Modul 5 · 5.3
Izbira in ocenjevanje vtičnikov
Modul 5: Teme in vtičniki · Čas branja: 9 minut
Učni cilj: Po tej lekciji boste znali oceniti vtičnik, preden ga namestite, in prepoznati rdeče zastavice.
Ključni pojmi: vtičnik, hooks (actions in filters), nazadnje posodobljeno, testirano do, zahtevana različica PHP, dejavne namestitve, ocene, forum za podporo, ranljivost, freemium, nulled vtičnik, prekrivanje
Kaj je vtičnik in zakaj je to pomembno
Vtičnik je del kode PHP, ki se pri vsaki zahtevi naloži skupaj z WordPressom (lekcija 1.2). WordPress ima povsod hooks: fiksne trenutke, v katere se lahko vtičniki vključijo. Obstajata dve vrsti:
- actions: »naredi zdaj nekaj«, na primer dodajanje skripta na stran, pošiljanje e-pošte po naročilu;
- filters: »spremeni to«, na primer prilagoditev naslova strani ali urejanje vsebine prispevka.
Vtičnik lahko s tem spremeni skoraj vse na Vašem spletnem mestu. In deluje z enakimi pravicami kot WordPress sam: lahko bere in piše v Vašo podatkovno bazo, ustvarja datoteke, pošilja e-pošto. Namestitev vtičnika torej pomeni, da zaupate ustvarjalcu. Dober vtičnik izboljša Vaše spletno mesto; slab ali zapuščen vtičnik je najpogostejša vstopna točka za vdiralce (lekcija 7.1).
Kje dobite vtičnike
- Mapa vtičnikov na wordpress.org (dosegljiva tudi prek Vtičniki > Dodaj nov vtičnik v Vašem skrbništvu). Vsak vtičnik se ob oddaji preveri, mapa vtičnikov pa odstrani vtičnike z nerešeno varnostno luknjo.
- Spletno mesto znanega ustvarjalca, za plačljive vtičnike ali razširitve.
- Nikoli s spletnega mesta za prenose, ki plačljive vtičnike ponuja »brezplačno«. Taki nulled vtičniki so pogosto prirejeni z zadnjimi vrati, povezavami do neželene pošte ali kodo, ki Vaše spletno mesto pozneje uporabi za nekaj drugega. Poleg tega ne dobite posodobitev, zato znane luknje ostanejo odprte. Denar, ki ga prihranite, boste vrnili ob prvem popravilu po vdoru.
Petih lastnosti na strani vtičnika
Na vsaki strani vtičnika na wordpress.org so na desni iste informacije. Preberite jih v tem vrstnem redu:
| Lastnost | Kaj pove | Rdeča zastavica |
|---|---|---|
| Nazadnje posodobljeno | Ali se nanj še dela | Več kot leto dni nazaj. Vtičnik, ki že dolgo ni dobil posodobitve, morda ne deluje dobro z novejšimi različicami WordPressa in PHP |
| Testirano do (različica WordPressa) | Ali ga je ustvarjalec preveril z nedavnimi različicami | Veliko starejša različica od trenutne. wordpress.org v tem primeru prikaže opozorilo |
| Različica PHP (zahtevana) | Najnižja zahtevana različica PHP | Samo po sebi ni zastavica, a preverite, ali deluje z Vašo (novejšo) različico |
| Dejavne namestitve | Koliko spletnih mest ga uporablja | Zelo malo namestitev pomeni malo ljudi, ki opazijo napake. Ni vedno slabo (majhen, specifičen vtičnik), a bodite dodatno pozorni |
| Ocene in podpora | Kaj menijo uporabniki in ali ustvarjalec odgovarja na vprašanja | Veliko nedavnih enozvezdičnih ocen; pri »Težave, rešene v zadnjih dveh mesecih« nizko število od skupnega |
Pri ocenah berite predvsem nedavne slabe: ali gre za posodobitev, ki je nekaj pokvarila, za agresivno oglaševanje, za podatke, ki uhajajo navzven? In na forumu za podporo preverite, ali ustvarjalec odgovarja.
Vtičnik, ki je bil odstranjen z wordpress.org, ob odprtju prikaže obvestilo, da je zaprt, pogosto z razlogom (na primer »varnostna težava«). Če imate tak vtičnik, ga zamenjajte.
Poglejte dlje od strani vtičnika
- Ranljivosti: obstajajo javne baze podatkov z znanimi luknjami v vtičnikih WordPress, na primer tiste pri Patchstack, Wordfence in WPScan. Poiščite ime vtičnika: ali je imel luknje in kako hitro so bile odpravljene? Vtičnik z luknjo, ki je bila hitro popravljena, ni slab vtičnik. Ustvarjalec, ki mesece ne naredi ničesar, pa je problem.
- Freemium: veliko vtičnikov je brezplačnih s plačljivo razširitvijo. To je v redu, a bodite pozorni na obvestila, ki zasujejo Vaše skrbništvo, ali funkcije, ki jih lahko uporabite samo s plačljivim delom.
