhật mới”. Nhiều người ngại bấm vì từng gặp cảnh cập nhật xong website trắng trang, vỡ giao diện. Nhưng không cập nhật còn nguy hiểm hơn: phần lớn website WordPress bị hack do dùng phiên bản cũ có lỗ hổng. Bài viết hướng dẫn quy trình cập nhật an toàn.

Vì sao phải cập nhật?

• Vá lỗ hổng bảo mật đã được công bố; kẻ xấu dò tìm website chưa vá.
• Sửa lỗi chức năng.
• Tương thích với phiên bản PHP, trình duyệt mới.
• Tính năng mới, hiệu năng tốt hơn.

Rủi ro khi cập nhật

• Plugin xung đột với plugin khác hoặc theme.
• Theme đã bị chỉnh sửa trực tiếp, cập nhật làm mất chỉnh sửa.
• Phiên bản mới yêu cầu PHP cao hơn.
• Lỗi từ chính bản cập nhật (hiếm nhưng có).

Quy trình cập nhật an toàn 7 bước

1. Đọc nhật ký thay đổi: bản cập nhật bảo mật, bản lớn hay bản nhỏ; có lưu ý tương thích không.
2. Sao lưu đầy đủ tệp và cơ sở dữ liệu. Xem sao lưu dữ liệu website.
3. Thử trên bản sao (staging) nếu website quan trọng hoặc bản cập nhật lớn; nhiều hosting có tính năng tạo bản sao một chạm.
4. Cập nhật từng nhóm: WordPress lõi, sau đó plugin quan trọng, sau đó plugin còn lại, cuối cùng theme; không bấm cập nhật tất cả cùng lúc với website lớn.
5. Kiểm tra sau cập nhật: trang chủ, trang dịch vụ, form, giỏ hàng, thanh toán, trên cả điện thoại và máy tính.
6. Xoá bộ nhớ đệm (cache) của plugin, hosting, CDN.
7. Ghi nhật ký: ngày, phiên bản, vấn đề gặp phải.

Thời điểm cập nhật

• Giờ ít khách truy cập.
• Không cập nhật lớn ngay trước đợt khuyến mãi, chạy quảng cáo lớn.
• Bản vá bảo mật nghiêm trọng: cập nhật sớm nhất có thể (vẫn sao lưu trước).
• Bản lớn (major) của plugin quan trọng: có thể chờ vài ngày để nhà phát triển sửa lỗi phát sinh nếu có.

Khi cập nhật bị lỗi

Triệu chứng	Cách xử lý nhanh
Trắng trang, lỗi nghiêm trọng	Vào chế độ khôi phục WordPress (email gửi admin) hoặc đổi tên thư mục plugin vừa cập nhật qua quản lý tệp
Vỡ giao diện	Xoá cache; kiểm tra theme, plugin trình dựng trang
Chức năng hỏng	Tắt plugin vừa cập nhật, khôi phục phiên bản trước
Không khắc phục được	Khôi phục bản sao lưu

Sau khi khôi phục, tìm nguyên nhân (xung đột, PHP) trước khi cập nhật lại.

Có nên bật tự động cập nhật?

• Bản vá bảo mật nhỏ của WordPress lõi: nên bật.
• Plugin đơn giản, uy tín: có thể bật nếu có sao lưu tự động và giám sát website.
• Plugin quan trọng (bán hàng, trình dựng trang), theme: nên cập nhật thủ công có kiểm tra.

Dù bật tự động, vẫn cần theo dõi website sau mỗi lần cập nhật.

Tránh rủi ro từ gốc

• Dùng theme con (child theme) khi tuỳ chỉnh, không sửa trực tiếp theme gốc.
• Chỉ dùng plugin uy tín, cập nhật đều. Xem rủi ro theme, plugin lậu.
• Giữ số lượng plugin ở mức cần thiết.
• Dùng phiên bản PHP được hỗ trợ.

Ví dụ thực tế

Một shop bán hàng bấm “cập nhật tất cả” mười lăm plugin cùng lúc vào buổi tối cao điểm; trang thanh toán ngừng hoạt động, không biết plugin nào gây lỗi. Mất nhiều giờ để khôi phục. Sau sự cố, shop áp dụng quy trình: sao lưu tự động hằng ngày, cập nhật vào sáng thứ Ba ít khách, cập nhật từng plugin quan trọng và kiểm tra thanh toán thử sau mỗi bước. Từ đó không còn sự cố lớn.

Môi trường thử (staging) là gì?

Staging là bản sao của website trên một địa chỉ riêng, không ảnh hưởng khách đang truy cập. Bạn cập nhật, thử nghiệm trên staging; nếu ổn, mới áp dụng cho website thật. Nhiều nhà cung cấp hosting có tính năng tạo staging chỉ bằng một nút. Với website bán hàng, website có nhiều chức năng tuỳ chỉnh, staging là cách an toàn nhất trước mỗi lần cập nhật lớn.

Danh sách kiểm tra sau cập nhật

• Trang chủ hiển thị đúng trên điện thoại và máy tính.
• Menu, liên kết chính hoạt động.
• Form liên hệ gửi được, email đến đúng nơi.
• Giỏ hàng, thanh toán (đặt thử đơn hàng nếu có thể).
• Trang đăng nhập quản trị vào được.
• Không có thông báo lỗi trên trang.
• Tốc độ tải không chậm đi rõ rệt.

Lưu danh sách này và dùng lại sau mỗi lần cập nhật để không bỏ sót.

Câu hỏi thường gặp

Không cập nhật mà website vẫn chạy tốt thì sao?
Website có thể vẫn chạy nhưng có lỗ hổng; nguy cơ bị tấn công tăng theo thời gian.

Plugin bị nhà phát triển bỏ rơi thì làm gì?
Tìm plugin thay thế được cập nhật đều, chuyển dữ liệu nếu cần.

Nâng cấp PHP có giống cập nhật plugin không?
Là việc riêng trên hosting; cần kiểm tra tương thích theme, plugin trước khi nâng.

Bao lâu nên cập nhật một lần?
Kiểm tra ít nhất hằng tháng, bản vá bảo mật thì càng sớm càng tốt. Xem checklist bảo trì WordPress hằng tháng.

Có nên cập nhật khi website do đơn vị khác làm và đã bị chỉnh sửa nhiều?
Nên nhờ đơn vị đó hoặc người có kinh nghiệm kiểm tra trước; website đã sửa trực tiếp theme, plugin dễ mất chỉnh sửa khi cập nhật.

Hosting có tự cập nhật WordPress không?
Một số hosting có tuỳ chọn tự cập nhật; hãy kiểm tra cài đặt và vẫn theo dõi website sau mỗi lần cập nhật.

Cập nhật xong website chậm hơn thì sao?
Xoá bộ nhớ đệm, kiểm tra plugin vừa cập nhật có thêm tính năng nặng không, đo lại tốc độ và liên hệ nhà phát triển nếu cần.