Heräät aamulla, avaat hallintapaneelin ja näet valkoisen ruudun. Sivusto on alhaalla, palveluntarjoaja ei ymmärrä mistä on kyse, ja syy on mitätön: yöllä tapahtunut lisäosan automaattipäivitys, joka oli ristiriidassa PHP-versiosi tai aktiivisen teeman kanssa.

WordPress-kehittäjät suosittelevat vahvasti pitämään automaattipäivitykset päällä tietoturvasyistä. Ja tyypilliselle sivustolle se onkin oikea lähestymistapa. Mutta kun hallinnoit tuotantoprojektia, jossa on räätälöityjä muokkauksia, parinkymmenen lisäosan nippu ja tiukat käytettävyysvaatimukset, sokea autopilotti muuttuu riskiksi. Yksi yhteensopimaton päivitys, ja myynti pysähtyy, lomakkeiden lähetys epäonnistuu, asiakkaat lähtevät.

WordPress antaa sinulle täyden hallinnan automaattipäivityksistä. Voit poistaa kaiken kerralla tai valikoidusti: vain ytimen, vain lisäosat tai vain teemat. Alla on kolme toimivaa tapaa ja rehellinen erittely siitä, milloin käytöstä poistaminen on perusteltua ja milloin ei.

💡 Pikaopas:

• Lisää vakio WP_AUTO_UPDATE_CORE tiedostoon wp-config.php arvolla false poistaaksesi WordPress-ytimen automaattipäivitykset
• Estä kaikki automaattipäivitykset kerralla käyttämällä vakiota AUTOMATIC_UPDATER_DISABLED samassa wp-config.php-tiedostossa
• Poista lisäosien ja teemojen automaattipäivitykset auto_update_plugin- ja auto_update_theme-filttereillä functions.php-tiedostossa
• Asenna ilmainen lisäosa Easy Updates Manager osioittaista määritystä varten suoraan hallintapaneelista, ilman koodia

Milloin automaattipäivitykset kannattaa poistaa käytöstä

Automaattipäivitykset tulivat WordPressiin versiossa 3.7 ja ovat siitä lähtien olleet vakio. Virallisten WordPress-tilastojen mukaan yli 60% asennuksista käyttää ytimen vähäisiä automaattipäivityksiä. Tämä on hyvä tietoturvalle, mutta on tilanteita, joissa automaatio aiheuttaa haittaa.

Automaattipäivitysten poistaminen käytöstä on järkevää, jos:

• Sinulla on räätälöity teema tai lisäosia, joihin on tehty manuaalisia koodimuokkauksia, ja päivitys korvaa muutoksesi,
• Sivusto toimii tietyllä PHP-versiolla, ja uusi lisäosa vaatii uudempaa versiota ja kaatuu,
• Käytät staging-ympäristöä ja haluat testata päivitykset ennen tuotantoon vientiä,
• Jollain kriittisellä lisäosalla on historiaa "hajottavista" julkaisuista, ja päivität sen mieluummin manuaalisesti tarkistuksen jälkeen.

Jos sivustosi on tyypillinen, teema on vakio, lisäosat ovat suosittuja ja varmuuskopiot on määritetty, on turvallisempaa pitää automaattipäivitykset päällä. Haavoittuvuuden kautta hakkeroitu sivusto menettää rahaa nopeammin kuin sivusto, jonka päivitys viivästyy.

Tapa 1: Vakiot wp-config.php-tiedostossa

wp-config.php-tiedosto on WordPressin pääasetustiedosto. Täällä määritellyillä vakioilla on korkein prioriteetti, ja ne ohittavat kaikki hallintapaneelin asetukset.

Ennen kuin muokkaat wp-config.php-tiedostoa, tee varmuuskopio. Virhe tässä tiedostossa, ja sivusto muuttuu valkoiseksi ruuduksi. Palauttaminen vaatii pääsyn sivuston tiedostoihin FTP:n kautta. Jos varmuuskopiointia ei ole vielä määritetty, tässä on opas WordPressin palauttamiseen varmuuskopiosta.

Poista käytöstä vain ytimen automaattipäivitykset

Yhdistä sivustollesi FTP:n tai hotellin tiedostonhallinnan kautta, etsi wp-config.php juurikansiosta ja lisää seuraava rivi ennen kommenttia /* That's all, stop editing! Happy publishing. */:

1
define('WP_AUTO_UPDATE_CORE', false);

Tämä vakio estää kaikki ytimen automaattipäivitykset: sekä vähäiset (versiosta 6.5.2 versioon 6.5.3) että suuret (versiosta 6.5 versioon 6.6). Tietoturvapäivityksetkään eivät mene läpi, joten jos valitset tämän tien, ota tavaksi tarkistaa hallintapaneeli kerran kuukaudessa uusien versioiden varalta.

