Vælg, vurder og ryd op i WordPress-plugins
Et plugin kører med de samme rettigheder som WordPress selv: det kan læse og ændre din database, oprette filer og sende mail. Når du installerer et plugin, viser du altså udvikleren tillid. Forældede og dårligt vedligeholdte plugins er en hyppig vej ind for hackere. Her kan du læse, hvordan du vurderer et plugin, før du installerer det, og hvordan du rydder op i det, du ikke længere har brug for.
Først: har du overhovedet brug for et plugin?
- Kan WordPress det selv? Kolonner, knapper, tabeller, et enkelt sitemap og lazy loading af billeder er allerede indbygget.
- Kan dit tema det? Med et bloktema klarer du meget i webstedseditoren.
- Har du allerede et plugin, der gør det? To plugins til det samme, fx to cache-plugins, to SEO-plugins eller to sikkerhedsplugins, kommer i vejen for hinanden og giver fejl.
Der er ikke noget fast maksimum. Men hvert plugin skal holdes ved lige, kan komme i konflikt med de andre og kan have et sikkerhedshul. Et websted med få, velvalgte plugins er lettere at holde sundt.
Hvor henter du plugins?
- Fra plugin-biblioteket på wordpress.org, som du også finder via Plugins > Tilføj nyt plugin i din administration.
- Fra hjemmesiden hos en kendt udvikler, når det gælder betalte plugins og udvidelser.
- Aldrig fra sider, der tilbyder betalte plugins gratis. Den slags nulled plugins indeholder ofte en bagdør eller spamlinks, og de får ingen opdateringer.
Røde flag på pluginsiden
| Kendetegn | Rødt flag |
|---|---|
| Senest opdateret | Mere end et år siden. Så fungerer det måske ikke længere ordentligt med nye versioner af WordPress og PHP. |
| Testet op til (WordPress-version) | En meget ældre version end den nuværende. På wordpress.org vises der så en advarsel på siden. |
| Påkrævet PHP-version | Ikke et rødt flag i sig selv, men tjek, om det passer til PHP-versionen i din pakke. |
| Aktive installationer | Meget få: så er der få, der opdager fejl. Ikke altid dårligt, men kig ekstra grundigt efter. |
| Bedømmelser og support | Mange nye dårlige bedømmelser eller spørgsmål i forummet, som udvikleren ikke svarer på. |
| Lukket plugin | Siden oplyser, at pluginnet er lukket, nogle gange med årsagen, fx et sikkerhedsproblem. Udskift det. |
Tjek desuden en offentlig database over kendte sårbarheder i WordPress-plugins, fx den fra Patchstack, Wordfence eller WPScan. Et hul, der blev lukket hurtigt, er ikke et problem. En udvikler, der ikke gør noget i flere måneder, er. Hold også øje med, hvad pluginnet gør med dine besøgendes data: sender det dem til en tjeneste hos udvikleren, skal det stå i din privatlivspolitik.
Deaktivere eller slette?
| Deaktiver | Slet | |
|---|---|---|
| Hvad sker der? | WordPress indlæser ikke længere pluginnet. Filerne bliver liggende i wp-content/plugins. | Filerne forsvinder. Nogle plugins rydder også op i deres indstillinger og tabeller i databasen, andre lader dem blive. |
| Risiko | Et hul i en enkelt fil i pluginnet kan stadig nås. Hackere leder efter kendte sårbare filer, ikke efter aktive plugins. | Væk er væk. Du kan miste dine indstillinger. |
| Hvornår? | Kun midlertidigt, fx når du fejlsøger. | Når du ikke længere bruger pluginnet. |
Det samme gælder temaer, du ikke bruger. Slet et plugin under Plugins: først Deaktiver, derefter Slet.
Oprydning: en fast runde
Gå dine plugins igennem, fx hvert kvartal, og stil fire spørgsmål til hvert plugin:
- Hvad bruges det til? Ved du det ikke længere, så find ud af det.
- Bliver det stadig brugt? Et slider-plugin, når der ikke er en slider nogen steder, kan fjernes.
- Kan du undvære det, fordi WordPress, temaet eller et andet plugin allerede gør det?
- Bliver det stadig vedligeholdt? Se de røde flag ovenfor.
Tag først en backup, eller arbejd på en kopi, se Opret et WordPress-stagingmiljø. Slet ét plugin ad gangen, og tjek bagefter, om dit websted stadig virker. Pas på shortcodes: sletter du et plugin, der fx leverede [formulier id="2"], står den tekst bagefter helt bogstaveligt på din side.
Slå et plugin fra, når administrationen ikke virker
Giver et plugin en kritisk fejl eller en hvid side, kan du slå det fra ved at omdøbe dets mappe i wp-content/plugins. Ved sådan en fejl sender WordPress ofte også en mail med et link til gendannelsestilstand. Hvordan du gør trin for trin, kan du læse i Fejl 500 eller "kritisk fejl" på dit websted (også efter en WordPress-opdatering). Holder et sikkerhedsplugin dig ude, så se Jeg kan ikke logge ind i WordPress: hvad nu?
Læs mere
- Administrer plugins på wordpress.org (engelsk)
- Hjælp! Mit websted er blevet hacket. Hvordan løser jeg det, og hvordan forebygger jeg det?
Vil du lære mere? Følg det gratis WordPress-kursus, lektion 5.3 Vælg og vurder plugins eller lektion 5.4 Mindre er mere: ryd op og løs konflikter.