Els webs que ens arriben després d’anys sense manteniment no tenen cadascun la seva història. Tenen la mateixa, amb petites variacions de data. Funcionen, la portada es veu bé i ningú de l’organització no té la sensació que hi hagi un problema. Fins que n’hi ha, i aleshores solen ser uns quants alhora.
Hem escrit aquesta història com l’explicaria el mateix web. Cap entrada no correspon a un client concret, però totes les hem vistes més d’una vegada.
Estimat diari
Juny del 2023. Avui m’han publicat. Tothom diu que estic molt bé. Tinc Drupal 10, que va sortir fa sis mesos, i una trentena de mòduls. A la reunió de tancament algú ha dit que ja parlaríem del manteniment.
Setembre del 2023. Ha sortit una versió nova d’un dels meus mòduls. Corregeix una fallada de seguretat. Ningú no se n’ha assabentat, així que jo tampoc.
Març del 2024. El formulari de contacte fa tres setmanes que no envia res. Ho ha descobert un client que ha trucat per preguntar si algú llegia els missatges.
Novembre del 2024. M’arriba molt d’spam. Algú proposa posar-hi un captcha. Per instal·lar-lo, abans cal actualitzar uns altres tres mòduls, i per actualitzar aquests cal actualitzar Drupal. Es deixa per després de Nadal.
Gener del 2026. El proveïdor d’allotjament ha enviat un correu: la versió de PHP amb què funciono va deixar de tenir suport el 31 de desembre i actualitzaran el servidor. L’ha rebut una persona que ja no treballa aquí.
Febrer del 2026. M’han actualitzat el servidor. La pàgina de notícies mostra un error en blanc. La portada continua preciosa.
Maig del 2026. Màrqueting vol una pàgina nova per a una campanya. La resposta del proveïdor: abans cal posar el web al dia. El pressupost de posar-lo al dia és força més alt que el de la pàgina.
Octubre del 2026. He llegit que el 9 de desembre deixo de rebre actualitzacions de seguretat. Crec que no ho ha llegit ningú més.
Dimecres, 9 de desembre del 2026. Avui és el primer dia de la meva vida sense actualitzacions de seguretat. Per fora, estic igual que sempre.
El que no es veu des de la portada
L’última entrada és la que més es repeteix i la que menys alarma, perquè no passa res de visible. Per entendre per què importa, cal saber com funciona Drupal per dins.
Un web Drupal està fet d’un nucli i de desenes de mòduls que manté la comunitat. Drupal té un equip de seguretat que revisa les fallades que es descobreixen i publica les actualitzacions amb un calendari fix: les dels mòduls, qualsevol dimecres; les del nucli, un dimecres al mes, a partir de les sis de la tarda a Espanya.
Cadascuna d’aquestes actualitzacions va acompanyada d’un avís públic que explica què falla i en quines versions. És el que toca, perquè permet a tothom protegir-se. També vol dir que, des d’aquell moment, qui vulgui aprofitar la fallada sap on buscar-la. El cas més conegut és del 2014: l’equip de seguretat de Drupal va publicar una actualització crítica del nucli i, poques hores després, ja hi havia atacs automàtics que buscaven webs sense actualitzar. La seva recomanació oficial va ser donar per compromès qualsevol web que no s’hagués actualitzat en les set hores següents a l’anunci.
Un web sense manteniment no és un web que no canvia. És un web que es queda quiet mentre tot al seu voltant es mou: els mòduls, el nucli, la versió de PHP del servidor, els navegadors, els proveïdors de correu. Cada avís que ningú no aplica és una porta que es queda oberta, i la llista de portes obertes és pública.
Desembre del 2026, un mes amb dates
El 9 de desembre del 2026 Drupal 10 arriba al final de la seva vida. No hi haurà més versions, tampoc de seguretat. Aquell mateix mes està previst el llançament de Drupal 12, i el 31 de desembre PHP 8.2 deixa de rebre actualitzacions de seguretat. PHP 8.1 va deixar de rebre-les el 31 de desembre del 2025. Un web en Drupal 10 sobre PHP 8.2 es queda sense suport per les dues bandes gairebé alhora.
