Modul 5 · 5.3
Vælg og vurder plugins
Modul 5: Temaer og plugins · Læsetid: 9 minutter
Læringsmål: Efter denne lektion kan du vurdere en plugin, inden du installerer den, og du genkender advarselstegnene.
Nøglebegreber: plugin, hooks (actions og filters), sidst opdateret, testet op til, krævet PHP-version, aktive installationer, anmeldelser, supportforum, sårbarhed, freemium, nulled plugin, overlap
Hvad en plugin er, og hvorfor det betyder noget
En plugin er et stykke PHP-kode, der indlæses sammen med WordPress ved hver forespørgsel (lektion 1.2). WordPress har overalt hooks: faste punkter hvor plugins kan hægte sig på. Der findes to typer:
- actions: "gør noget nu", for eksempel tilføje et script til siden, sende en mail efter en bestilling;
- filters: "ændr dette", for eksempel tilpasse titlen på en side eller redigere indholdet af et indlæg.
En plugin kan dermed ændre næsten alt på dit websted. Og den kører med samme rettigheder som WordPress selv: den kan læse og skrive i din database, oprette filer, sende mail. At installere en plugin er altså at give tillid til udvikleren. En god plugin gør dit websted bedre; en dårlig eller forladt plugin er den mest almindelige indgang for hackere (lektion 7.1).
Hvor du henter plugins
- Pluginmappen på wordpress.org (også tilgængelig via Plugins > Ny plugin i dit kontrolpanel). Hver plugin bliver kontrolleret ved indsendelse, og pluginmappen fjerner plugins med et uløst sikkerhedshul.
- En kendt udviklers egen hjemmeside, til betalte plugins eller udvidelser.
- Aldrig fra et downloadsite, der tilbyder betalte plugins "gratis". Sådanne nulled plugins er ofte ændret med en bagdør, spamlinks eller kode, der senere bruger dit websted til noget andet. Desuden får du ingen opdateringer, så kendte sikkerhedshuller forbliver åbne. De penge, du sparer, betaler du tilbage ved den første genopretning efter et hack.
De fem kendetegn på pluginsiden
På hver pluginside på wordpress.org står de samme oplysninger til højre. Læs dem i denne rækkefølge:
| Kendetegn | Hvad det fortæller | Advarselstegn |
|---|---|---|
| Sidst opdateret | Om der stadig bliver arbejdet på den | Mere end et år siden. En plugin, der ikke har fået en opdatering i lang tid, fungerer måske ikke godt med nye versioner af WordPress og PHP |
| Testet op til (version af WordPress) | Om udvikleren har kontrolleret den med nyere versioner | En meget ældre version end den aktuelle. wordpress.org viser i så fald en advarsel |
| PHP-version (krævet) | Den mindste krævede PHP-version | Ikke et advarselstegn i sig selv, men tjek om den fungerer med din (nyere) version |
| Aktive installationer | Hvor mange websteder der bruger den | Meget få installationer betyder få mennesker, der bemærker fejl. Ikke altid dårligt (en lille, specifik plugin), men kig ekstra godt efter |
| Anmeldelser og support | Hvad brugerne mener, og om udvikleren besvarer spørgsmål | Mange nylige en-stjernede anmeldelser; under "Problemer løst i de seneste to måneder" et lavt tal ud af det samlede antal |
Læs især de nylige dårlige anmeldelser: handler det om en opdatering, der ødelagde noget, om påtrængende reklamer, om data der sendes videre til andre? Og tjek i supportforummet, om udvikleren svarer.
En plugin, der er fjernet fra wordpress.org, viser en besked om, at den er lukket, når du åbner den, ofte med årsagen (for eksempel "sikkerhedsproblem"). Har du en sådan plugin, så udskift den.
At kigge videre end pluginsiden
- Sårbarheder: der findes offentlige databaser med kendte sikkerhedshuller i WordPress-plugins, for eksempel fra Patchstack, Wordfence og WPScan. Søg efter pluginnavnet: havde den sikkerhedshuller, og hvor hurtigt blev de rettet? En plugin med et hul, der blev rettet hurtigt, er ikke en dårlig plugin. En udvikler, der ikke gør noget i månedsvis, er det derimod.
- Freemium: mange plugins er gratis med en betalt udvidelse. Det er fint, men vær opmærksom på meddelelser, der spammer dit kontrolpanel, eller funktioner, du kun kan bruge med den betalte del.