Poista kaikki automaattipäivitykset kerralla

On olemassa tiukempi vakio, joka sulkee koko automaattipäivitysmekanismin: ytimen, lisäosat, teemat, käännökset. Lisää samaan wp-config.php-tiedostoon:

1
define('AUTOMATIC_UPDATER_DISABLED', true);

Huom: true tarkoittaa tässä "automaattipäivitykset on poistettu käytöstä". Tämä on yleinen sekaannuksen aiheuttaja, sillä vaikuttaa siltä, että true-arvon pitäisi pikemminkin ottaa käyttöön kuin poistaa. Mutta vakion logiikka on juuri tämä: "automaattinen päivittäjä poistettu käytöstä = tosi".

Pidä vain tietoturvapäivitykset

Kompromissivaihtoehto: ydin päivittyy vain kriittisten tietoturvakorjausten osalta. Vähäiset ja suuret julkaisut vaativat manuaalisen toimenpiteen:

1
define('WP_AUTO_UPDATE_CORE', 'minor');

Tällä arvolla WordPress korjaa haavoittuvuudet automaattisesti, mutta ei asenna uutta versiota, joka sisältää testaamattomia muutoksia. Useimmille sivustoille tämä on optimaalinen tasapaino tietoturvan ja hallinnan välillä.

Automaattisten päivitysten palauttaminen

Ota kaikki uudelleen käyttöön korvaamalla false arvolla true (tai minor arvolla true):

1
define('WP_AUTO_UPDATE_CORE', true);

Tai poista lisätyt rivit kokonaan. Ilman vakiota WordPress käyttää oletuskäyttäytymistä: pienet ydinkorjaukset automaattisesti, suuret versiopäivitykset ylläpitäjän harkinnan mukaan.

Tapa 2: Suodattimet functions.php-tiedostossa

wp-config.php-tiedoston vakiot toimivat maailmanlaajuisesti: kaikki tai ei mitään. Jos tarvitset tarkempaa hallintaa liitännäisille ja teemoille erikseen, käytä WordPress-suodattimia aktiivisen teemasi functions.php-tiedostossa.

Varoitus: functions.php-tiedostoon tehdyt muutokset ovat voimassa vain, kun kyseinen teema on aktiivinen. Jos vaihdat teemaa, suodattimet katoavat. Jos tarvitset pysyvän ratkaisun, siirrä koodi Must-Use-liitännäiseen tai omaan miniliitännäiseesi.

Poista automaattiset päivitykset kaikilta liitännäisiltä

1
add_filter('auto_update_plugin', '__return_false');

Poista automaattiset päivitykset kaikilta teemoilta

1
add_filter('auto_update_theme', '__return_false');

Poista ytimen automaattiset päivitykset suodattimella

WordPress 5.5:stä alkaen suodatin toimii myös ytimelle:

1
add_filter('auto_update_core', '__return_false');

Tämä vastaa WP_AUTO_UPDATE_CORE-vakion toimintaa, mutta suodatintasolla. Tämä on kätevää, jos muokkaat jo functions.php-tiedostoa ja haluat pitää kaikki asetukset yhdessä paikassa.

Tarkka hallinta: tämä liitännäinen päivittyy, tuo ei

auto_update_plugin- ja auto_update_theme-suodattimet hyväksyvät kaksi parametria: $update-lipun ja $item-objektin, joka sisältää tiedot kyseisestä liitännäisestä tai teemasta. Tämän avulla voit rakentaa "sallittujen listan": vain varmennetut kohteet päivittyvät automaattisesti, kun taas loput odottavat manuaalista vahvistusta.

Todellinen esimerkki, jossa automaattinen päivitys on sallittu vain kahdelle liitännäiselle ja muilta se on estetty:

1
add_filter('auto_update_plugin', function($update, $item) {
2
    $allowed = ['wordfence/wordfence.php', 'updraftplus/updraftplus.php'];
3
    return in_array($item->slug, $allowed);
4
}, 10, 2);

Teemoille logiikka on identtinen: vaihda koukku muotoon auto_update_theme ja listan polkutunnukset teematunnisteiksi.

Tämä lähestymistapa toimii hyvin, kun sinulla on yli 20 liitännäistä, mutta vain 2-3 niistä tahtoo hajota päivitysten jälkeen. Loput päivittyvät automaattisesti ongelmitta, kun taas ongelmalliset päivitetään manuaalisesti staging-ympäristössä testaamisen jälkeen.

