Modul 5 · 5.3
Slovenčina
Výber a hodnotenie pluginov
Modul 5: Témy a pluginy · Čas čítania: 9 minút
Cieľ lekcie: Po tejto lekcii dokážete posúdiť plugin ešte pred jeho inštaláciou a rozpoznať varovné signály.
Kľúčové pojmy: plugin, hooks (actions a filters), naposledy aktualizované, testované do verzie, vyžadovaná verzia PHP, aktívne inštalácie, hodnotenia, fórum podpory, zraniteľnosť, freemium, nulled plugin, prekrývanie
Čo je plugin a prečo na tom záleží
Plugin je kúsok PHP kódu, ktorý sa pri každej požiadavke načíta spolu s WordPressom (lekcia 1.2). WordPress má po celej svojej štruktúre hooks: pevné miesta, kde sa pluginy môžu „zavesiť“. Existujú dva druhy:
- actions: „urob teraz niečo“, napríklad pridaj skript na stránku, pošli e-mail po objednávke;
- filters: „zmeň toto“, napríklad uprav nadpis stránky alebo obsah článku.
Plugin tak môže zmeniť takmer čokoľvek na vašej webovej stránke. A beží s rovnakými právami ako samotný WordPress: môže čítať a zapisovať do vašej databázy, vytvárať súbory, odosielať e-maily. Inštalácia pluginu teda znamená dať dôveru jeho tvorcovi. Dobrý plugin zlepší vašu webovú stránku; zlý alebo opustený plugin je najčastejšou cestou pre útočníkov (lekcia 7.1).
Kde zohnať pluginy
- Katalóg pluginov na wordpress.org (dostupný aj cez Pluginy > Nový plugin vo vašej administrácii). Každý plugin sa pri zverejnení kontroluje a katalóg odstraňuje pluginy s neopraveným bezpečnostným problémom.
- Stránka overeného výrobcu, pre platené pluginy alebo rozšírenia.
- Nikdy zo stránky, ktorá ponúka platené pluginy „zadarmo“. Takéto nulled pluginy bývajú upravené o zadné vrátka, spamové odkazy alebo kód, ktorý vašu stránku neskôr zneužije na niečo iné. Navyše nedostávate aktualizácie, takže známe diery zostávajú otvorené. Peniaze, ktoré ušetríte, doplatíte pri prvej oprave po hacknutí.
Päť ukazovateľov na stránke pluginu
Na každej stránke pluginu na wordpress.org nájdete vpravo rovnaké údaje. Prečítajte si ich v tomto poradí:
| Ukazovateľ | Čo hovorí | Varovný signál |
|---|---|---|
| Naposledy aktualizované | Či sa na pluginu ešte pracuje | Viac ako rok dozadu. Plugin, ktorý dlho nedostal aktualizáciu, nemusí dobre fungovať s novými verziami WordPressu a PHP |
| Testované do (verzia WordPressu) | Či ho výrobca overil s nedávnymi verziami | Oveľa staršia verzia ako aktuálna. wordpress.org v takom prípade zobrazí upozornenie |
| Verzia PHP (vyžadovaná) | Minimálna verzia PHP | Samo osebe nie je varovný signál, ale overte, či funguje s vašou (novšou) verziou |
| Aktívne inštalácie | Koľko stránok ho používa | Veľmi málo inštalácií znamená málo ľudí, ktorí si všimnú chyby. Nie je to vždy zlé (malý, špecifický plugin), ale treba sa pozrieť pozornejšie |
| Hodnotenia a podpora | Čo si o ňom myslia používatelia a či výrobca odpovedá na otázky | Veľa nedávnych jednohviezdičkových hodnotení; pri „Problémy vyriešené za posledné dva mesiace“ nízke číslo z celkového počtu |
Pri hodnoteniach si všímajte najmä nedávne negatívne: týka sa to aktualizácie, ktorá niečo pokazila, agresívnej reklamy, údajov, ktoré unikajú von? A pozrite sa do fóra podpory, či výrobca reaguje.
Plugin, ktorý bol odstránený z wordpress.org, po otvorení zobrazí upozornenie, že je uzavretý, často aj s dôvodom (napríklad „bezpečnostný problém“). Ak takýto plugin používate, nahraďte ho.
Viac než len stránka pluginu
- Zraniteľnosti: existujú verejné databázy so známymi dierami v pluginoch pre WordPress, napríklad od Patchstack, Wordfence a WPScan. Vyhľadajte názov pluginu: mal diery, a ako rýchlo boli opravené? Plugin s dierou, ktorá bola rýchlo opravená, nie je zlý plugin. Výrobca, ktorý mesiace nič nerobí, áno.
- Freemium: veľa pluginov je zadarmo s platným rozšírením. To je v poriadku, ale dávajte pozor na upozornenia, ktoré zahlcujú vašu administráciu, alebo funkcie, ktoré sú dostupné len s platenou časťou.
