Wybór, ocena i porządkowanie wtyczek WordPress
Wtyczka działa z tymi samymi uprawnieniami co sam WordPress: może odczytywać i zmieniać Państwa bazę danych, tworzyć pliki i wysyłać e-maile. Instalując wtyczkę, obdarzają więc Państwo zaufaniem jej autora. Przestarzałe i źle utrzymywane wtyczki to częsta furtka dla włamywaczy. Poniżej wyjaśniamy, jak ocenić wtyczkę przed instalacją i jak usunąć te, których już Państwo nie potrzebują.
Najpierw: czy naprawdę potrzebują Państwo do tego wtyczki?
- Czy WordPress potrafi to sam? Kolumny, przyciski, tabele, prosta mapa witryny i leniwe ładowanie (lazy loading) obrazów są już wbudowane.
- Czy potrafi to Państwa motyw? W przypadku motywu blokowego wiele rzeczy można ustawić w Edytorze witryny.
- Czy mają już Państwo wtyczkę, która to robi? Dwie wtyczki do tego samego, na przykład dwie wtyczki do cache, dwie wtyczki SEO lub dwie wtyczki bezpieczeństwa, wchodzą sobie w drogę i powodują błędy.
Nie ma sztywnego limitu. Każdą wtyczkę trzeba jednak aktualizować, może ona kolidować z innymi i może zawierać lukę. Witrynę z niewielką liczbą dobrze dobranych wtyczek łatwiej utrzymać w dobrej kondycji.
Skąd pobierać wtyczki?
- Z katalogu wtyczek na wordpress.org, dostępnego także przez Wtyczki > Dodaj wtyczkę w panelu administracyjnym.
- Ze strony internetowej znanego autora, w przypadku wtyczek płatnych i rozszerzeń.
- Nigdy ze stron oferujących płatne wtyczki za darmo. Takie wtyczki typu nulled często zawierają tylne furtki lub linki spamowe i nie otrzymują aktualizacji.
Sygnały ostrzegawcze na stronie wtyczki
| Cecha | Sygnał ostrzegawczy |
|---|---|
| Ostatnia aktualizacja | Ponad rok temu. Wtedy wtyczka może już nie działać poprawnie z nowymi wersjami WordPressa i PHP. |
| Przetestowano do (wersja WordPressa) | Wersja znacznie starsza od obecnej. Na wordpress.org na stronie wtyczki pojawia się wówczas ostrzeżenie. |
| Wymagana wersja PHP | Samo w sobie nie jest to sygnałem ostrzegawczym, ale prosimy sprawdzić, czy pasuje do wersji PHP w Państwa pakiecie. |
| Aktywne instalacje | Bardzo niewiele: wtedy niewiele osób zauważa błędy. Nie zawsze oznacza to coś złego, ale warto przyjrzeć się dokładniej. |
| Oceny i wsparcie | Wiele niedawnych negatywnych ocen lub pytania na forum, na które autor nie odpowiada. |
| Wtyczka zamknięta | Strona informuje, że wtyczka została zamknięta, czasem z podaniem przyczyny, na przykład problemu z bezpieczeństwem. Prosimy ją zastąpić. |
Warto też sprawdzić publiczną bazę znanych luk we wtyczkach WordPressa, na przykład bazę Patchstack, Wordfence lub WPScan. Luka, która została szybko załatana, nie stanowi problemu. Autor, który przez miesiące nic nie robi, już tak. Prosimy również zwrócić uwagę, co wtyczka robi z danymi Państwa odwiedzających: jeśli przesyła je do usługi autora, należy to uwzględnić w polityce prywatności.
Wyłączyć czy usunąć?
| Wyłączenie | Usunięcie | |
|---|---|---|
| Co się dzieje? | WordPress przestaje ładować wtyczkę. Pliki pozostają w wp-content/plugins. | Pliki zostają usunięte. Niektóre wtyczki usuwają też swoje ustawienia i tabele z bazy danych, inne je pozostawiają. |
| Ryzyko | Luka w pojedynczym pliku wtyczki pozostaje dostępna. Włamywacze szukają znanych podatnych plików, a nie aktywnych wtyczek. | Usuniętej wtyczki nie da się przywrócić. Ustawienia mogą zostać utracone. |
| Kiedy? | Tylko tymczasowo, na przykład podczas szukania przyczyny problemu. | Gdy nie korzystają już Państwo z wtyczki. |
Dotyczy to również nieużywanych motywów. Wtyczkę usuwa się w sekcji Wtyczki: najpierw Wyłącz, następnie Usuń.
Porządki: regularny przegląd
Prosimy przeglądać wtyczki na przykład raz na kwartał i przy każdej zadać cztery pytania:
- Do czego służy? Jeśli Państwo nie pamiętają, warto to sprawdzić.
- Czy jest jeszcze używana? Wtyczkę do sliderów, gdy na stronie nie ma żadnego slidera, można usunąć.
- Czy można się bez niej obejść, bo WordPress, motyw lub inna wtyczka już to robi?
- Czy jest nadal rozwijana? Prosimy sprawdzić opisane wyżej sygnały ostrzegawcze.
Najpierw prosimy wykonać kopię zapasową lub pracować na kopii witryny, zob. Tworzenie środowiska testowego (staging) WordPress. Prosimy usuwać jedną wtyczkę naraz, a potem sprawdzić, czy witryna nadal działa. Uwaga na shortcode'y: jeśli usuną Państwo wtyczkę, która dostarczała na przykład [formulier id="2"], ten tekst pojawi się potem dosłownie na stronie.
Wyłączanie wtyczki, gdy panel administracyjny nie działa
Jeśli wtyczka powoduje błąd krytyczny lub białą stronę, można ją wyłączyć, zmieniając nazwę jej katalogu w wp-content/plugins. Przy takim błędzie WordPress często wysyła też e-mail z linkiem do trybu odzyskiwania. Jak to zrobić krok po kroku, opisujemy w artykule Błąd 500 lub „błąd krytyczny” na stronie (także po aktualizacji WordPressa). Jeśli wtyczka bezpieczeństwa blokuje Państwu dostęp, zob. Nie mogę zalogować się do WordPressa: co teraz?
Więcej informacji
- Zarządzanie wtyczkami na wordpress.org (w języku angielskim)
- Pomocy! Moja strona została zhakowana. Jak to naprawić i jak temu zapobiec?
Chcą Państwo dowiedzieć się więcej? Zapraszamy na bezpłatny kurs WordPressa, lekcja 5.3 Wybór i ocena wtyczek lub lekcja 5.4 Mniej znaczy więcej: porządki i rozwiązywanie konfliktów.