Tapa 3: Easy Updates Manager -lisäosa koodittomaan hallintaan

Etkö halua koskea koodiin? Tähän on graafinen työkalu. Easy Updates Manager on ilmainen lisäosa, jolla on yli 700 000 aktiivista asennusta ja jonka on tehnyt UpdraftPlus-tiimi. Se korvaa sekä vakiot että filtterit yhdellä käyttöliittymällä suoraan hallintapaneelissa.

Lisäosaa päivitetään säännöllisesti: versio 9.0.21 julkaistiin toukokuussa 2026, ja se paikkasi XSS-haavoittuvuuden sekä korjasi useita ajastukseen liittyviä bugeja. Koodipohja on aktiivinen, ja kehittäjät reagoivat tietoturvaraportteihin.

Asennus ja käyttöönotto

Asenna Easy Updates Manager tavalliseen tapaan: Lisäosat → Lisää uusi → kirjoita hakuun "Easy Updates Manager" → Asenna → Ota käyttöön.

Käyttöönoton jälkeen hallintapaneelin sivupalkkiin ilmestyy Päivitysasetukset-kohta. Avaa se, niin olet Yleiset-välilehdellä:

Käytettävissä olevat tilat:

• Poista kaikki päivitykset käytöstä, täydellinen esto, vastaa AUTOMATIC_UPDATER_DISABLED-vakiota,
• Salli kaikki päivitykset, kaikki käytössä, WordPressin vakiotoiminta,
• Oletus, WordPress päättää itse,
• Salli automaattipäivitykset, kaikki osiot päivittyvät automaattisesti,
• Poista automaattipäivitykset käytöstä, automaattipäivitykset pois käytöstä kaikkialla,
• Mukautettu, päätät itse jokaisesta osiosta.

Osioittainen määritys lisäosille ja teemoille

Lisäosat-välilehti näyttää listan kaikista asennetuista lisäosista, ja jokaisen vieressä on kytkin. Klikkaa sitä, niin automaattipäivitys estyy. Teemat-välilehti tekee saman teemoille.

Teemat-välilehti toimii samalla tavalla: taulukko, jossa on kytkimet jokaisen asennetun teeman vieressä. Voit poistaa automaattipäivitykset käytöstä pääteemalta, jos olet tehnyt siihen muokkauksia, ja jättää lapsiteeman ennalleen.

Tämä on kätevin tapa sivustoille, joissa on sekalainen joukko lisäosia. Tietoturvalisäosan kuten Wordfencen automaattipäivitykset pidetään päällä. Kaksi vuotta sitten freelancerin tekemä räätälöity toimituslaskurilisäosa pysyy manuaalisena.

Lisäetu: Easy Updates Manager pitää lokia kaikista päivityksistä. Näet, mikä päivittyi, milloin ja mihin versioon. Kun selvität äkillistä bugia, loki osoittaa syylliseen usein nopeammin kuin lisäosien satunnainen poiskytkeminen.

🔗 Easy Updates Manager WordPress.orgissa

Mitä tehdä, kun automaattipäivitykset on poistettu käytöstä

Poistettu? Vastuu ei katoa. Nyt päivitykset ovat sinun vastuullasi. Kolme sääntöä, jotta sivustosi ei muutu kurpitsaksi puolessa vuodessa:

• Tarkista hallintapaneeli säännöllisesti. Mene kohtaan "Päivitykset" ja katso, mitä on kertynyt. WordPress julkaisee pieniä tietoturvapäivityksiä noin kerran kuukaudessa. Jos jätät yhden suuren ydinkehitysversion väliin, olet versiossa, jota hosting-palveluntarjoajasi ei enää tue.
• Testaa päivitykset kopiolla. Luo staging-ympäristö, tarkka kopio sivustosta alidomainiin, ja aja päivitykset siellä. Kaatuiko? Debuggaa rauhassa, kun tuotantoversio pysyy koskemattomana. Varmuuskopiolisäosat kuten UpdraftPlus voivat kloonata sivuston yhdellä klikkauksella.
• Seuraa muutoslokeja. Kun lisäosa päivittyy, avaa Changelog-välilehti sen sivulla WordPress.orgin tietovarastossa. Jos näet "breaking change" tai "dropped support for PHP 7.x", varaudu manuaaliseen päivitykseen yhteensopivuustestauksen kera.

Ja tärkeintä: älä poista automaattipäivityksiä käytöstä "varmuuden vuoksi". Jos sivustosi toimii tyypillisellä kokoonpanolla etkä aio ylläpitää sitä manuaalisesti, jätä automaattipäivitykset päälle. Hakkeroitu sivusto menettää liikennettä, mainetta ja hakusijoituksia. Se on kalliimpaa kuin harvinainen versioristiriita.

