Безпека WooCommerce та оновлення плагінів: підтримувати чи змінювати платформу?

«Плагіни постійно треба оновлювати»: це часта причина замислитися про відхід від WooCommerce, і вона слушна. WooCommerce не є небезпечним, але магазин на WooCommerce настільки безпечний, наскільки добре його підтримують. Ця стаття показує, де насправді лежать ризики, що означає «підтримувати регулярно» і що Shopify бере на себе, а що ні.

Де насправді лежать вразливості

Ядро WordPress рідко буває проблемою. Компанія з безпеки Patchstack у звіті State of WordPress Security in 2026 рахує за 2025 рік 11 334 нових вразливості в екосистемі WordPress, на 42 відсотки більше, ніж роком раніше. З них 91 відсоток припадав на плагіни, 9 відсотків на теми і лише 6 на ядро WordPress.

Ще два показники з цього самого звіту пояснюють, чому тут важливий час:

• У 46 відсотків вразливостей на момент публікації ще не було виправлення від розробника.
• Для найчастіше використовуваних вразливостей медіанний час до масових атак становив близько 5 годин; приблизно половину серйозних вразливостей використали протягом 24 годин.

Для контексту: Patchstack продає рішення з безпеки, а цифри стосуються WordPress загалом, а не лише WooCommerce. Закономірність усе одно очевидна. Кожен додатковий плагін додає поверхню для атаки, а оновлення, яке чекає тиждень, для деяких вразливостей приходить запізно. А оскільки майже в кожної другої вразливості на момент оприлюднення ще немає виправлення, самих оновлень недостатньо: чим менше плагінів, тим менше того, що взагалі може бути вражене.

Що означає «підтримувати регулярно» на практиці

Офіційний посібник з безпеки WooCommerce називає оновлення, staging, прибирання, резервні копії та захист доступу. Переклад у завдання, які хтось має виконувати, з кількома пунктами з практики:

1. Встановлювати оновлення: WordPress, WooCommerce, тема і кожен плагін, а ще версія PHP в хостингу.
2. Спочатку тестувати: пробувати оновлення на staging-копії, а не одразу в робочому магазині.
3. Потім перевіряти: кошик, оформлення замовлення, способи оплати, переклад і форми. Оновлення, яке непомітно ламає оформлення замовлення, коштує продажів ще до того, як хтось це помітить.
4. Прибирати: видаляти плагіни, які більше не підтримуються або мають відомі вразливості. Це стосується й плагінів, які просто «ще є».
5. Захищати доступи: надійні паролі, двофакторна автентифікація, обмеження спроб входу, якомога менше облікових записів адміністратора.
6. Резервні копії: регулярні, збережені поза сервером і хоча б один раз перевірені відновленням.

У цьому списку немає нічого складного. Проблема в тому, що він ніколи не закінчується: повторюється з кожним оновленням, щотижня, для кожного плагіна.

Автоматичні оновлення дають лише половину відповіді

Якщо ввімкнути всі автоматичні оновлення, лишається ризик, що вночі оновлення зламає оформлення замовлення, а помітять це лише вранці. Якщо вимкнути, прогалина лишається відкритою, доки в когось не знайдеться час. Працює проміжний варіант: автоматичні оновлення для некритичного, постійний ритм підтримки з тестом для всього, що стосується магазину й оформлення замовлення, і одна людина, яка за це відповідає.

Що бере на себе Shopify

У Shopify більша частина цього списку відпадає, бо вона вже не на вас:

• Хостинг, сервери й оновлення платформи це робота Shopify. Немає версії WordPress, версії PHP і оновлень плагінів платформи, які ви мали б встановлювати.
• SSL вбудований, а оформлення замовлення працює на Shopify.
• Дані карток: Shopify заявляє, що має сертифікат PCI DSS Level 1; за його словами, сертифікація за замовчуванням поширюється на всі магазини й охоплює магазин, кошик і хостинг.
• Застосунки централізовано оновлюють їхні розробники. Ви не встановлюєте файли.

Що в Shopify лишається вашим завданням

Shopify не дає права на безтурботність. На вас лишається таке:

• Вибір застосунків і чистка. Кожен застосунок це код третіх сторін з доступом до ваших даних. Менше застосунків означає менший ризик і швидший магазин (див. Повільний магазин Shopify? 7 причин).
• Керування доступами. Хто працює в магазині, з якими правами, з двофакторною автентифікацією? Колишніх співробітників і агенції слід видалити.
• Оновлення теми та код теми. Теми з Theme Store отримують нові версії, які ви маєте свідомо встановлювати. За власні зміни відповідаєте ви або ваш розробник, а змінена тема сама не оновлюється.
• Фішинг і паролі. Акаунти часто захоплюють не через вразливості, а через викрадені облікові дані.

