Įskiepių pasirinkimas ir vertinimas

5 modulis: Temos ir įskiepiai · Skaitymo trukmė: 9 min.

Mokymosi tikslas: Po šios pamokos galėsite įvertinti įskiepį prieš jį diegdami ir atpažinsite pavojaus signalus.

Pagrindinės sąvokos: įskiepis, hooks (actions ir filters), paskutinį kartą atnaujinta, testuota su, reikalinga PHP versija, aktyvių kopijų, įvertinimai, pagalbos forumas, pažeidžiamumas, freemium, nulled įskiepis, persidengimas (overlap)

Kas yra įskiepis ir kodėl tai svarbu

Jūsų įskiepis yra PHP kodo dalis, kuri įkeliama kartu su WordPress kiekvieno užklausos metu (1.2 pamoka). WordPress visur turi hooks: fiksuotus momentus, kuriuose įskiepiai gali prisijungti. Yra du tipai:

• actions: „padaryk ką nors dabar“, pavyzdžiui, pridėti scenarijų prie puslapio, išsiųsti laišką po užsakymo;
• filters: „pakeisk tai“, pavyzdžiui, pakeisti puslapio pavadinimą arba redaguoti įrašo turinį.

Taigi įskiepis gali pakeisti beveik viską Jūsų svetainėje. Ir jis veikia tomis pačiomis teisėmis kaip ir pats WordPress: jis gali skaityti ir rašyti Jūsų duomenų bazę, kurti failus, siųsti laiškus. Įskiepio diegimas reiškia pasitikėjimo suteikimą jo kūrėjui. Geras įskiepis padaro Jūsų svetainę geresnę; blogas arba apleistas įskiepis yra dažniausias įsilaužėlių įėjimo taškas (7.1 pamoka).

Iš kur gauti įskiepius

• wordpress.org įskiepių katalogo (taip pat pasiekiamo per Skydelio meniu Įskiepiai > Naujas įskiepis). Kiekvienas įskiepis pateikimo metu patikrinamas, o įskiepių katalogas pašalina įskiepius su neišspręsta saugumo spraga.
• Žinomo kūrėjo svetainės, mokamiems įskiepiams ar plėtiniams.
• Niekada iš atsisiuntimo svetainės, kuri mokamus įskiepius siūlo „nemokamai“. Tokie nulled įskiepiai dažnai yra pakeisti įterpiant slaptą prieigą (backdoor), šlamšto nuorodas arba kodą, kuris vėliau Jūsų svetainę panaudoja kitiems tikslams. Be to, negausite atnaujinimų, todėl žinomos saugumo spragos liks atviros. Pinigus, kuriuos sutaupote, sugrąžinsite per pirmąjį atkūrimą po įsilaužimo.

Penki požymiai įskiepio puslapyje

Kiekviename wordpress.org įskiepio puslapyje dešinėje pateikiami tie patys duomenys. Perskaitykite juos šia tvarka:

Skaitydami įvertinimus, ypač atkreipkite dėmesį į naujausius blogus: ar kalbama apie atnaujinimą, kuris kažką sugadino, apie įkyrią reklamą, apie duomenis, kurie išsiunčiami į išorę? Taip pat pažiūrėkite pagalbos forume, ar kūrėjas atsako.

Įskiepis, kuris buvo pašalintas iš wordpress.org, atidarius parodo pranešimą, kad jis uždarytas, dažnai nurodant priežastį (pavyzdžiui, „saugumo problema“). Jei turite tokį įskiepį, pakeiskite jį.

Žvilgsnis toliau nei įskiepio puslapis

• Pažeidžiamumai: yra viešos duomenų bazės su žinomomis WordPress įskiepių saugumo spragomis, pavyzdžiui, Patchstack, Wordfence ir WPScan. Paieškokite įskiepio pavadinimo: ar jame buvo spragų ir kaip greitai jos buvo pašalintos? Įskiepis su spraga, kuri buvo greitai ištaisyta, nėra blogas įskiepis. Kūrėjas, kuris mėnesiais nieko nedaro, yra kitas reikalas.
• Freemium: daugelis įskiepių yra nemokami su mokamu plėtiniu. Tai puiku, bet atkreipkite dėmesį į pranešimus, kurie užverčia Jūsų skydelį, arba funkcijas, kurias galima naudoti tik su mokama dalimi.
• Išorinės paslaugos: ar įskiepis siunčia Jūsų lankytojų duomenis kūrėjo paslaugai (šlamšto filtrui, statistikos paslaugai, vaizdų glaudinimui debesyje)? Tai turi atsispindėti Jūsų privatumo politikoje, o kartais reikalinga ir duomenų tvarkymo sutartis (9.3 pamoka). Geri įskiepiai tai nurodo savo aprašyme.
• Ką jis įkelia: įskiepiui, skirtam formai Jūsų kontaktų puslapyje, nereikia įkelti scenarijų visuose kituose puslapiuose. Naudodami naršyklės kūrėjo įrankius (skirtuką Tinklas) galite pamatyti, kas iš įskiepio įkeliama į puslapį.