- Zunanje storitve: ali vtičnik pošilja podatke Vaših obiskovalcev storitvi ustvarjalca (filter neželene pošte, storitev statistike, stiskanje slik v oblaku)? To mora biti navedeno v Vašem pravilniku o zasebnosti in včasih v pogodbi o obdelavi podatkov (lekcija 9.3). Dobri vtičniki to navedejo v svojem opisu.
- Kaj naloži: vtičnik za obrazec na Vaši kontaktni strani ne potrebuje nalaganja skriptov na vse druge strani. Z razvojnimi orodji brskalnika (zavihek Omrežje) vidite, kaj vtičnik naloži na strani.
Ena naloga, en vtičnik, po možnosti noben
Najpomembnejše vprašanje pride pred stranjo vtičnika: ali za to sploh potrebujem vtičnik?
- Ali to zmore WordPress sam? Preprost zemljevid spletnega mesta (lekcija 9.2), leno nalaganje (lazy loading) (lekcija 4.4), stolpci, gumbi in tabele (lekcija 4.1) so že vgrajeni.
- Ali to zmore tema? Pri temi z bloki lahko veliko naredite z Urejevalnikom spletišča.
- Ali gre narediti z nekaj vrsticami kode v lastnem majhnem vtičniku ali podrejeni temi (child theme)? Potem ne potrebujete paketa s tisoč vrsticami za eno funkcijo.
- Ali že imam vtičnik, ki to počne? Prekrivanje (dva vtičnika za predpomnjenje, dva vtičnika za SEO, dva varnostna vtičnika) povzroča konflikte in podvojeno delo.
Spletno mesto z desetimi dobro izbranimi vtičniki je bolj zdravo kot spletno mesto s štiridesetimi. Ne zato, ker bi število samo po sebi štelo, ampak zato, ker je treba vsak vtičnik vzdrževati, lahko trči z drugimi in ima lahko luknjo.
Zapišite svojo oceno
Za vsak vtičnik, ki ga namestite, si zapišite: za kaj je namenjen, zakaj ta in ne drug, kdo ga upravlja in kdaj ste ga nazadnje pregledali. To se sliši zamudno, a je ravno to, kar potrebujete pri čiščenju (lekcija 5.4), pri vdoru (lekcija 7.5) in kadar Vaše spletno mesto prevzame nekdo drug.
Povzetek
- Vtičnik se prek hooks vključi v WordPress in deluje z enakimi pravicami; namestitev pomeni, da zaupate.
- Vtičnike dobite na wordpress.org ali pri znanem ustvarjalcu, nikoli nulled.
- Preberite nazadnje posodobljeno, testirano do, različico PHP, dejavne namestitve in ocene/podporo; poiščite znane luknje.
- Najprej se vprašajte, ali vtičnik sploh potrebujete; izogibajte se prekrivanju.
- Zapišite, zakaj uporabljate vtičnik.
Kviz
Naloga
Naloga A5.3: Preberite stran vtičnika. Izberite vtičnik iz mape vtičnikov na wordpress.org, ki ga uporabljate ali razmišljate o uporabi, in vnesite njegov slug (zadnji del naslova, na primer contact-form-7 iz wordpress.org/plugins/contact-form-7/). Vnesite tudi, kaj je na strani navedeno pri nazadnje posodobljeno (datum), testirano do in zahtevana različica PHP. Program pridobi iste podatke prek javnega API-ja vtičnikov na wordpress.org in jih primerja.
Naloga D5.3: Ocenjevalna kartica za tri vtičnike. Izberite potrebo (na primer kontaktni obrazec, obvestilo o piškotkih ali varnostno kopijo) in primerjajte tri vtičnike. Za vsak vtičnik vnesite pet lastnosti, preverite, ali so bile znane luknje in kako hitro so bile odpravljene, poglejte, ali pošilja podatke zunanji storitvi, in izberite enega. V nekaj stavkih pojasnite zakaj in ali vtičnik sploh potrebujete.
Naloga D5.3: Ocenjevalna kartica za tri vtičnike
To nalogo opravite sami; nihče je ne pregleda. Odkljukajte, kar ste naredili, in nalogo označite kot opravljeno.
Navedite vir za ranljivosti (na primer podatkovno bazo WPScan ali Patchstack, s povezavo) in premislek, ki presega "največ namestitev": vzdrževanje, podpora, kaj vtičnik pošilja navzven, prekrivanje s tem, kar že imate.
Vaše kljukice in zapiski ostanejo samo v tem brskalniku, nikamor jih ne pošiljamo. Če ste prijavljeni, v Moji tečaji shranimo samo podatek, da ste nalogo opravili.
Dodatno branje
Ti članki opisujejo korake v nadzornih ploščah WebOké; v drugih nadzornih ploščah delujejo podobno.
- Pomoč! Moja spletna stran je bila vdrta. Kako to rešim oziroma preprečim?
- Priročnik DirectAdmin 18.2: Moje spletno mesto je vdrto: načrt korakov
- Vtičniki na wordpress.org: https://wordpress.org/plugins/
- Upravljanje vtičnikov (wordpress.org, angleško): https://wordpress.org/documentation/article/manage-plugins/