Výběr a hodnocení pluginů
Modul 5: Šablony a pluginy · Doba čtení: 9 minut
Cíl lekce: Po této lekci dokážete posoudit plugin ještě před instalací a rozpoznáte varovné signály.
Klíčové pojmy: plugin, hooks (actions a filters), naposledy aktualizováno, testováno do verze, vyžadovaná verze PHP, aktivní instalace, hodnocení, fórum podpory, zranitelnost, freemium, nulled plugin, překrývání
Co je to plugin a proč na tom záleží
Plugin je kus kódu PHP, který se při každém požadavku načítá společně s WordPressem (lekce 1.2). WordPress má na mnoha místech hooks: pevně dané body, do kterých se pluginy mohou zapojit. Existují dva druhy:
- actions: „udělej teď něco", například přidání skriptu na stránku, odeslání e-mailu po objednávce;
- filters: „změň tohle", například úprava nadpisu stránky nebo úprava obsahu příspěvku.
Plugin tak může změnit téměř cokoliv na Vašem webu. A běží se stejnými právy jako samotný WordPress: může číst a zapisovat do Vaší databáze, vytvářet soubory, odesílat e-maily. Instalace pluginu tedy znamená dát důvěru jeho tvůrci. Dobrý plugin Váš web vylepší, špatný nebo opuštěný plugin je nejčastější cestou pro útočníky (lekce 7.1).
Kde pluginy získat
- Adresář pluginů na wordpress.org (dostupný také přes Pluginy > Nahrát plugin ve Vaší administraci). Každý plugin je při odeslání zkontrolován a adresář pluginů odstraňuje pluginy s neopraveným bezpečnostním problémem.
- Web prověřeného tvůrce, pro placené pluginy nebo rozšíření.
- Nikdy ze stránek, které nabízejí placené pluginy „zdarma". Takzvané nulled pluginy jsou často upravené tak, že obsahují zadní vrátka, spamové odkazy nebo kód, který Váš web později zneužije k něčemu jinému. Navíc u nich nedostáváte aktualizace, takže známé zranitelnosti zůstávají otevřené. Peníze, které tím ušetříte, zaplatíte zpět při první opravě po napadení.
Pět údajů na stránce pluginu
Na každé stránce pluginu na wordpress.org jsou vpravo stejné údaje. Přečtěte si je v tomto pořadí:
| Údaj | Co říká | Varovný signál |
|---|---|---|
| Naposledy aktualizováno | Zda se na pluginu stále pracuje | Více než rok zpátky. Plugin, který dlouho nedostal aktualizaci, nemusí dobře fungovat s novými verzemi WordPressu a PHP |
| Testováno do (verze WordPressu) | Zda ho tvůrce ověřil s nedávnými verzemi | Mnohem starší verze, než je aktuální. wordpress.org v takovém případě zobrazí upozornění |
| Verze PHP (vyžadováno) | Minimální verze PHP | Samo o sobě to není varovný signál, ale ověřte, zda funguje s Vaší (novější) verzí |
| Aktivní instalace | Kolik webů ho používá | Velmi málo instalací znamená málo lidí, kteří si všimnou chyb. Není to vždy špatné znamení (u malého, specifického pluginu), ale vyžaduje to pozornější kontrolu |
| Hodnocení a podpora | Co si o pluginu myslí uživatelé a zda tvůrce odpovídá na dotazy | Hodně nedávných jednohvězdičkových hodnocení; u „Problémy vyřešené za poslední dva měsíce" nízké číslo z celkového počtu |
U hodnocení si přečtěte zejména ty nedávné negativní: jde o aktualizaci, která něco rozbila, o agresivní reklamu, o odesílání dat ven? A podívejte se do fóra podpory, zda tvůrce reaguje.
Plugin, který byl z wordpress.org odstraněn, po otevření zobrazí oznámení, že je uzavřený, často i s důvodem (například „bezpečnostní problém"). Pokud takový plugin používáte, nahraďte ho.
Co zkoumat kromě stránky pluginu
- Zranitelnosti: existují veřejné databáze se známými zranitelnostmi v pluginech pro WordPress, například od Patchstack, Wordfence a WPScan. Vyhledejte si název pluginu: měl zranitelnosti a jak rychle byly opraveny? Plugin se zranitelností, která byla rychle opravena, není špatný plugin. Tvůrce, který měsíce nic nedělá, ano.
- Freemium: mnoho pluginů je zdarma s placeným rozšířením. To je v pořádku, ale dávejte pozor na oznámení, která zaplavují Vaši administraci, nebo na funkce, které jsou dostupné jen v placené verzi.
