Výber, hodnotenie a čistenie pluginov vo WordPress
Plugin beží s rovnakými oprávneniami ako samotný WordPress: môže čítať a meniť vašu databázu, vytvárať súbory a odosielať e-maily. Inštalácia pluginu teda znamená prejaviť dôveru jeho autorovi. Zastarané a zle udržiavané pluginy sú častou vstupnou bránou pre útočníkov. Tu sa dočítate, ako plugin posúdiť pred inštaláciou a ako odstrániť to, čo už nepotrebujete.
Najprv: potrebujete na to vôbec plugin?
- Zvládne to WordPress sám? Stĺpce, tlačidlá, tabuľky, jednoduchá mapa stránok (sitemap) a lazy loading obrázkov sú už súčasťou WordPressu.
- Zvládne to vaša téma? Pri blokovej téme veľa vecí nastavíte v Editore webu.
- Máte už plugin, ktorý to robí? Dva pluginy na to isté, napríklad dva cache pluginy, dva SEO pluginy alebo dva bezpečnostné pluginy, si navzájom prekážajú a spôsobujú chyby.
Pevné maximum neexistuje. Každý plugin však musíte udržiavať, môže kolidovať s ostatnými a môže obsahovať bezpečnostnú chybu. Web s malým počtom dobre vybraných pluginov sa ľahšie udržiava v dobrom stave.
Kde získať pluginy?
- Z adresára pluginov na wordpress.org, ktorý je dostupný aj cez Pluginy > Pridať nový plugin vo vašej administrácii.
- Z webovej stránky známeho autora, ak ide o platené pluginy a rozšírenia.
- Nikdy zo stránok, ktoré ponúkajú platené pluginy zadarmo. Takéto nulled pluginy často obsahujú zadné dvierka alebo spamové odkazy a nedostávajú aktualizácie.
Varovné signály na stránke pluginu
| Vlastnosť | Varovný signál |
|---|---|
| Posledná aktualizácia | Pred viac ako rokom. Plugin potom možno už nefunguje správne s novými verziami WordPressu a PHP. |
| Testované do (verzia WordPressu) | Oveľa staršia verzia, než je aktuálna. Na wordpress.org sa vtedy na stránke zobrazí upozornenie. |
| Vyžadovaná verzia PHP | Samo osebe nejde o varovný signál, ale overte si, či zodpovedá verzii PHP vo vašom balíku. |
| Aktívne inštalácie | Veľmi málo: chyby si potom všimne len málo ľudí. Nemusí to byť vždy zlé, ale buďte obzvlášť pozorní. |
| Hodnotenia a podpora | Veľa nedávnych zlých hodnotení alebo otázky vo fóre, na ktoré autor nereaguje. |
| Uzavretý plugin | Stránka uvádza, že plugin bol uzavretý, niekedy aj s dôvodom, napríklad pre bezpečnostný problém. Nahraďte ho iným. |
Okrem toho si pozrite verejnú databázu známych bezpečnostných chýb vo WordPress pluginoch, napríklad od Patchstack, Wordfence alebo WPScan. Chyba, ktorá bola rýchlo opravená, nie je problém. Autor, ktorý mesiace nerobí nič, problém je. Všímajte si aj to, čo plugin robí s údajmi vašich návštevníkov: ak ich posiela do služby autora, patrí to do vašich zásad ochrany osobných údajov.
Deaktivovať alebo odstrániť?
| Deaktivovať | Odstrániť | |
|---|---|---|
| Čo sa stane? | WordPress plugin už nenačítava. Súbory zostávajú v wp-content/plugins. | Súbory sa odstránia. Niektoré pluginy vyčistia aj svoje nastavenia a tabuľky v databáze, iné ich ponechajú. |
| Riziko | Bezpečnostná chyba v samostatnom súbore pluginu zostáva dostupná. Útočníci hľadajú známe zraniteľné súbory, nie aktívne pluginy. | Čo je preč, je preč. Nastavenia môžete stratiť. |
| Kedy? | Len dočasne, napríklad pri hľadaní príčiny problému. | Keď plugin už nepoužívate. |
To isté platí aj pre témy, ktoré nepoužívate. Plugin odstránite v časti Pluginy: najprv kliknite na Deaktivovať, potom na Odstrániť.
Upratovanie: pravidelná kontrola
Prejdite si svoje pluginy napríklad raz za štvrťrok a pri každom si položte štyri otázky:
- Na čo slúži? Ak si to už nepamätáte, zistite to.
- Používa sa ešte? Plugin na slider, hoci na webe nikde nie je žiadny slider, môžete odstrániť.
- Dá sa to zvládnuť bez neho, pretože to už robí WordPress, téma alebo iný plugin?
- Je ešte udržiavaný? Pozrite sa na varovné signály uvedené vyššie.
Najprv si urobte zálohu alebo pracujte na kópii, pozrite si Vytvorenie stagingového prostredia pre WordPress. Odstraňujte vždy len jeden plugin naraz a potom skontrolujte, či váš web stále funguje. Pozor na shortcody: ak odstránite plugin, ktorý poskytoval napríklad [formulier id="2"], tento text sa potom doslova zobrazí na vašej stránke.
Vypnutie pluginu, keď administrácia nefunguje
Ak plugin spôsobuje kritickú chybu alebo bielu stránku, môžete ho vypnúť premenovaním jeho priečinka v wp-content/plugins. Pri takejto chybe WordPress často pošle aj e-mail s odkazom na režim obnovenia. Ako postupovať krok za krokom, sa dočítate v článku Chyba 500 alebo „kritická chyba“ na vašom webe (aj po aktualizácii WordPressu). Ak vám bezpečnostný plugin zablokoval prístup, pozrite si Nedá sa prihlásiť do WordPressu: čo robiť?
Ďalšie čítanie
- Správa pluginov na wordpress.org (v angličtine)
- Pomoc! Môj web bol napadnutý. Ako to vyriešiť a ako tomu predísť?
Chcete sa dozvedieť viac? Absolvujte bezplatný kurz WordPressu, lekciu 5.3 Výber a posúdenie pluginov alebo lekciu 5.4 Menej je viac: upratovanie a riešenie konfliktov.