Odabir i ocjenjivanje dodataka (plugina)

Modul 5: Teme i dodaci · Vrijeme čitanja: 9 minuta

Cilj učenja: Nakon ove lekcije moći ćete procijeniti dodatak (plugin) prije nego što ga instalirate i prepoznati upozoravajuće znakove.

Ključni pojmovi: dodatak (plugin), hooks (actions i filters), posljednje ažuriranje, testirano do, potrebna inačica PHP-a, aktivne instalacije, ocjene, forum podrške, ranjivost, freemium, nulled plugin, preklapanje

Što je dodatak (plugin) i zašto je to važno

Dodatak (plugin) je dio PHP koda koji se učitava zajedno s WordPressom pri svakom zahtjevu (lekcija 1.2). WordPress posvuda ima hooks: fiksne točke na kojima se dodaci mogu uključiti. Postoje dvije vrste:

• actions: "učini nešto sada", primjerice dodavanje skripte na stranicu, slanje e-pošte nakon narudžbe;
• filters: "promijeni ovo", primjerice prilagodba naslova stranice ili uređivanje sadržaja objave.

Dodatak time može promijeniti gotovo sve na Vašoj web-stranici. I radi s istim ovlastima kao i sam WordPress: može čitati i pisati u Vašu bazu podataka, stvarati datoteke, slati e-poštu. Instalacija dodatka znači, dakle, dati povjerenje njegovom tvorcu. Dobar dodatak čini Vašu web-stranicu boljom; loš ili napušten dodatak najčešći je put za provalnike (lekcija 7.1).

Odakle preuzeti dodatke

• Direktorij dodataka na wordpress.org (dostupan i putem Dodaci > Dodaj novi u Vašoj administraciji). Svaki se dodatak prilikom predaje provjerava, a direktorij dodataka uklanja dodatke s neriješenim sigurnosnim propustom.
• Web-stranica poznatog tvorca, za plaćene dodatke ili proširenja.
• Nikad sa stranice za preuzimanje koja plaćene dodatke nudi "besplatno". Takvi nulled dodaci često su izmijenjeni tako da sadrže stražnja vrata (backdoor), poveznice na spam ili kod koji Vašu web-stranicu kasnije koristi u druge svrhe. Osim toga, ne dobivate ažuriranja, pa poznati propusti ostaju otvoreni. Novac koji uštedite, platit ćete pri prvom oporavku nakon hakerskog napada.

Pet značajki na stranici dodatka

Na svakoj stranici dodatka na wordpress.org s desne strane nalaze se isti podaci. Pročitajte ih ovim redoslijedom:

Kod ocjena posebno pročitajte nedavne loše ocjene: radi li se o ažuriranju koje je nešto pokvarilo, o agresivnom oglašavanju, o podacima koji izlaze prema van? I provjerite na forumu podrške odgovara li tvorac.

Dodatak koji je uklonjen s wordpress.org prilikom otvaranja prikazuje poruku da je zatvoren, često s razlogom (primjerice "sigurnosni problem"). Ako imate takav dodatak, zamijenite ga.

Pogled dalje od stranice dodatka

• Ranjivosti: postoje javne baze podataka s poznatim propustima u WordPress dodacima, primjerice one od Patchstack, Wordfence i WPScan. Potražite naziv dodatka: je li imao propuste i koliko su brzo riješeni? Dodatak s propustom koji je brzo popravljen nije loš dodatak. Tvorac koji mjesecima ništa ne poduzima, jest.
• Freemium: mnogi dodaci besplatni su uz plaćeno proširenje. To je u redu, ali pazite na obavijesti koje zatrpavaju Vašu administraciju ili na funkcije koje možete koristiti samo uz plaćeni dio.
• Vanjske usluge: šalje li dodatak podatke Vaših posjetitelja prema usluzi tvorca (filter za spam, usluga statistike, kompresija slika u oblaku)? To mora biti navedeno u Vašim pravilima privatnosti, a ponekad i u ugovoru o obradi podataka (lekcija 9.3). Dobri dodaci to navode u svom opisu.
• Što učitava: dodatak za obrazac na Vašoj stranici za kontakt ne treba učitavati skripte na svim drugim stranicama. Pomoću razvojnih alata Vašeg preglednika (kartica Mreža) možete vidjeti što se od dodatka učitava na stranici.