- Externí služby: odesílá plugin údaje Vašich návštěvníků do služby svého tvůrce (filtr proti spamu, statistická služba, komprese obrázků v cloudu)? To musí být uvedeno ve Vašich zásadách ochrany osobních údajů a někdy i ve smlouvě o zpracování osobních údajů (lekce 9.3). Dobré pluginy to uvádějí ve svém popisu.
- Co se načítá: plugin pro formulář na kontaktní stránce nepotřebuje načítat skripty na všech ostatních stránkách. Pomocí vývojářských nástrojů prohlížeče (záložka Síť) uvidíte, co se z pluginu na stránce načítá.
Jeden úkol, jeden plugin, a nejlépe žádný
Nejdůležitější otázka přichází ještě před stránkou pluginu: potřebuji na to vůbec plugin?
- Zvládne to WordPress sám? Jednoduchá mapa webu (lekce 9.2), lazy loading (lekce 4.4), sloupce, tlačítka a tabulky (lekce 4.1) jsou už součástí WordPressu.
- Zvládne to šablona? U blokové šablony toho hodně zvládnete v nástroji Úprava webu.
- Zvládne to pár řádků kódu ve vlastním malém pluginu nebo podřazené šabloně (child theme)? Pak nepotřebujete balík tisíců řádků kvůli jedné funkci.
- Nemám už plugin, který to dělá? Překrývání (dva cachovací pluginy, dva SEO pluginy, dva bezpečnostní pluginy) způsobuje konflikty a zdvojenou práci.
Web s deseti dobře vybranými pluginy je zdravější než web se čtyřiceti. Ne proto, že by záleželo na počtu, ale protože každý plugin je potřeba sledovat, může se střetnout s ostatními a může mít zranitelnost.
Zaznamenejte si své rozhodnutí
U každého pluginu, který instalujete, si poznamenejte: k čemu slouží, proč zrovna tento a ne jiný, kdo ho spravuje a kdy jste ho naposledy kontrolovali. Zní to zdlouhavě, ale je to přesně to, co budete potřebovat při úklidu (lekce 5.4), při napadení (lekce 7.5) a pokud Váš web převezme někdo jiný.
Shrnutí
- Plugin se pomocí hooks napojuje na WordPress a běží se stejnými právy; instalace znamená dát důvěru.
- Stahujte pluginy z wordpress.org nebo od prověřeného tvůrce, nikdy nulled.
- Přečtěte si naposledy aktualizováno, testováno do, verzi PHP, aktivní instalace a hodnocení/podporu; vyhledejte si známé zranitelnosti.
- Nejprve se zeptejte, zda plugin vůbec potřebujete; vyhněte se překrývání.
- Zaznamenejte si, proč plugin používáte.
Kvíz
Úkol
Úkol A5.3: Přečtěte si stránku pluginu. Vyberte si plugin z adresáře pluginů na wordpress.org, který používáte nebo zvažujete, a vyplňte slug (poslední část adresy, například contact-form-7 z wordpress.org/plugins/contact-form-7/). Vyplňte také to, co je na stránce uvedeno u naposledy aktualizováno (datum), testováno do a vyžadovaná verze PHP. Program získá stejné údaje z veřejného API pluginů na wordpress.org a porovná je.
Úkol D5.3: Hodnoticí karta pro tři pluginy. Vyberte si potřebu (například kontaktní formulář, upozornění na cookies nebo zálohu) a porovnejte tři pluginy. U každého pluginu vyplňte pět údajů, zjistěte, zda měl známé zranitelnosti a jak rychle byly opraveny, zkontrolujte, zda odesílá data do externí služby, a jeden si vyberte. V několika větách vysvětlete proč a zda plugin vlastně vůbec potřebujete.
Úkol D5.3: Hodnoticí karta pro tři pluginy
Tento úkol provádíte sami; nikdo ho nekontroluje. Odškrtněte, co jste udělali, a označte úkol jako splněný.
Uveďte zdroj pro zranitelnosti (například databázi WPScan nebo Patchstack, s odkazem) a úvahu, která jde dál než „nejvíce instalací“: údržba, podpora, co plugin odesílá ven, překryv s tím, co už máte.
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Doporučené čtení
Tyto články popisují kroky v panelech WebOké; v jiných panelech fungují obdobně.
- Pomoc! Můj web byl napaden. Jak to vyřešit nebo tomu předejít?
- Příručka k DirectAdmin 18.2: Moje webová stránka byla napadena: postup krok za krokem
- Pluginy na wordpress.org: https://wordpress.org/plugins/
- Správa pluginů (wordpress.org, anglicky): https://wordpress.org/documentation/article/manage-plugins/