Joomla update beveiligingslek

[Mini Poeper]

Mijn vrouw zit bij een kleinschalige club, die vorig jaar een nieuwe website hebben laten maken.

De beherende partij stuurt nu geregeld een mail dat er een beveiligingslek gedicht moet worden en zij vragen daar een behoorlijk bedrag voor. Opvallend is dat de mail telkens rond de periode van een update gestuurd wordt. De leden zijn leken en schoorvoetend wordt er dan maar betaald.

Zelf heb ik ook twee websites draaien, maar dan in Wordpress en als zelfstandige let je op de kleintjes dus beheer ik deze zelf. Bij Wordpress is een update enkel een druk op de knop en binnen enkele minuten staat de nieuwste versie op de server en klaar.

Ik ben niet bekend met Joomla, maar werkt dit net eenvoudig ook met Joomla?
Het bedrijf vraagt namelijk hiervoor ongeveer € 200,-- excl. BTW.
Geef ze 10min per website, dat is dan een uurtarief van € 1200,--!!!

Is dit normaal of ruikt het bedrijf nu geld en wordt de club belazerd?

[rnark]

Volgens deze pagina lijkt dit ook voor Joomla om een druk op de knop te gaan. Is er al eens gevraagd aan de webbouwer wat ze precies doen voor dat bedrag. Ik kan me voorstellen dat er een bedrag wordt gevraagd om de installatie up to date te houden maar dit bedrag per update klinkt vrij hoog.

[HamuNaptra]

Dit lijkt me een standaard prijs voor een interventie die niet valt onder een onderhoudscontract.

- Bestaat er een onderhoudscontract? zoja, waarom kan dit niet binnen het contract, moet dit uitgebreid worden?
- Is er een afspraak dat de beherende partij altijd instaat voor het uptodate houden of mag dit ook door andere personen gebeuren, kijk je contract na.

Voorziet de beherende partij ook effectief in de hosting of is dit een externe partij?

[Barryvdh]

rnark schreef op woensdag 23 december 2015 @ 07:23:
Volgens deze pagina lijkt dit ook voor Joomla om een druk op de knop te gaan. Is er al eens gevraagd aan de webbouwer wat ze precies doen voor dat bedrag. Ik kan me voorstellen dat er een bedrag wordt gevraagd om de installatie up to date te houden maar dit bedrag per update klinkt vrij hoog.

Ligt er ook aan wat er precies moet gebeuren he. 1-klik update is meestal vooral de core en stabiele modules, maar dat wil niet altijd zeggen dat een custom theme ook nog ondersteund is, alle modules nog updates ontvangen, er geen compatibiliteits problemen komen door de update etc.

Volgens mij is het overigens wel een 'echte' security update, dus niet zomaar geldklopperij. Zie bijv. https://developer.joomla.org/security-centre.html

[DJMaze]

Op dit moment heeft Joomla het probleem voor de derde keer gepatcht en is in korte tijd de volgende versies uitgebracht:
3.4.6
3.4.7
3.4.8

Mini Poeper schreef op woensdag 23 december 2015 @ 07:08:
Het bedrijf vraagt namelijk hiervoor ongeveer € 200,-- excl. BTW.

Als ze je dan €600 rekenen is het wel heel erg!

Persoonlijk zou ik dan het contract met het bedrijf ontbinden vanwege wanprestatie omdat het product niet aan de verwachtingen voldoet.
Zij hadden daarnaast een juist advies moeten geven en niet Joomla van de plank moeten pakken om je vervolgens op kosten te jagen.
Er zijn zat systemen met minder of makkelijkere upgrade processen die veel geld besparen.
Daar is die partij goed de fout in gegaan.

[ Voor 13% gewijzigd door DJMaze op 29-12-2015 10:59 ]

[Room42]

200 euro als vast bedrag is voor een actuele en standaard Joomla-installatie inderdaad absurd. Als je gewoon Joomla 3.4.x hebt draaien, is de update inderdaad gewoon een kwestie van 2x klikken en klaar.
Als de site verder achterloopt, of als er veel (slechtgeschreven) maatwerk is, kan het wel meer werk zijn.

Maar dan zou ik eerder overwegen de site door een goede Joomla-ontwikkelaar op te laten pakken. Goedgeschreven maatwerk is upgrade-proof, omdat het zich aan de Joomla-standaarden houdt. Security-updates zijn dan sowieso geen probleem. En een goede beheerder zorgt dat ie geen update mist.