Modulul 5 · 5.3
Alegerea și evaluarea modulelor (pluginurilor)
Modulul 5: Teme și module (pluginuri) · Timp de citire: 9 minute
Obiectiv de învățare: După această lecție veți putea evalua un modul (plugin) înainte de a-l instala și veți recunoaște semnalele de alarmă.
Concepte-cheie: modul (plugin), hooks (actions și filters), ultima actualizare, testat până la, versiunea PHP necesară, instalări active, evaluări, forum de suport, vulnerabilitate, freemium, modul nulled (piratat), suprapunere
Ce este un modul (plugin) și de ce contează
Un modul (plugin) este o bucată de cod PHP care este încărcată de WordPress la fiecare cerere (lecția 1.2). WordPress are peste tot hooks: momente fixe în care modulele se pot „agăța”. Există două tipuri:
- actions: „fă ceva acum”, de exemplu adăugarea unui script pe pagină, trimiterea unui e-mail după o comandă;
- filters: „schimbă asta”, de exemplu modificarea titlului unei pagini sau editarea conținutului unui articol.
Un modul poate astfel schimba aproape orice pe site-ul dumneavoastră. Și rulează cu aceleași drepturi ca WordPress însuși: poate citi și scrie în baza de date, poate crea fișiere, poate trimite e-mailuri. Instalarea unui modul înseamnă, așadar, să acordați încredere autorului acestuia. Un modul bun vă îmbunătățește site-ul; un modul prost întreținut sau abandonat este cea mai frecventă poartă de intrare pentru atacatori (lecția 7.1).
De unde luați module (pluginuri)
- Depozitul de module de pe wordpress.org (accesibil și din Panou control, Plugins > Adaugă plugin). Fiecare modul este verificat la depunere, iar depozitul elimină modulele cu o vulnerabilitate nerezolvată.
- Site-ul unui autor cunoscut, pentru module sau extensii plătite.
- Niciodată de pe un site de descărcări care oferă module plătite „gratuit”. Astfel de module nulled (piratate) sunt adesea modificate cu o ușă din spate (backdoor), linkuri spam sau cod care vă folosește site-ul mai târziu în alte scopuri. În plus, nu primiți actualizări, astfel încât vulnerabilitățile cunoscute rămân deschise. Banii pe care îi economisiți îi veți plăti înapoi la prima reparare după un atac informatic.
Cele cinci caracteristici de pe pagina modulului
Pe fiecare pagină de modul de pe wordpress.org apar aceleași informații în partea dreaptă. Citiți-le, în această ordine:
| Caracteristică | Ce ne spune | Semnal de alarmă |
|---|---|---|
| Ultima actualizare | Dacă se mai lucrează la el | Mai mult de un an în urmă. Un modul care nu a mai primit actualizări de mult timp s-ar putea să nu mai funcționeze corect cu versiunile noi de WordPress și PHP |
| Testat până la (versiunea de WordPress) | Dacă autorul l-a verificat cu versiunile recente | O versiune mult mai veche decât cea actuală. wordpress.org afișează în acest caz un avertisment |
| Versiunea PHP (necesară) | Versiunea minimă de PHP | Nu este un semnal de alarmă în sine, dar verificați dacă funcționează cu versiunea dumneavoastră (mai nouă) |
| Instalări active | Câte site-uri îl folosesc | Foarte puține instalări înseamnă puțini oameni care observă erorile. Nu este întotdeauna rău (un modul mic, specializat), dar verificați cu atenție suplimentară |
| Evaluări și suport | Ce cred utilizatorii și dacă autorul răspunde la întrebări | Multe evaluări recente cu o stea; la „Probleme rezolvate în ultimele două luni” un număr mic din total |
Citiți mai ales evaluările recente negative: este vorba despre o actualizare care a stricat ceva, despre reclame agresive, despre date care sunt trimise către exterior? Și verificați în forumul de suport dacă autorul răspunde.
Un modul care a fost retras de pe wordpress.org afișează, la deschidere, mesajul că a fost închis, adesea cu motivul (de exemplu „problemă de securitate”). Dacă aveți un astfel de modul, înlocuiți-l.
Dincolo de pagina modulului
- Vulnerabilități: există baze de date publice cu vulnerabilități cunoscute în modulele WordPress, de exemplu cele ale Patchstack, Wordfence și WPScan. Căutați numele modulului: a avut vulnerabilități și cât de repede au fost rezolvate? Un modul cu o vulnerabilitate reparată rapid nu este un modul prost. Un autor care nu face nimic luni de zile, da.
- Freemium: multe module sunt gratuite cu o extensie plătită. Perfect, dar fiți atenți la notificările care vă umplu panoul de control cu spam sau la funcții pe care le puteți folosi doar cu partea plătită.
