Výběr, hodnocení a úklid pluginů pro WordPress
Plugin běží se stejnými oprávněními jako samotný WordPress: může číst a měnit Vaši databázi, vytvářet soubory a odesílat e-maily. Instalací pluginu tedy dáváte důvěru jeho autorovi. Zastaralé a špatně udržované pluginy jsou častou vstupní branou pro útočníky. Zde se dočtete, jak plugin posoudit ještě před instalací a jak uklidit to, co už nepotřebujete.
Nejprve: potřebujete na to vůbec plugin?
- Zvládne to WordPress sám? Sloupce, tlačítka, tabulky, jednoduchá mapa stránek a líné načítání (lazy loading) obrázků jsou už jeho součástí.
- Zvládne to Vaše šablona? U blokové šablony toho hodně nastavíte v Editoru webu.
- Máte už plugin, který to dělá? Dva pluginy pro stejnou věc, například dva cache pluginy, dva SEO pluginy nebo dva bezpečnostní pluginy, si navzájem překážejí a způsobují chyby.
Pevně stanovené maximum neexistuje. Každý plugin ale musíte udržovat, může se střetávat s ostatními a může obsahovat bezpečnostní díru. Web s malým počtem dobře vybraných pluginů se snáze udržuje v dobré kondici.
Kde pluginy získat?
- Z adresáře pluginů na wordpress.org, dostupného také přes Pluginy > Přidat plugin ve Vaší administraci.
- Z webu známého autora, v případě placených pluginů a rozšíření.
- Nikdy ze stránek, které nabízejí placené pluginy zdarma. Takové nulled pluginy často obsahují zadní vrátka nebo spamové odkazy a nedostávají aktualizace.
Varovné signály na stránce pluginu
| Vlastnost | Varovný signál |
|---|---|
| Naposledy aktualizováno | Před více než rokem. Pak už možná nefunguje správně s novými verzemi WordPressu a PHP. |
| Testováno do (verze WordPressu) | Mnohem starší verze, než je ta aktuální. Na wordpress.org se pak na stránce zobrazuje upozornění. |
| Požadovaná verze PHP | Samo o sobě nejde o varovný signál, ale ověřte, zda odpovídá verzi PHP Vašeho balíčku. |
| Aktivní instalace | Velmi málo: pak si chyb všimne jen málo lidí. Nemusí to být vždy špatně, ale dívejte se obzvlášť pozorně. |
| Hodnocení a podpora | Mnoho nedávných špatných hodnocení nebo dotazy ve fóru, na které autor nereaguje. |
| Uzavřený plugin | Stránka uvádí, že plugin byl uzavřen, někdy i s důvodem, například kvůli bezpečnostnímu problému. Nahraďte ho. |
Kromě toho se podívejte do veřejné databáze známých zranitelností v pluginech pro WordPress, například od Patchstack, Wordfence nebo WPScan. Zranitelnost, která byla rychle opravena, problémem není. Autor, který měsíce nic nedělá, ano. Sledujte také, co plugin dělá s údaji Vašich návštěvníků: pokud je odesílá do služby svého autora, patří to do Vašich zásad ochrany osobních údajů.
Deaktivovat, nebo smazat?
| Deaktivovat | Smazat | |
|---|---|---|
| Co se stane? | WordPress plugin přestane načítat. Soubory zůstanou v wp-content/plugins. | Soubory se odstraní. Některé pluginy uklidí i svá nastavení a tabulky v databázi, jiné je ponechají. |
| Riziko | Zranitelnost v samostatném souboru pluginu zůstává dostupná. Útočníci hledají známé zranitelné soubory, ne aktivní pluginy. | Co je pryč, je pryč. Svá nastavení možná ztratíte. |
| Kdy? | Jen dočasně, například při hledání příčiny problému. | Když plugin už nepoužíváte. |
Totéž platí pro šablony, které nepoužíváte. Plugin smažete v části Pluginy: nejprve Deaktivovat, poté Smazat.
Úklid: pravidelná kontrola
Projděte své pluginy například každé čtvrtletí a u každého si položte čtyři otázky:
- K čemu slouží? Pokud už to nevíte, zjistěte to.
- Používá se ještě? Plugin pro slider, když nikde žádný slider není, může pryč.
- Obejdete se bez něj, protože to už zvládá WordPress, šablona nebo jiný plugin?
- Je stále udržován? Podívejte se na varovné signály výše.
Nejprve si vytvořte zálohu nebo pracujte na kopii, viz Vytvoření stagingového prostředí pro WordPress. Mažte vždy jen jeden plugin a poté zkontrolujte, zda Váš web stále funguje. Pozor na shortcody: pokud smažete plugin, který poskytoval například [formulier id="2"], zobrazí se tento text poté doslova na Vaší stránce.
Vypnutí pluginu, když administrace nefunguje
Pokud plugin způsobuje kritickou chybu nebo bílou stránku, můžete ho vypnout přejmenováním jeho složky v wp-content/plugins. WordPress při takové chybě často také pošle e-mail s odkazem na režim obnovení. Jak postupovat krok za krokem, se dočtete v článku Chyba 500 nebo „kritická chyba“ na Vašem webu (i po aktualizaci WordPressu). Pokud Vás bezpečnostní plugin nepouští dovnitř, viz Nemohu se přihlásit do WordPressu: co teď?
Další čtení
- Správa pluginů na wordpress.org (anglicky)
- Pomoc! Můj web byl napaden. Jak to vyřeším a jak tomu předejdu?
Chcete se dozvědět víc? Absolvujte bezplatný kurz WordPressu, lekci 5.3 Výběr a posouzení pluginů nebo lekci 5.4 Méně je více: úklid a řešení konfliktů.