⁉️🤔 Usein kysytyt kysymykset

Voinko poistaa automaattipäivitykset käytöstä vain yhdeltä tietyltä lisäosalta?

Kyllä. Easy Updates Managerilla: avaa Lisäosat-välilehti ja käännä kytkin pois päältä halutun lisäosan vierestä. Koodilla: käytä auto_update_plugin-filtteriä ja tarkista slug, kuten yllä olevassa "Tarkka hallinta" -osiossa näytettiin. Muut lisäosat päivittyvät normaalisti.

Onko turvallista poistaa WordPressin automaattipäivitykset kokonaan käytöstä?

Se on turvallista vain, jos ylläpidät manuaalisen päivityskurin. WPScanin haavoittuvuustilastojen mukaan vuonna 2025 96% WordPress-sivustojen tietomurroista johtui lisäosien haavoittuvuuksista, ei ytimestä. Päivittämätön lisäosa, jossa on tunnettu aukko, on tärkein hyökkäysvektori. Johtopäätös: jos poistit automaattipäivitykset käytöstä, tarkista päivitykset vähintään kerran kuukaudessa.

Mitä eroa on WP_AUTO_UPDATE_CORE- ja AUTOMATIC_UPDATER_DISABLED-vakioilla?

WP_AUTO_UPDATE_CORE hallitsee vain WordPress-ytimen päivityksiä. Lisäosat ja teemat päivittyvät tästä vakiosta riippumatta. AUTOMATIC_UPDATER_DISABLED sulkee koko automaattipäivitysmekanismin: ytimen, lisäosat, teemat, käännöstiedostot. Ensimmäinen on hienosäätöön, toinen täydelliseen alasajoon.

Mitä teen, jos sivusto päivittyi silti, vaikka poistin automaattipäivitykset käytöstä?

Tarkista, ohittaako hosting-palveluntarjoajasi asetukset. Jotkin hallinnoidut hostit (Kinsta, WP Engine, SiteGround) pakottavat tietoturva-automaattipäivitykset palvelintasolla. Mene hosting-paneeliisi ja etsi "WordPress Updates"- tai "Auto-updates"-osio. Jos palveluntarjoajan asetukset ovat ristiriidassa omiesi kanssa, palveluntarjoaja voittaa.

Miten varmistan, että automaattipäivitykset ovat todella pois käytöstä?

Luotettavin tapa on odottaa tietoturvapäivityksen julkaisua (niitä tulee noin kerran kuukaudessa). Jos lisäosa tai ydin ei ole päivittynyt 48 tunnin kuluessa julkaisusta, suojaus toimii. Nopea tapa lisäosille: mene kohtaan Lisäosat → Asennetut ja katso "Automaattipäivitykset"-saraketta, jossa tila näkyy jokaiselle lisäosalle.

Pitääkö WP-Cron poistaa käytöstä automaattipäivitysten estämiseksi?

Ei. DISABLE_WP_CRON poistaa käytöstä kaikki WordPressin cron-tehtävät, ei pelkästään automaattipäivityksiä. Ilman cronia ajastettu julkaisu, roskakorin tyhjennys, sähköpostiuutiskirjeet ja muut taustatehtävät lakkaavat toimimasta. Älä poista WP-Cronia käytöstä estääksesi päivityksiä; käytä yllä kuvattuja vakioita ja filttereitä.

Poistaako vai ei: lopullinen yhteenveto

WordPressin automaattipäivitykset eivät ole "joko päälle tai pois ikuisesti" -päätös. Kyse on kirjosta: täydestä autopilotista tiukkaan manuaaliseen hallintaan. Valitse taso, joka sopii tilanteeseesi.

Tyypillinen sivusto ilman räätälöityä koodia? Jätä automaattipäivitykset päälle, sillä tietoturva painaa riskiä enemmän. Räätälöity teema, 30 lisäosan nippu ja korkeat käytettävyysvaatimukset? Poista käytöstä valikoivasti: ydin ja kriittiset lisäosat voivat pysyä automaatilla, kun taas loput hoidetaan manuaalisesti staging-testeillä.

Sääntö on yksinkertainen: mitä vähemmän automaattipäivityksiä sallit, sitä tiukempi henkilökohtaisen tarkistuskurisi on oltava. Jos et ole valmis käymään hallintapaneelissa kerran kuukaudessa, älä poista mitään käytöstä.

Ja jos tarvitset tasapainoa, aloita WP_AUTO_UPDATE_CORE, 'minor' -asetuksella ytimelle ja Easy Updates Managerilla lisäosille. Tietoturva ei kärsi, ja hallinta pysyy käsissäsi.