- Servicii externe: trimite modulul datele vizitatorilor dumneavoastră către un serviciu al autorului (un filtru anti-spam, un serviciu de statistici, o compresie de imagini în cloud)? Acest lucru trebuie menționat în politica dumneavoastră de confidențialitate și uneori într-un acord de prelucrare a datelor (lecția 9.3). Modulele bune menționează acest lucru în descrierea lor.
- Ce încarcă: un modul pentru un formular de pe pagina dumneavoastră de contact nu trebuie să încarce scripturi pe toate celelalte pagini. Cu instrumentele de dezvoltare ale browserului dumneavoastră (fila Rețea), puteți vedea ce încarcă un modul pe o pagină.
O sarcină, un modul, și de preferință niciunul
Întrebarea cea mai importantă vine înainte de pagina modulului: am nevoie de fapt de un modul pentru asta?
- Poate face WordPress acest lucru de unul singur? Un sitemap simplu (lecția 9.2), lazy loading (lecția 4.4), coloane, butoane și tabele (lecția 4.1) sunt deja incluse.
- Poate face tema asta? La o temă cu blocuri puteți face multe cu Editorul de site-uri.
- Se poate rezolva cu câteva linii de cod într-un modul propriu, mic, sau o temă copil (child theme)? Atunci nu aveți nevoie de un pachet de mii de linii pentru o singură funcție.
- Am deja un modul care face acest lucru? Suprapunerea (două module de cache, două module de SEO, două module de securitate) provoacă conflicte și muncă dublă.
Un site cu zece module bine alese este mai sănătos decât un site cu patruzeci. Nu pentru că numărul contează, ci pentru că fiecare modul trebuie monitorizat, poate intra în conflict cu celelalte și poate avea o vulnerabilitate.
Notați-vă evaluarea
Pentru fiecare modul pe care îl instalați, notați: la ce servește, de ce acesta și nu altul, cine îl administrează și când l-ați verificat ultima dată. Sună complicat, dar este exact ceea ce aveți nevoie atunci când faceți ordine (lecția 5.4), în cazul unui atac informatic (lecția 7.5) și atunci când altcineva preia site-ul dumneavoastră.
Rezumat
- Un modul se agață de WordPress prin hooks și rulează cu aceleași drepturi; instalarea înseamnă să acordați încredere.
- Luați module de pe wordpress.org sau de la un autor cunoscut, niciodată nulled (piratate).
- Citiți ultima actualizare, testat până la, versiunea PHP, instalări active și evaluări/suport; căutați vulnerabilități cunoscute.
- Întrebați-vă mai întâi dacă aveți nevoie de un modul; evitați suprapunerea.
- Notați de ce folosiți un modul.
Test (quiz)
Exercițiu
Exercițiu A5.3: Citiți o pagină de plugin. Alegeți un modul din depozitul de pe wordpress.org pe care îl folosiți sau pe care îl luați în considerare, și completați slug-ul (ultima parte a adresei, de exemplu contact-form-7 din wordpress.org/plugins/contact-form-7/). Completați de asemenea ce scrie pe pagină la ultima actualizare (data), testat până la și versiunea PHP necesară. Programul va prelua aceleași date de la API-ul public de module al wordpress.org și le va compara.
Exercițiu D5.3: O fișă de evaluare pentru trei module (pluginuri). Alegeți o nevoie (de exemplu un formular de contact, un mesaj privind cookie-urile sau o copie de siguranță) și comparați trei module. Completați pentru fiecare modul cele cinci caracteristici, verificați dacă au existat vulnerabilități cunoscute și cât de repede au fost rezolvate, verificați dacă trimite date către un serviciu extern, și alegeți unul. Explicați în câteva propoziții de ce, și dacă aveți de fapt nevoie de modulul respectiv.
Exercițiul D5.3: O fișă de evaluare pentru trei module (pluginuri)
Acest exercițiu îl faceți singur; nimeni nu îl verifică. Bifați ce ați făcut și marcați exercițiul ca finalizat.
Menționați o sursă pentru vulnerabilități (de exemplu baza de date WPScan sau Patchstack, cu link) și un criteriu de evaluare care depășește "cele mai multe instalări": întreținere, suport, ce trimite modulul (pluginul) către exterior, suprapunere cu ce aveți deja.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lecturi suplimentare
Aceste articole descriu pașii din panourile WebOké; în alte panouri funcționează similar.
- Ajutor! Site-ul meu a fost spart. Cum pot rezolva sau preveni acest lucru?
- Manual DirectAdmin 18.2: Site-ul meu a fost spart (hackuit): plan de acțiune
- Module pe wordpress.org: https://wordpress.org/plugins/
- Administrarea modulelor (wordpress.org, engleză): https://wordpress.org/documentation/article/manage-plugins/