- Eksterne tjenester: sender pluginen data om dine besøgende til en tjeneste hos udvikleren (et spamfilter, en statistiktjeneste, en billedkomprimering i skyen)? Det skal fremgå af din privatlivspolitik og nogle gange i en databehandleraftale (lektion 9.3). Gode plugins oplyser det i deres beskrivelse.
- Hvad den indlæser: en plugin til en formular på din kontaktside behøver ikke at indlæse scripts på alle dine andre sider. Med browserens udviklerværktøjer (fanen Netværk) kan du se, hvad en plugin tilføjer på en side.
Én opgave, én plugin, og helst ingen
Det vigtigste spørgsmål kommer før pluginsiden: har jeg overhovedet brug for en plugin til dette?
- Kan WordPress selv klare det? Et simpelt sitemap (lektion 9.2), lazy loading (lektion 4.4), kolonner, knapper og tabeller (lektion 4.1) er allerede indbygget.
- Kan temaet klare det? Med et bloktema kan du gøre meget med Webstedseditoren.
- Kan det klares med nogle få linjer kode i din egen lille plugin eller undertema (child theme)? Så har du ikke brug for en pakke med tusindvis af linjer til én funktion.
- Har jeg allerede en plugin, der gør dette? Overlap (to cacheplugins, to SEO-plugins, to sikkerhedsplugins) giver konflikter og dobbeltarbejde.
Et websted med ti velvalgte plugins er sundere end et websted med fyrre. Ikke fordi tallet tæller, men fordi hver plugin skal holdes ved lige, kan støde sammen med de andre og kan have et sikkerhedshul.
Dokumentér din vurdering
For hver plugin, du installerer, noterer du: hvad den er til, hvorfor netop denne og ikke en anden, hvem der vedligeholder den, og hvornår du sidst har tjekket den. Det lyder besværligt, men det er præcis, hvad du har brug for ved oprydning (lektion 5.4), ved et hack (lektion 7.5), og hvis en anden skal overtage dit websted.
Opsummering
- En plugin hægter sig på WordPress via hooks og kører med samme rettigheder; at installere en er at give tillid.
- Hent plugins fra wordpress.org eller en kendt udvikler, aldrig nulled.
- Læs sidst opdateret, testet op til, PHP-version, aktive installationer og anmeldelser/support; søg efter kendte sikkerhedshuller.
- Spørg først, om du overhovedet har brug for en plugin; undgå overlap.
- Dokumentér hvorfor du bruger en plugin.
Quiz
Opgave
Opgave A5.3: Læs en pluginside. Vælg en plugin fra pluginmappen på wordpress.org, som du bruger eller overvejer, og indtast slug'en (den sidste del af adressen, for eksempel contact-form-7 fra wordpress.org/plugins/contact-form-7/). Udfyld også, hvad der står på siden under sidst opdateret (datoen), testet op til og krævet PHP-version. Programmet henter de samme oplysninger fra wordpress.org's offentlige plugin-API og sammenligner.
Opgave D5.3: Et scorekort til tre plugins. Vælg et behov (for eksempel en kontaktformular, en cookiemeddelelse eller en backup) og sammenlign tre plugins. Udfyld de fem kendetegn for hver plugin, undersøg om der var kendte sikkerhedshuller, og hvor hurtigt de blev løst, tjek om den sender data til en ekstern tjeneste, og vælg én. Forklar i et par sætninger hvorfor, og om du egentlig har brug for pluginen.
Opgave D5.3: Et scorekort til tre plugins
Denne opgave laver du selv; ingen tjekker den. Afkryds hvad du har gjort, og markér opgaven som udført.
Nævn en kilde til sårbarheder (for eksempel WPScan- eller Patchstack-databasen, med link) og en overvejelse der rækker ud over "de fleste installationer": vedligeholdelse, support, hvad pluginet sender ud, overlap med det du allerede har.
Dine afkrydsninger og noter forbliver kun i denne browser; vi sender dem ingen steder hen. Er du logget ind, gemmer vi kun i Mine kurser, at du har udført opgaven.
Læs mere
Disse artikler beskriver trinnene i WebOkés kontrolpaneler; i andre kontrolpaneler fungerer det på lignende vis.
- Hjælp! Mit websted er blevet hacket. Hvordan løser eller forebygger jeg det?
- DirectAdmin vejledning 18.2: Min hjemmeside er hacket: trin for trin plan
- Plugins på wordpress.org: https://wordpress.org/plugins/
- Administrere plugins (wordpress.org, engelsk): https://wordpress.org/documentation/article/manage-plugins/