Magento je jedan od najmoćnijih shop sustava uopće i upravo zato često radi u trgovinama s mnogo proširenja, vlastitih funkcija i poveznica na ERP i skladišne sustave. Druga strana medalje: svaka sigurnosna zakrpa mora se provjeriti u odnosu na sve to prije nego što ode uživo. Ako se to nekoliko mjeseci ne dogodi, trgovina odjednom zaostaje nekoliko zakrpa, a nadoknađivanje djeluje kao projekt za koji nitko nema vremena.
Mi smo signundsinn, e-commerce agencija iz Münchena, i od 2009. održavamo web-shopove. Ovdje saznajte kako danas funkcionira Magentov ciklus zakrpa, zašto trgovine zaostaju i s kojom rutinom mala Magento trgovina ostaje ažurna.
Kako danas funkcioniraju Magento sigurnosne zakrpe
Mjesečne izolirane zakrpe. Adobe objavljuje sigurnosne biltene na utvrđeni dan, najčešće drugi utorak u mjesecu. Uz to dolaze izolirane sigurnosne zakrpe: mali paketi koji otklanjaju određene ranjivosti za svaku podržanu liniju verzija. Važna su dva pravila: morate biti na najnovijem izdanju zakrpa svoje linije (na primjer 2.4.8-p5) i prije toga morate imati instalirane sve ranije mjesečne izolirane zakrpe. One se nadograđuju jedna na drugu.
Jedno potpuno izdanje zakrpa godišnje. Jednom godišnje, u svibnju, Adobe za svaku podržanu liniju objavljuje potpunu zakrpu („-p“ verzije, primjerice 2.4.7-p10 ili 2.4.8-p5 u svibnju 2026.). Ona objedinjuje izolirane popravke proteklih mjeseci. Nove minor verzije izlaze također otprilike jednom godišnje: 2.4.9 stigla je u svibnju 2026.
Linije verzija s datumom isteka. Svaka 2.4 linija ima ograničeno razdoblje podrške. Adobe za Adobe Commerce daje tri godine standardne podrške od objave. Za linije koje danas koristi većina trgovina:
| Linija verzije | Objavljeno | Kraj Adobeove standardne podrške |
|---|---|---|
| 2.4.6 | Ožujak 2023. | 11. kolovoza 2026. (završeno) |
| 2.4.7 | Travanj 2024. | 31. svibnja 2027. |
| 2.4.8 | Travanj 2025. | 31. svibnja 2028. |
| 2.4.9 | Svibanj 2026. | 31. svibnja 2029. |
Za neke starije linije Adobe klijentima Adobe Commercea nudi proširenu podršku. To produljenje dio je Adobe Commercea. Ako dakle Magento Open Source vozite na 2.4.6 ili starijoj verziji, planirajte prelazak na 2.4.8 ili 2.4.9 sada, a ne tek kad postane poznata sljedeća kritična ranjivost.
PHP postavlja drugi rok. 2.4.6 podržava PHP 8.1 i 8.2. PHP 8.1 više ne dobiva sigurnosne nadogradnje, a PHP 8.2 posljednje sigurnosne nadogradnje dobiva 31. prosinca 2026. 2.4.8 radi na PHP-u 8.3 i 8.4. Za trgovinu na 2.4.6 PHP verzija i Magento verzija time istječu otprilike istodobno.
Zašto trgovine zaostaju
1. Proširenja moraju držati korak.
Tipična Magento trgovina koristi desetke proširenja drugih proizvođača. Zakrpa može promijeniti nešto o čemu proširenje ovisi, a proizvođaču možda treba vremena za kompatibilnu verziju. Do tada zakrpa čeka.
2. Vlastiti kod i tema.
Vlastite funkcije i prilagodbe teme čine trgovinu jedinstvenom i upravo njih treba provjeriti nakon svake zakrpe. Što više prilagodbi, to više testiranja.
3. Zaostatak raste.
Budući da se mjesečne zakrpe nadograđuju jedna na drugu, preskočeni mjesec ne štedi posao, nego ga samo odgađa. Tri preskočena mjeseca znače tri zakrpe koje treba instalirati i testirati, i to ispravnim redoslijedom, uz rizik da u međuvremenu radite s poznatim ranjivostima.
