Há dois grupos de donos de sites WordPress: os que clicam em "Atualizar tudo" sem pensar (e um dia partem o site), e os que ganharam tanto medo que já não atualizam nada (e um dia são hackeados por uma vulnerabilidade com correção disponível há meses). Ambos estão a jogar à sorte. O processo profissional elimina o jogo: atualizar sempre, mas nunca às cegas.
Porque é que adiar atualizações é a pior opção
Quando um plugin publica uma correção de segurança, o changelog anuncia publicamente a vulnerabilidade — e os bots começam a explorar sites desatualizados em horas. A esmagadora maioria dos sites hackeados que limpamos entrou por um plugin com atualização disponível e não aplicada (os números em plugins desatualizados: o risco real).
E adiar tem um custo composto: quanto mais versões acumular, maior o salto quando finalmente atualizar — e maior a probabilidade de algo partir. Atualizar pouco e raramente é mais arriscado do que atualizar com frequência e método.
O processo em 6 passos
Passo 1 — Backup imediatamente antes. Não "o backup de ontem à noite": um backup agora, ficheiros + base de dados, com restauro que sabe executar. É a diferença entre "atualização correu mal, restauro em 10 minutos" e um dia inteiro de pânico. Se os seus backups nunca foram testados, resolva isso primeiro — um backup não testado não é um backup.
Passo 2 — Ler antes de clicar. 60 segundos por atualização: o changelog indica se é correção de segurança (prioridade máxima), correção de bugs (normal) ou major version (mudança de primeiro dígito — ex.: WooCommerce 8 → 9). Majors de plugins críticos merecem staging e uns dias de espera pelos primeiros relatos de problemas. Verifique também a linha "Testado até": um plugin sem atualizações há mais de um ano é candidato a substituição, não a atualização.
Passo 3 — Staging para o que é crítico. Um ambiente de staging — cópia do site onde testa antes de aplicar em produção — é obrigatório para lojas online e sites de negócio. Muitos alojamentos criam staging com um clique. Sem staging disponível, aplique a regra seguinte com ainda mais disciplina.
Passo 4 — Um de cada vez, na ordem certa. A ordem que minimiza conflitos: plugins → tema → core do WordPress (plugins atualizados primeiro ficam prontos para a versão nova do core). E nunca "Atualizar tudo" de uma vez num site importante: se algo partir, não saberá qual dos doze componentes foi. Atualize, recarregue o site, próximo.
Passo 5 — Verificar o que interessa. Depois das atualizações, teste os fluxos que pagam as contas: homepage, formulário de contacto, checkout com uma compra de teste, login de clientes. Um site "no ar" com o checkout partido é pior do que um site em baixo — falha em silêncio durante dias. (É exatamente o que a monitorização devia estar a vigiar em contínuo.)
Passo 6 — Se partiu: reverter sem heroísmos. Identificou o plugin culpado? Reponha a versão anterior (WordPress.org → "Advanced View" → versões antigas) e aguarde a correção. Site inacessível? O guia do site partido por atualização tem o procedimento de recuperação completo, incluindo sem acesso ao wp-admin.
Atualizações automáticas: sim ou não?
Resposta honesta: depende do que está em jogo. Para um blog simples, atualizações automáticas de segurança (minor versions do core + plugins de topo) são melhores do que o esquecimento. Para uma loja ou site de negócio, automático significa que o site pode partir às 3 da manhã de sábado sem ninguém ver — automatize apenas as minor do core e faça o resto com método e supervisão.
O meio-termo profissional é atualização gerida: aplicada por rotina (semanal), com backup prévio, verificação posterior e alguém responsável se algo falhar. É precisamente o nosso serviço de atualizações geridas de core, temas e plugins.
A rotina mensal mínima (para quem gere sozinho)
Se vai gerir as atualizações por conta própria, agende no calendário — a "atualização quando me lembro" acaba sempre em site desatualizado: semanalmente, atualizações de segurança de plugins; mensalmente, todas as restantes + verificação dos fluxos críticos; trimestralmente, limpeza de plugins/temas desativados e teste de restauro de backup. A checklist mensal completa detalha cada item.
Prefere nunca mais pensar em atualizações?
Atualizamos core, temas e plugins todas as semanas, com backup prévio, teste dos fluxos críticos e relatório mensal. Se algo partir, a responsabilidade de resolver é nossa — não sua.
Atualizações geridas