PHP2Shell: jak prawidłowo wyłączyć stronę na czas aktualizacji
Najważniejszy temat ostatnich 48 godzin dla właścicieli stron to problem z bezpieczeństwem. 21 października zespół PHP wydał wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35, które usuwają dwie krytyczne luki, nazwane PHP2Shell. WordPress działa w oparciu o język PHP, więc problem dotyczy również stron korzystających z tej platformy. Część serwisów wyłączono, by zainstalować poprawki lub przygotować się do aktualizacji. Wśród nich są strony instytucji rządowych w Unii Europejskiej (UE).
Google ma jasne zalecenia dotyczące wyłączania stron na czas aktualizacji. John Mueller radzi zwracać kod HTTP 503 zamiast dopuszczać do przekroczenia czasu oczekiwania na odpowiedź lub zwracać błędy 404 czy 500. Kod 503 oznacza: „tymczasowo nieczynne, proszę wrócić później”. Mueller przypomina też, że można go zwracać bez udziału PHP, kierując ruch przez DNS na inny serwer lub do sieci CDN. To ważne, bo niedziałające PHP samo nie wyśle takiej odpowiedzi. Według poradnika Google kod 503 służy do awaryjnego wyłączania witryn na 1–2 dni, najwyżej kilka. Plik robots.txt nigdy nie powinien zwracać kodu 503. O tych samych zasadach przypomniał też Search Engine Journal.
Pozycje wciąż się zmieniają
Wyniki wyszukiwania są niestabilne już od miesiąca. Od końca września nasz wskaźnik utrzymuje się na poziomie od umiarkowanego do wysokiego i znów rośnie. Dzisiejszy wstępny odczyt to 7,7, ale dane przekazało dopiero 5 z 12 dostawców. Rozbieżności są duże: Serpstat i Wincher pokazują 10/10, a SimilarWeb 3,2. Barry Schwartz z Search Engine Roundtable odnotował wzrost liczby dyskusji o wahaniach 20–21 października. Jego zdaniem trwa niepotwierdzona aktualizacja Google. Niektórzy właściciele stron zauważyli poprawę pozycji, ale jednocześnie od 60 do 70% mniej kliknięć niż zwykle. Taki układ zwykle wskazuje na to, że AI Overviews udzielają odpowiedzi, zanim ktokolwiek kliknie wynik.
Dane z narzędzi warto traktować ostrożnie. Według Nozzle część wyników, które Google przesyła narzędziom do monitorowania pozycji, jest kompletna, ale błędna. W szczytowym momencie dotyczyło to 25% wyników, a od 1 października odsetek ten wynosi 5–11% dziennie.
Co robić
- Jeszcze dziś warto zapytać dostawcę hostingu, czy na serwerze działa wersja PHP z poprawkami.
- Przy wyłączaniu strony należy zwracać kod 503, a nie zwykłą stronę błędu.
- W tym tygodniu lepiej ufać danym o kliknięciach z Search Console niż zewnętrznym narzędziom do monitorowania pozycji.