4. Zakrpe i nadogradnje se miješaju.
Zakrpa (primjerice s 2.4.8-p4 na 2.4.8-p5) jasno je omeđena sigurnosna nadogradnja. Skok između verzija (s 2.4.6 na 2.4.8) pravi je projekt nadogradnje, često s novim zahtjevima za PHP, bazu podataka ili tražilicu. Trgovine koje su dosad radile samo zakrpe često iznenadi opseg nadogradnje pa je odgađaju.
5. Nitko nije zadužen.
Izvorna agencija otišla je dalje, freelancer je prebukiran, interni programer zaglavio je u željama za novim funkcijama. Zakrpavanje je važno, ali rijetko hitno, sve do dana kada postane hitno.
Rutina s kojom mala Magento trgovina ostaje ažurna
Svaki mjesec (nakon sigurnosnog biltena):
- Pročitajte bilten: koje su linije verzija pogođene i koliko je kritično?
- Instalirajte izoliranu zakrpu na kopiji trgovine (staging), zajedno sa svim prethodnim zakrpama.
- Testirajte ono čime zarađujete: pretragu, stranice proizvoda, košaricu, naplatu sa svakim načinom plaćanja, korisnički račun, e-poruke o narudžbi i poveznice na vaš ERP ili skladišni sustav.
- Sigurnosna kopija, odlazak uživo u planiranom terminu, probna narudžba u trgovini uživo.
Svako tromjesečje:
- Provjerite proširenja: postoje li nadogradnje i podržava li svaki proizvođač još uvijek vašu liniju verzija?
- Usporedite liniju verzija i PHP verziju s gornjim datumima isteka.
- Uklonite proširenja koja više ne koristite.
Jednom godišnje (oko svibanjskog izdanja):
- Prijeđite na novo potpuno izdanje zakrpa svoje linije.
- Odlučite kada slijedi idući skok na novu verziju i isplanirajte ga kao projekt s vremenom za testiranje, dugo prije nego istekne podrška za vašu liniju.
Prije tjedana s najvećim prometom: dovršite zakrpavanje prije razdoblja uoči Crnog petka (ove godine 27. studenoga) i Božića, a zatim dogovorite zamrzavanje promjena, uz jednu iznimku: kritične sigurnosne zakrpe svejedno se instaliraju, prethodno testirane na kopiji.
Koliko je to posla?
Mjesečna izolirana zakrpa u dobro održavanoj trgovini, testirana na kopiji, obično je stvar nekoliko sati. Trud raste s brojem proširenja, količinom vlastitog koda i sa svakim preskočenim mjesecom. Skok između linija verzija pravi je projekt: prema našem iskustvu nadogradnja shop sustava traje između dva tjedna i više od mjesec dana, ovisno o trgovini i o tome koliko zaostaje.
Kako Eywora AI Crew održava Magento trgovine ažurnima
Eywora AI Crew naš je AI razvojni tim, uz podršku našeg tima, i radi i na Magento trgovinama. Zakrpavanje se dobro uklapa u zadatke koji se ponavljaju: primjerice „instaliraj mjesečnu Magento sigurnosnu zakrpu“. Za svaki zadatak koji se ponavlja birate koliko toga crew obavlja samostalno: da zakrpu samo pripremi za vaše odobrenje, da je unutar zadanog budžeta dovede do kopije vaše trgovine ili da je unutar tog ograničenja izvede potpuno automatski.
Svaki prolaz slijedi isti postupak: rad se odvija na kopiji vaše trgovine, uz automatske testove i pregled koda, i ništa ne ide uživo bez vašeg odobrenja (osim ako ste odabrali automatski način rada). Prije svakog postavljanja radi se sigurnosna kopija, a naš je tim može vratiti ako nešto pođe po zlu. Kod skoka na novu verziju crew radi jednako, kao kod običnog zadatka, s procjenom koju unaprijed odobravate. AI Crew je mjesečna pretplata uz korištenje AI-ja po zadatku, koje prije početka rada vidite kao procjenu.
Kontrolna lista za ponijeti
Izvori
- Adobe Experience League, Monthly isolated security patching policy – https://experienceleague.adobe.com/en/docs/commerce-operations/release/planning/monthly-isolated-security-patches
- Adobe Experience League, Patch release schedule – https://experienceleague.adobe.com/en/docs/commerce-operations/release/planning/schedule
- Adobe Experience League, Adobe Commerce lifecycle policy – https://experienceleague.adobe.com/en/docs/commerce-operations/release/planning/lifecycle-policy
- Adobe Experience League, System requirements – https://experienceleague.adobe.com/en/docs/commerce-operations/installation-guide/system-requirements
