Escolher, avaliar e limpar plugins do WordPress

Um plugin é executado com os mesmos direitos que o próprio WordPress: pode ler e alterar a sua base de dados, criar ficheiros e enviar e-mails. Instalar um plugin é, portanto, confiar no seu autor. Os plugins desatualizados e com pouca manutenção são uma porta de entrada frequente para intrusos. Aqui fica a saber como avaliar um plugin antes de o instalar e como remover aquilo de que já não precisa.

Primeiro: precisa mesmo de um plugin para isso?

O WordPress consegue fazê-lo sozinho? Colunas, botões, tabelas, um sitemap simples e o carregamento diferido (lazy loading) de imagens já estão incluídos.
O seu tema consegue fazê-lo? Com um tema de blocos, pode configurar muita coisa no Editor do site.
Já tem um plugin que faz isto? Dois plugins para a mesma função, como dois plugins de cache, dois plugins de SEO ou dois plugins de segurança, interferem um com o outro e provocam erros.

Não existe um número máximo fixo. Mas cada plugin tem de ser mantido, pode entrar em conflito com os outros e pode ter uma vulnerabilidade. Um site com poucos plugins, bem escolhidos, é mais fácil de manter saudável.

Onde obter plugins?

No diretório de plugins do wordpress.org, também acessível através de Plugins > Adicionar plugin na sua área de administração.
No website de um autor conhecido, para plugins pagos e extensões.
Nunca em sites que oferecem plugins pagos gratuitamente. Estes plugins nulled contêm frequentemente uma porta das traseiras ou links de spam, e não recebem atualizações.

Sinais de alerta na página do plugin

Característica	Sinal de alerta
Última atualização	Há mais de um ano. Nesse caso, é possível que já não funcione bem com as novas versões do WordPress e do PHP.
Testado até (versão do WordPress)	Uma versão muito mais antiga do que a atual. No wordpress.org, é então apresentado um aviso na página.
Versão do PHP necessária	Não é um sinal de alerta em si, mas verifique se é compatível com a versão do PHP do seu pacote.
Instalações ativas	Muito poucas: nesse caso, há poucas pessoas a detetar erros. Nem sempre é mau, mas deve analisar com especial atenção.
Avaliações e suporte	Muitas avaliações negativas recentes, ou perguntas no fórum a que o autor não responde.
Plugin encerrado	A página indica que o plugin foi encerrado, por vezes com o motivo, como um problema de segurança. Substitua-o.

Consulte também uma base de dados pública de vulnerabilidades conhecidas em plugins do WordPress, como a da Patchstack, da Wordfence ou da WPScan. Uma vulnerabilidade corrigida rapidamente não é um problema. Um autor que passa meses sem fazer nada, sim. Tenha também em atenção o que o plugin faz com os dados dos seus visitantes: se os enviar para um serviço do autor, isso deve constar da sua política de privacidade.

Desativar ou eliminar?

	Desativar	Eliminar
O que acontece?	O WordPress deixa de carregar o plugin. Os ficheiros permanecem em `wp-content/plugins`.	Os ficheiros são removidos. Alguns plugins também limpam as suas definições e tabelas na base de dados, outros deixam-nas ficar.
Risco	Uma vulnerabilidade num ficheiro isolado do plugin continua acessível. Os intrusos procuram ficheiros vulneráveis conhecidos, não plugins ativos.	O que é eliminado, desaparece. Poderá perder as suas definições.
Quando?	Apenas temporariamente, por exemplo, quando está a procurar a causa de um problema.	Quando já não utiliza o plugin.

O mesmo se aplica aos temas que não utiliza. Elimine um plugin em Plugins: primeiro Desativar, depois Eliminar.

Limpeza: uma revisão periódica

Reveja os seus plugins, por exemplo, a cada trimestre, e faça quatro perguntas sobre cada um:

Para que serve? Se já não se lembra, descubra.
Ainda é utilizado? Um plugin de slider quando não existe nenhum slider no site pode ser removido.
É dispensável, porque o WordPress, o tema ou outro plugin já faz o mesmo?
Ainda tem manutenção? Verifique os sinais de alerta acima.

Faça primeiro uma cópia de segurança ou trabalhe numa cópia do site; consulte Criar um ambiente de staging do WordPress. Elimine um plugin de cada vez e verifique depois se o seu site continua a funcionar. Atenção aos shortcodes: se eliminar um plugin que fornecia, por exemplo, [formulier id="2"], esse texto passará a aparecer literalmente na sua página.

Se o seu site estiver no Website Manager de O meu WebOké, em Gerir > Plugins & temas pode ver todos os seus plugins e temas com a respetiva versão e atualizá-los aí. Consulte Também é possível em O meu WebOké? O Website Manager.

Desativar um plugin quando a área de administração não funciona

Se um plugin provocar um erro crítico ou uma página em branco, pode desativá-lo mudando o nome da respetiva pasta em wp-content/plugins. Perante um erro deste tipo, o WordPress envia muitas vezes também um e-mail com um link para o modo de recuperação. Pode ler como fazê-lo passo a passo em Erro 500 ou "erro crítico" no seu website (também após uma atualização do WordPress). Se um plugin de segurança o impedir de entrar, consulte Não consigo iniciar sessão no WordPress: e agora?