Wybór i ocena wtyczek

Moduł 5: Motywy i wtyczki · Czas czytania: 9 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili ocenić wtyczkę przed jej instalacją oraz rozpoznawać sygnały ostrzegawcze.

Kluczowe pojęcia: wtyczka, hooki (akcje i filtry), ostatnia aktualizacja, testowano do wersji, wymagana wersja PHP, aktywne instalacje, oceny, forum wsparcia, podatność, freemium, wtyczka nulled, nakładanie się funkcji

Czym jest wtyczka i dlaczego to ma znaczenie

Wtyczka (plugin) to fragment kodu PHP, który jest ładowany razem z WordPressem przy każdym żądaniu (lekcja 1.2). WordPress ma wszędzie hooki: stałe punkty, w których wtyczki mogą się podłączyć. Są dwa rodzaje:

• akcje (actions): „zrób teraz coś”, na przykład dodaj skrypt do strony, wyślij e-mail po złożeniu zamówienia;
• filtry (filters): „zmień to”, na przykład dostosuj tytuł strony albo edytuj treść wpisu.

Wtyczka może dzięki temu zmienić w Państwa witrynie niemal wszystko. I działa z takimi samymi uprawnieniami jak sam WordPress: może odczytywać i zapisywać bazę danych, tworzyć pliki, wysyłać e-maile. Instalacja wtyczki to zatem obdarzenie zaufaniem jej twórcy. Dobra wtyczka poprawia działanie witryny; zła lub porzucona wtyczka to najczęstsza furtka dla włamywaczy (lekcja 7.1).

Skąd pobierać wtyczki

• Katalog wtyczek na wordpress.org (dostępny również przez Wtyczki > Dodaj nową w panelu administracyjnym). Każda wtyczka jest sprawdzana przy zgłoszeniu, a katalog usuwa wtyczki z nierozwiązaną luką bezpieczeństwa.
• Strona znanego twórcy, w przypadku płatnych wtyczek lub rozszerzeń.
• Nigdy ze strony udostępniającej płatne wtyczki „za darmo”. Takie wtyczki nulled są często zmodyfikowane i zawierają furtkę (backdoor), linki spamowe albo kod, który później wykorzysta Państwa witrynę do czegoś innego. Dodatkowo nie otrzymują Państwo aktualizacji, więc znane luki pozostają otwarte. Pieniądze, które Państwo oszczędzą, i tak zostaną wydane przy pierwszym usuwaniu skutków włamania.

Pięć cech na stronie wtyczki

Na każdej stronie wtyczki w wordpress.org po prawej stronie widnieją te same informacje. Prosimy je przeczytać, w tej kolejności:

Przy ocenach warto przeczytać zwłaszcza te niedawne i negatywne: czy dotyczą aktualizacji, która coś popsuła, agresywnych reklam, danych wysyłanych na zewnątrz? Proszę też sprawdzić na forum wsparcia, czy twórca odpowiada.

Wtyczka usunięta z wordpress.org wyświetla przy otwarciu komunikat, że została zamknięta, często z podaniem powodu (na przykład „problem bezpieczeństwa”). Jeśli mają Państwo taką wtyczkę, proszę ją zastąpić.

Spojrzenie poza stronę wtyczki

• Podatności: istnieją publiczne bazy danych ze znanymi lukami we wtyczkach WordPress, na przykład te prowadzone przez Patchstack, Wordfence i WPScan. Proszę wyszukać nazwę wtyczki: czy miała luki i jak szybko zostały naprawione? Wtyczka z luką, która została szybko naprawiona, nie jest zła. Twórca, który przez miesiące nic nie robi, owszem.
• Freemium: wiele wtyczek jest darmowych z płatnym rozszerzeniem. To w porządku, ale warto zwrócić uwagę na powiadomienia zaśmiecające panel administracyjny lub funkcje dostępne wyłącznie w wersji płatnej.
• Usługi zewnętrzne: czy wtyczka wysyła dane odwiedzających do usługi twórcy (filtr antyspamowy, usługa statystyk, kompresja obrazów w chmurze)? To musi znaleźć się w polityce prywatności, a czasem w umowie powierzenia przetwarzania danych (lekcja 9.3). Dobre wtyczki piszą o tym w swoim opisie.
• Co wtyczka ładuje: wtyczka do formularza na stronie kontaktowej nie powinna ładować skryptów na wszystkich innych stronach. Za pomocą narzędzi deweloperskich przeglądarki (karta Sieć) można sprawdzić, co dana wtyczka ładuje na stronie.