Viena užduotis, vienas įskiepis, o geriausia, jokio

Svarbiausias klausimas kyla dar prieš pasiekiant įskiepio puslapį: ar man apskritai reikia įskiepio?

• Ar WordPress gali tai padaryti pats? Paprastas svetainės žemėlapis (9.2 pamoka), lazy loading (4.4 pamoka), stulpeliai, mygtukai ir lentelės (4.1 pamoka) jau yra integruoti.
• Ar tema tai gali padaryti? Su blokų tema daug ką galite padaryti Tinklalapio redaktoriuje.
• Ar tai galima padaryti su keliomis kodo eilutėmis savo mažame įskiepyje arba vaikinėje temoje (child theme)? Tuomet nereikia tūkstančių eilučių paketo vienai funkcijai.
• Ar jau turiu įskiepį, kuris tai daro? Persidengimas (overlap) (du talpyklos įskiepiai, du SEO įskiepiai, du saugumo įskiepiai) sukelia konfliktus ir dvigubą darbą.

Svetainė su dešimčia gerai pasirinktų įskiepių yra sveikesnė nei svetainė su keturiasdešimt. Ne todėl, kad svarbus skaičius, o todėl, kad kiekvieną įskiepį reikia prižiūrėti, jis gali konfliktuoti su kitais ir gali turėti saugumo spragą.

Savo vertinimo užfiksavimas

Kiekvienam diegiamam įskiepiui užsirašykite: kam jis skirtas, kodėl pasirinktas būtent šis, o ne kitas, kas jį prižiūri ir kada paskutinį kartą jį peržiūrėjote. Tai gali skambėti sudėtingai, bet būtent to Jums reikės tvarkant įskiepius (5.4 pamoka), įsilaužimo atveju (7.5 pamoka) ir jei kažkas kitas perima Jūsų svetainę.

Santrauka

• Įskiepis per hooks prisijungia prie WordPress ir veikia tomis pačiomis teisėmis; jo diegimas reiškia pasitikėjimo suteikimą.
• Gaukite įskiepius iš wordpress.org arba žinomo kūrėjo, niekada nulled.
• Perskaitykite paskutinį atnaujinimą, testuota su, PHP versiją, aktyvių kopijų skaičių ir įvertinimus/pagalbą; patikrinkite žinomas saugumo spragas.
• Pirmiausia paklauskite, ar Jums apskritai reikia įskiepio; venkite persidengimo.
• Užfiksuokite, kodėl naudojate tą įskiepį.

Testas (quiz)

Užduotis

Užduotis A5.3: Perskaitykite įskiepio puslapį. Pasirinkite įskiepį iš wordpress.org įskiepių katalogo, kurį naudojate arba svarstote naudoti, ir įveskite jo slug (paskutinę adreso dalį, pavyzdžiui, contact-form-7 iš wordpress.org/plugins/contact-form-7/). Taip pat įveskite, kas puslapyje nurodyta prie paskutinio atnaujinimo (data), testuota su ir reikalinga PHP versija. Programa gauna tuos pačius duomenis iš viešosios wordpress.org įskiepių API ir juos palygina.

Užduotis D5.3: Trijų įskiepių vertinimo lentelė. Pasirinkite poreikį (pavyzdžiui, kontaktinė forma, slapukų pranešimas arba atsarginė kopija) ir palyginkite tris įskiepius. Kiekvienam įskiepiui įrašykite penkis požymius, patikrinkite, ar buvo žinomų saugumo spragų ir kaip greitai jos buvo pašalintos, patikrinkite, ar jis siunčia duomenis išorinei paslaugai, ir pasirinkite vieną. Keliais sakiniais paaiškinkite, kodėl, ir ar šis įskiepis apskritai Jums reikalingas.

Papildoma literatūra

Šiuose straipsniuose aprašomi veiksmai WebOké skydeliuose; kituose skydeliuose jie veikia panašiai.

• Pagalba! Mano svetainė nulaužta. Kaip tai išspręsti ir užkirsti kelią?
• DirectAdmin vadovas 18.2: Mano svetainė nulaužta: veiksmų planas
• Įskiepiai wordpress.org svetainėje: https://wordpress.org/plugins/
• Įskiepių valdymas (wordpress.org, anglų kalba): https://wordpress.org/documentation/article/manage-plugins/