Woensdag 21 oktober ging half Nederland offline. DigiD, MijnOverheid, de Tweede Kamer. Er zaten twee ernstige lekken in PHP, de programmeertaal onder het grootste deel van alle websites. Ook onder WordPress.

Ik was die dag tot laat bezig met de websites van mijn klanten.

En ik kwam twee soorten problemen tegen. Het eerste had ik verwacht. Het tweede niet.

Probleem 1: je website was niet bijgewerkt

Het advies na het lek was duidelijk: zit je op een oude PHP-versie, ga dan naar 8.2 of hoger. Alleen die versies krijgen de beveiligingsupdate.

Mijn advies: kies meteen 8.3. Versie 8.2 krijgt na 31 december geen beveiligingsupdates meer. Dan sta je over een paar maanden weer voor dezelfde klus.

Of de update er al op zit, zie je aan het laatste cijfer: veilig zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12 of hoger. Dat laatste stukje regelt je hostingpartij. Jij kiest in je hostingpaneel alleen de hoofdversie, zoals 8.3.

Zie je een lager nummer? Vraag je hostingpartij of de update erop staat. Sommige hosts zetten de fix erop zonder het nummer te veranderen.

Maar een oude website kan niet zomaar mee. Plugins en thema’s die al lang geen update hebben gehad, zijn niet gemaakt voor een nieuwe PHP-versie. Zet je PHP omhoog, dan doet je website het ineens niet meer.

Vergelijk het met je computer. Je wilt niet meer op Windows Vista zitten. Maar als je overstapt op een nieuw systeem, moeten je programma’s ook mee.

De volgorde is dus belangrijk:

1. Maak een backup
2. Werk WordPress, je plugins en Divi bij
3. Zet daarna pas PHP omhoog

Niet andersom.

Probleem 2: alles was bijgewerkt, en toch ging het mis

Dit is degene waar veel mensen op vastliepen. Ook mensen die het netjes hadden gedaan.

Websites die helemaal up-to-date waren, deden het niet meer na de overstap naar PHP 8.3. Wit scherm, foutmelding, of de Divi-builder die niet meer opende.

De oorzaak zat niet in de website. De oorzaak zat in de instellingen.

Bij elke PHP-versie horen instellingen. Hoeveel geheugen je website mag gebruiken. Hoe lang een taak mag duren. Hoeveel gegevens er in één keer verwerkt mogen worden. Zet je je hosting op een nieuwe PHP-versie, dan krijg je vaak de standaardinstellingen die daarbij horen. En die zijn voor Divi veel te laag.

Alsof je een nieuwe computer krijgt met maar een fractie van het werkgeheugen dat je nodig hebt. Hij is nieuw, hij is up-to-date, en hij loopt toch vast.

Zo check je het zelf

Divi heeft hier een handige pagina voor. Ga in je WordPress naar Divi → Ondersteuningscentrum. Bij de systeemstatus zie je per instelling of die goed staat. Groen is goed. Rood of oranje betekent dat er iets te laag staat.

Werk je met een Engelstalige WordPress? Dan heet het Support Center en System Status.

Zo ziet het eruit als alles goed staat. Allemaal groen.

Deze instellingen heeft Divi nodig

Elegant Themes, de makers van Divi, geven deze waarden als minimum:

Het minimum is precies dat: het minimum. Daar draait Divi op, maar niet altijd lekker. Met een paar grote pagina’s, een webshop of wat extra plugins zit je er al snel tegenaan. Daarom houd ik bij mijn klanten de waarden in de rechterkolom aan. Dat zijn de waarden waarmee ik woensdag de websites weer aan de praat kreeg.

Eén uitzondering: display_errors moet uit blijven staan. Staat die aan, dan krijgen bezoekers foutmeldingen te zien die bedoeld zijn voor jou. Daar wordt niemand blij van, en het geeft kwaadwillenden informatie over je website.

Hoe pas je het aan?

Dat doe je in het dashboard van je hosting, meestal bij de PHP-instellingen of PHP-variabelen. Elke hostingpartij heeft het op een andere plek.

Kom je er niet uit, of zie je de instellingen niet staan? Vraag het dan aan je hostingpartij. Zeg erbij dat je met Divi werkt en noem de waarden hierboven. Dan weten ze wat ze moeten doen.

Dit gaat vaker gebeuren

Websites komen steeds vaker onder vuur te liggen. Er komen meer lekken, meer spoedupdates, meer momenten waarop je snel moet schakelen.

Waar je website draait, maakt ook uit. Bij mijn klanten op SiteGround hoefde woensdag niets offline. Zij hadden het zelf al goed afgedekt.

Wil je dit zelf blijven doen? Prima. Bewaar deze blog, en zorg dat je weet waar je backups staan en hoe je bij je hosting inlogt.

Weet je niet zeker hoe jouw website in elkaar zit? Dan is een APK voor je website een goed begin.

Update 24 oktober: advies over PHP 8.3 en versienummers van de beveiligingsupdate toegevoegd.

Affiliate disclaimer:
In dit blog staan affiliate links. Wanneer je via zo’n link een aankoop doet, ontvang ik een commissie van de verkoper. Dit is een kleine vergoeding voor het doorsturen van bezoekers. Producten worden voor jou nooit duurder als je gebruik maakt van deze links.