Jedno zadanie, jedna wtyczka, a najlepiej żadna

Najważniejsze pytanie pojawia się jeszcze przed przejściem na stronę wtyczki: czy w ogóle potrzebuję do tego wtyczki?

• Czy WordPress poradzi sobie sam? Prosta mapa witryny (lekcja 9.2), lazy loading (lekcja 4.4), kolumny, przyciski i tabele (lekcja 4.1) są już wbudowane.
• Czy poradzi sobie motyw? Przy motywie blokowym wiele można zrobić za pomocą Edytora witryny.
• Czy wystarczy kilka linijek kodu we własnej małej wtyczce lub motywie potomnym? Wtedy nie potrzebują Państwo pakietu tysięcy linii kodu dla jednej funkcji.
• Czy nie mam już wtyczki, która to robi? Nakładanie się funkcji (dwie wtyczki cache, dwie wtyczki SEO, dwie wtyczki bezpieczeństwa) powoduje konflikty i podwójną pracę.

Witryna z dziesięcioma dobrze dobranymi wtyczkami jest zdrowsza niż witryna z czterdziestoma. Nie dlatego, że liczba ma znaczenie, lecz dlatego, że każdą wtyczkę trzeba śledzić, może ona kolidować z innymi i może mieć lukę bezpieczeństwa.

Zapisywanie swojej oceny

Dla każdej instalowanej wtyczki proszę zanotować: do czego służy, dlaczego ta a nie inna, kto nią zarządza i kiedy ostatnio była sprawdzana. Brzmi to może jak niepotrzebny obowiązek, ale to dokładnie te informacje są potrzebne przy porządkowaniu (lekcja 5.4), przy włamaniu (lekcja 7.5) i gdy ktoś inny przejmuje Państwa witrynę.

Podsumowanie

• Wtyczka podłącza się do WordPressa za pomocą hooków i działa z takimi samymi uprawnieniami; instalacja oznacza obdarzenie zaufaniem.
• Wtyczki należy pobierać z wordpress.org lub od znanego twórcy, nigdy jako nulled.
• Proszę sprawdzać ostatnią aktualizację, wersję testowaną do, wymaganą wersję PHP, liczbę aktywnych instalacji oraz oceny i wsparcie; proszę wyszukiwać znane luki.
• Proszę najpierw zapytać, czy wtyczka jest w ogóle potrzebna; unikać nakładania się funkcji.
• Proszę zapisywać, dlaczego dana wtyczka jest używana.

Quiz

Zadanie

Zadanie A5.3: Proszę odczytać stronę wtyczki. Proszę wybrać wtyczkę z katalogu wtyczek na wordpress.org, której Państwo używają lub rozważają użycie, i wpisać jej slug (ostatnią część adresu, na przykład contact-form-7 z wordpress.org/plugins/contact-form-7/). Proszę wpisać również to, co widnieje na stronie przy ostatniej aktualizacji (data), wersji testowanej do oraz wymaganej wersji PHP. Program pobierze te same dane z publicznego API wtyczek wordpress.org i je porówna.

Zadanie D5.3: Karta ocen dla trzech wtyczek. Proszę wybrać potrzebę (na przykład formularz kontaktowy, komunikat o plikach cookie lub kopię zapasową) i porównać trzy wtyczki. Proszę wypełnić dla każdej wtyczki pięć cech, sprawdzić, czy wystąpiły znane luki bezpieczeństwa i jak szybko zostały naprawione, sprawdzić, czy wtyczka wysyła dane do usługi zewnętrznej, a następnie wybrać jedną z nich. Proszę w kilku zdaniach uzasadnić wybór i ocenić, czy wtyczka jest w ogóle potrzebna.

Dalsza lektura

Te artykuły opisują kroki w panelach WebOké; w innych panelach działają one w podobny sposób.

• Pomocy! Moja strona została zhakowana. Jak to naprawić lub temu zapobiec?
• Instrukcja DirectAdmin 18.2: Moja strona została zhakowana: plan działania
• Wtyczki na wordpress.org: https://wordpress.org/plugins/
• Zarządzanie wtyczkami (wordpress.org, w języku angielskim): https://wordpress.org/documentation/article/manage-plugins/