"Actualiza sempre que sair versão nova" está errado. "Actualiza uma vez por mês independentemente" também está incompleto. A resposta correcta depende do tipo de update, da criticidade do site e da natureza do plugin. Este artigo dá-te um framework de decisão prático para gerir actualizações num portfólio de agência sem nem demasiado risco nem demasiado trabalho desnecessário.
Três categorias de updates, três velocidades de resposta
1. Actualizações de segurança (CVE activa)
Quando actualizar: dentro de 24-48 horas após publicação da CVE.
Quando uma vulnerabilidade activa é publicada para um plugin instalado nos teus sites, o tempo conta. Scanners automatizados de atacantes começam a procurar instalações vulneráveis horas após a publicação da CVE. Esperar pela próxima janela mensal de manutenção pode ser demasiado tarde.
Como identificar: assinar alertas de segurança WordPress (Wordfence Intelligence, WPScan, Patchstack) para receber notificações imediatas sobre plugins do teu portfólio.
2. Actualizações major com breaking changes
Quando actualizar: após teste em staging, nunca directamente em produção.
Versões major (ex: WooCommerce 8.x → 9.x, Elementor 3.x → 4.x) frequentemente incluem mudanças de API, novas estruturas de dados ou remoção de funcionalidades deprecadas. Estas actualizações requerem teste específico das funcionalidades do site antes de aplicar em produção.
Como identificar: o changelog do plugin menciona "major version", "breaking changes" ou "database migration".
3. Actualizações de manutenção (bug fixes, minor features)
Quando actualizar: ciclo mensal regular, com backup prévio e teste básico pós-update.
A maioria dos updates de plugins é desta categoria: correções de bugs, pequenas melhorias de performance, compatibilidade com versões novas do WordPress. Podem ser incluídas no ciclo mensal de manutenção sem urgência especial.
O mito das actualizações automáticas WordPress
O WordPress permite activar actualizações automáticas de plugins. É uma opção conveniente — e potencialmente catastrófica para sites de clientes.
O problema das actualizações automáticas:
- Não verificam compatibilidade entre plugins
- Não fazem backup antes de actualizar
- Não testam funcionalidades críticas após actualizar
- Podem aplicar versões major com breaking changes sem aviso
- Actualizam a qualquer hora, incluindo durante períodos de tráfego elevado
Para sites de clientes com funcionalidades críticas (WooCommerce, formulários de lead, portais de login), actualizações automáticas de plugins são um risco operacional que não vale a pena correr.
A excepção aceitável: actualizações automáticas apenas para o WordPress core em versões de manutenção (ex: 6.5.1 → 6.5.2), que são de baixo risco e alta importância de segurança.
Plugins que nunca deves actualizar sem teste prévio
Alguns plugins têm impacto tão crítico que qualquer actualização deve ser testada em staging mesmo que seja minor:
- WooCommerce e extensões de pagamento: qualquer falha no checkout tem impacto financeiro directo
- Page builders (Elementor, Divi, Beaver Builder): podem alterar renderização de todas as páginas do site
- Plugins de cache (WP Rocket, W3 Total Cache): actualizações podem introduzir bugs que servem conteúdo incorrectos
- Plugins de segurança (Wordfence, Sucuri): actualizações com bugs podem bloquear acesso legítimo ao site
- Plugins de backup activos: paradoxalmente, um bug num plugin de backup pode corromper os backups que estão a ser criados
Como estruturar o calendário de updates num portfólio de agência
A estrutura que funciona para portfólios de 10-50 sites:
- Alertas diários automáticos: ferramentas de gestão de portfólio (WP Umbrella, ManageWP) enviam alertas de updates disponíveis. Triagem diária rápida para identificar actualizações de segurança urgentes.
- Janela semanal de segurança: nas segundas de manhã, aplicar actualizações de segurança pendentes com backup prévio.
- Ciclo mensal de manutenção: no início do mês, aplicar todas as actualizações de manutenção pendentes com processo completo (backup, apply, test, relatório).
- Updates major em janela dedicada: para actualizações major de plugins críticos, agendar janela específica com staging e teste completo.
Queres que os updates do teu portfólio sejam geridos com este processo automaticamente?
A manutenção WordPress da Vuvo inclui monitorização de updates pendentes, actualizações de segurança prioritárias e ciclo mensal completo com relatório.
Conhecer o serviço