Jedan zadatak, jedan dodatak, a najbolje nijedan

Najvažnije je pitanje postavljeno prije same stranice dodatka: treba li mi uopće dodatak za ovo?

• Može li WordPress to sam? Jednostavna mapa web-mjesta (lekcija 9.2), lijeno učitavanje (lazy loading) (lekcija 4.4), stupci, gumbi i tablice (lekcija 4.1) već su uključeni.
• Može li to tema? Kod blok teme mnogo toga možete napraviti pomoću Uređivača stranice.
• Može li se to riješiti s nekoliko redaka koda u vlastitom malom dodatku ili podređenoj temi (child theme)? Tada Vam nije potreban paket od tisuća redaka koda za jednu funkciju.
• Imam li već dodatak koji to radi? Preklapanje (dva dodatka za predmemoriju, dva SEO dodatka, dva sigurnosna dodatka) uzrokuje sukobe i dvostruki posao.

Web-stranica s deset dobro odabranih dodataka zdravija je od web-stranice sa četrdeset dodataka. Ne zato što broj sam po sebi igra ulogu, nego zato što se svaki dodatak mora pratiti, može sukobiti s drugima i može sadržavati propust.

Bilježenje Vaše procjene

Za svaki dodatak koji instalirate, zabilježite: za što služi, zašto baš taj, a ne neki drugi, tko ga održava i kada ste ga posljednji put pregledali. To zvuči zamorno, ali upravo je to ono što Vam je potrebno prilikom čišćenja (lekcija 5.4), kod hakerskog napada (lekcija 7.5) i kada netko drugi preuzme Vašu web-stranicu.

Sažetak

• Dodatak se putem hooks uključuje u WordPress i radi s istim ovlastima; instalacija znači davanje povjerenja.
• Dodatke preuzimajte sa wordpress.org ili od poznatog tvorca, nikad nulled.
• Provjerite posljednje ažuriranje, testirano do, inačicu PHP-a, aktivne instalacije i ocjene/podršku; potražite poznate propuste.
• Prvo se zapitajte je li dodatak uopće potreban; izbjegavajte preklapanje.
• Zabilježite zašto koristite pojedini dodatak.

Kviz

Zadatak

Zadatak A5.3: Pročitajte stranicu dodatka (plugin). Odaberite dodatak iz direktorija dodataka na wordpress.org koji koristite ili razmatrate, i unesite slug (posljednji dio adrese, primjerice contact-form-7 iz wordpress.org/plugins/contact-form-7/). Unesite i što piše na stranici pod posljednje ažuriranje (datum), testirano do i potrebna inačica PHP-a. Program dohvaća iste podatke putem javnog API-ja dodataka na wordpress.org i uspoređuje ih.

Zadatak D5.3: Bodovna kartica za tri dodatka. Odaberite potrebu (primjerice obrazac za kontakt, obavijest o kolačićima ili sigurnosnu kopiju) i usporedite tri dodatka. Za svaki dodatak unesite pet značajki, provjerite postoje li poznati propusti i koliko su brzo riješeni, provjerite šalje li podatke vanjskoj usluzi, te odaberite jedan. U nekoliko rečenica objasnite zašto i je li Vam taj dodatak uopće potreban.

Dodatno čitanje

Ovi članci opisuju korake u panelima WebOké; u drugim panelima rade na sličan način.

• Upomoć! Moja web stranica je hakirana. Kako to riješiti ili spriječiti?
• DirectAdmin priručnik 18.2: Moja web stranica je hakirana: plan koraka
• Dodaci na wordpress.org: https://wordpress.org/plugins/
• Upravljanje dodacima (wordpress.org, engleski): https://wordpress.org/documentation/article/manage-plugins/