Різниця в масштабі: ви стежите за невеликим колом доступів і застосунків, а не за цілою системою.

Три шляхи, якщо оновлення вас обтяжують

Усе залежить від того, що ще, окрім магазину, працює на вашій установці WordPress:

1. Підтримувати WooCommerce належним чином. Найменше змін. Потрібна людина, яка надійно виконує оновлення, тести, резервні копії й прибирання, найкраще за постійним ритмом. Має сенс зменшити кількість плагінів.
2. Лише магазин на Shopify. Оформлення замовлення, дані клієнтів і платежі переходять на Shopify. Сторінки компанії лишаються на WordPress, тож їхні оновлення теж, але найчутливішої частини там уже немає. Старі адреси товарів потребують перенаправлень, щоб ваші позиції збереглися.
3. Увесь сайт на Shopify. Одна система, оновлення WordPress відпадають повністю. Це найбільша перебудова, бо сторінки компанії, форми й, можливо, мовні версії будуються заново.

Який шлях підходить, залежить передусім від того, хто підтримує сайт сьогодні, що входить до сайту, окрім магазину, і чи залежать особливі функції від інших систем.

Коли варто лишитися на WooCommerce

Перехід не завжди правильна відповідь. Лишайтеся, якщо:

• хтось бере підтримку на себе надійно й з тестуванням, наприклад агенція з постійним планом підтримки,
• ваш магазин спирається на розширення, для яких у Shopify немає заміни,
• обсяг підтримки малий, бо використовується лише кілька добре підтримуваних плагінів.

Найкраще вирішити це плагін за плагіном. Як проходить перехід, показано у статті Перехід з WooCommerce на Shopify без втрати позицій.

Десять запитань собі

1. Хто в нас встановлює оновлення і хто заміняє цю людину?
2. Коли востаннє встановлювали оновлення і що перевіряли після нього?
3. Чи є staging-копія, на якій оновлення йдуть першими?
4. Скільки плагінів активні і скільки з них іще підтримуються?
5. Чи є плагіни, які нам більше не потрібні?
6. Чи резервну копію коли-небудь справді відновлювали?
7. Скільки облікових записів адміністратора існує і чи в усіх є двофакторна автентифікація?
8. Яка версія PHP працює в хостингу і чи її ще підтримують?
9. Хто помітить, що оформлення замовлення перестало працювати після оновлення?
10. Скільки нам коштує година простою магазину?

Якщо на кілька запитань ви можете відповісти лише «не знаю», це вже відповідь на питання, наскільки надійно магазин підтримується сьогодні.

Часті запитання

Чи небезпечний WooCommerce? Ні. Програма широко поширена й підтримується. Ризик створюють численні плагіни й теми навколо неї та оновлення, встановлені із запізненням або взагалі не встановлені.

Чи достатньо автоматичних оновлень? Для некритичного так. Для всього, що стосується магазину й оформлення замовлення, потрібен тест, інакше ризик зламаного оформлення замовлення більший за користь.

Чи Shopify безпечніший за WooCommerce? Так однозначно сказати не можна. Shopify бере на себе хостинг, оновлення платформи й оформлення замовлення, тому помітно зменшує обсяг підтримки. Застосунки, доступи й код теми лишаються вашою відповідальністю.

Чи втрачу я позиції в Google при переході? Ні, якщо всі старі адреси перенаправлені на відповідні нові. Це найважливіший крок переходу.

Чи можна зменшити обсяг роботи без переходу? Так: скоротити плагіни, запровадити постійний ритм підтримки з тестом і визначити, хто відповідає. Це часто перший крок, який би шлях ви потім не обрали.

Наскільки добре підтримується ваш магазин сьогодні?

Надішліть мені адресу вашого магазину для безкоштовної перевірки. Я дивлюся на те, що видно ззовні: які плагіни використовуються і наскільки швидко завантажуються сторінки. Я працюю лише з публічно доступними даними, без доступу до вашого бекенду і без сканування безпеки. Потім чесно скажу, що вам більше підходить: підтримувати чи змінювати. Я працюю з Бад-Бентгайма, здебільшого віддалено, і за потреби беру перехід з WooCommerce на Shopify за фіксованою ціною після брифінгу. Чого чекати наперед, описано в статті Скільки коштує магазин Shopify.

Читайте також: Супровід магазину Shopify

Kiril Karatitsyn, Shopify-розробник у Німеччині