- Externé služby: posiela plugin údaje vašich návštevníkov do služby výrobcu (spamový filter, štatistická služba, kompresia obrázkov v cloude)? To musí byť uvedené vo vašich zásadách ochrany osobných údajov a niekedy aj v zmluve o spracovaní údajov (lekcia 9.3). Dobré pluginy to uvádzajú vo svojom popise.
- Čo všetko načíta: plugin pre formulár na vašej kontaktnej stránke nepotrebuje načítavať skripty na všetkých ostatných stránkach. Pomocou vývojárskych nástrojov prehliadača (karta Sieť) vidíte, čo z daného pluginu sa na stránke načítava.
Jedna úloha, jeden plugin, a najradšej žiadny
Najdôležitejšia otázka príde ešte pred stránkou pluginu: potrebujem na toto vôbec plugin?
- Dokáže to WordPress sám? Jednoduchá mapa stránky (lekcia 9.2), lazy loading (lekcia 4.4), stĺpce, tlačidlá a tabuľky (lekcia 4.1) sú už súčasťou.
- Dokáže to téma? Pri blokovej téme zvládnete veľa cez Editor stránky.
- Dá sa to vyriešiť pár riadkami kódu vo vlastnom malom plugine alebo child theme? Potom nepotrebujete balík tisícov riadkov kvôli jednej funkcii.
- Mám už plugin, ktorý toto robí? Prekrývanie (dva cache pluginy, dva SEO pluginy, dva bezpečnostné pluginy) spôsobuje konflikty a duplicitnú prácu.
Webová stránka s desiatimi dobre vybranými pluginmi je zdravšia ako stránka so štyridsiatimi. Nie preto, že by záležalo na čísle, ale preto, že každý plugin treba sledovať, môže naraziť na iný a môže mať dieru.
Zapíšte si svoje hodnotenie
Pri každom pluginu, ktorý nainštalujete, si zapíšte: na čo slúži, prečo práve tento a nie iný, kto ho spravuje a kedy ste ho naposledy skontrolovali. Znie to prácne, ale presne to budete potrebovať pri upratovaní (lekcia 5.4), pri hacknutí (lekcia 7.5) a keď vašu stránku preberie niekto iný.
Zhrnutie
- Plugin sa cez hooks zaveší na WordPress a beží s rovnakými právami; inštalácia znamená dať dôveru.
- Pluginy získavajte z wordpress.org alebo od overeného výrobcu, nikdy nulled.
- Prečítajte si naposledy aktualizované, testované do, verziu PHP, aktívne inštalácie a hodnotenia/podporu; vyhľadajte známe diery.
- Najprv sa opýtajte, či plugin vôbec potrebujete; vyhýbajte sa prekrývaniu.
- Zapíšte si, prečo daný plugin používate.
Kvíz
Úloha
Úloha A5.3: Prečítajte si stránku pluginu. Vyberte plugin z katalógu pluginov na wordpress.org, ktorý používate alebo zvažujete, a vyplňte slug (poslednú časť adresy, napríklad contact-form-7 z wordpress.org/plugins/contact-form-7/). Vyplňte tiež, čo je na stránke uvedené pri naposledy aktualizované (dátum), testované do a vyžadovaná verzia PHP. Program získa rovnaké údaje z verejného plugin API na wordpress.org a porovná ich.
Úloha D5.3: Hodnotiaca karta pre tri pluginy. Vyberte si potrebu (napríklad kontaktný formulár, upozornenie na cookies alebo zálohu) a porovnajte tri pluginy. Pri každom pluginu vyplňte päť ukazovateľov, zistite, či sa vyskytli známe diery a ako rýchlo boli opravené, overte, či odosiela údaje do externej služby, a vyberte si jeden. V pár vetách vysvetlite prečo a či daný plugin vlastne potrebujete.
Úloha D5.3: Hodnotiaca karta pre tri pluginy
Túto úlohu vykonávate sami, nikto ju nekontroluje. Odškrtnite, čo ste urobili, a označte úlohu ako splnenú.
Uveďte zdroj informácií o zraniteľnostiach (napríklad databázu WPScan alebo Patchstack, s odkazom) a úvahu, ktorá ide ďalej ako „najviac inštalácií“: údržba, podpora, čo plugin odosiela von, prekrývanie s tým, čo už máte.
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Čítajte ďalej
Tieto články popisujú kroky v paneloch WebOké; v iných paneloch fungujú podobne.
- Pomoc! Moja stránka bola napadnutá. Ako to vyriešiť a ako tomu predísť?
- Návod na DirectAdmin 18.2: Moja webová stránka je napadnutá: postup krok za krokom
- Pluginy na wordpress.org: https://wordpress.org/plugins/
- Správa pluginov (wordpress.org, Angličtina): https://wordpress.org/documentation/article/manage-plugins/