La sortida és Drupal 11, que al seu torn demana PHP 8.3 o superior. Passar d’una versió major a una altra no és prémer un botó, i el codi propi de cada web és el que dona més feina:
- funcions que Drupal 10 marcava com a obsoletes i que Drupal 11 ja no inclou;
- mòduls de la comunitat que cal comprovar un per un, perquè no tots tenen versió per a Drupal 11 o la tenen amb canvis;
- plantilles i JavaScript que depenien de peces que han canviat;
- un servidor que cal actualitzar en paral·lel.
Ja vam viure una cosa semblant amb Drupal 7, que es va quedar sense suport el 5 de gener del 2025 després de diversos anys de pròrroga. Les organitzacions que van arribar a la data sense pla van haver de triar entre migrar amb pressa o continuar sense actualitzacions. Amb Drupal 10, la data es va fixar amb antelació i no depèn de quan surti Drupal 12.
Com ho fem nosaltres
El primer és saber en quin estat és el web. La nostra auditoria tècnica revisa, entre altres eixos, la plataforma i el seu cicle de suport, les actualitzacions pendents i les vulnerabilitats conegudes, els pedaços aplicats i la qualitat del codi propi. El resultat és una llista de troballes classificades per gravetat i esforç, en llenguatge de negoci per a tu i amb el detall tècnic per a l’equip.
Amb aquest diagnòstic, la migració a Drupal 11 segueix un procés escrit i verificat: refactorització automàtica del codi propi, anàlisi estàtica al nivell de la versió de destinació, comprovació de la compatibilitat de cada mòdul i validació del projecte migrat en un entorn real abans de tocar producció. Si el teu equip continua publicant o desenvolupant mentre migrem, el procés integra aquests canvis amb el que ja s’ha migrat.
El manteniment, després, es recolza en un registre de versions validades. Cada actualització es prova en una còpia del web abans d’aplicar-la, i en acabar reps un resum de què s’ha canviat, per què i amb quin resultat. Ho expliquem amb més detall a IA amb mètode propi: així construïm i mantenim Drupal.
El mateix diari, amb manteniment
Dimecres. Ha sortit una actualització per a un dels meus mòduls. L’han provada en una còpia meva i l’han aplicada. No me n’he adonat.
Octubre del 2026. M’han passat a Drupal 11 i a PHP 8.4. Durant uns dies he viscut en un entorn de proves. Després, ningú no ha notat res.
Dimecres, 9 de desembre del 2026. Un dimecres qualsevol.
És un diari molt avorrit, i és justament el que es contracta. Mantenir un web és aconseguir que el seu diari sigui avorrit.
Mantenir un web és aconseguir que el seu diari sigui avorrit.
Quatre preguntes abans del 9 de desembre
Serveixen per a qualsevol web Drupal, el mantingui qui el mantingui.
01 Versió. Saps en quina versió de Drupal i de PHP funciona el teu web? Apareix al tauler d’administració, a Informes > Informe d’estat.
02 Responsable. Qui aplica avui les actualitzacions de seguretat del teu web, i quan ho va fer per última vegada?
03 Codi propi. Quant desenvolupament a mida té el teu web? És el que pesa més en una migració de versió.
04 Pla. Hi ha una data per passar a Drupal 11? Si no n’hi ha, el 9 de desembre el teu web començarà a escriure el primer diari.
Si alguna resposta queda a l’aire, fins al 9 de desembre es pot resoldre amb calma. Després, amb pressa.
Fonts
- Drupal.org, Drupal core release schedule: final de vida de Drupal 10 el 9 de desembre del 2026, llançament previst de Drupal 12 i final de vida de Drupal 7 el 5 de gener del 2025.
- Drupal Security Team, Security release numbers and release timing: calendari de publicació de les actualitzacions de seguretat (mòduls, cada dimecres; nucli, normalment el tercer dimecres de cada mes, des de les 12:00 de Nova York).
- Drupal Security Team, PSA-2014-003: avís posterior a la fallada crítica SA-CORE-2014-005; recomana donar per compromesos els webs no actualitzats en les set hores següents a l’anunci.
- Drupal.org, Drupal 10 will be supported until the release of Drupal 12 in mid-late 2026: la data de final de suport de Drupal 10 es fixa el desembre del 2026, surti quan surti Drupal 12.
- Drupal.org, PHP requirements: versions de PHP compatibles amb Drupal 10 i Drupal 11.
- PHP, Supported versions i Unsupported branches: final del suport de seguretat de PHP 8.1 (31 de desembre del 2025) i PHP 8.2 (31 de desembre del 2026).