Modul 5 · 5.3
Välja och bedöma tillägg
Modul 5: Teman och tillägg · Lästid: 9 minuter
Lärandemål: Efter den här lektionen kan du bedöma ett tillägg innan du installerar det, och känner du igen varningssignalerna.
Nyckelbegrepp: tillägg (plugin), hooks (actions och filters), senast uppdaterad, testad upp till, PHP-version som krävs, aktiva installationer, omdömen, supportforum, sårbarhet, freemium, nulled-tillägg, överlapp
Vad ett tillägg är, och varför det spelar roll
Ett tillägg (plugin) är en bit PHP-kod som laddas tillsammans med WordPress vid varje begäran (lektion 1.2). WordPress har hooks överallt: fasta punkter där tillägg kan haka in sig. Det finns två typer:
- actions: "gör något nu", till exempel lägga till ett skript på sidan, skicka ett mejl efter en beställning;
- filters: "ändra det här", till exempel anpassa titeln på en sida eller redigera innehållet i ett inlägg.
Ett tillägg kan därmed ändra nästan allt på din webbplats. Och det körs med samma rättigheter som WordPress självt: det kan läsa och skriva i din databas, skapa filer, skicka mejl. Att installera ett tillägg innebär alltså att ge förtroende till den som har byggt det. Ett bra tillägg gör din webbplats bättre; ett dåligt eller övergivet tillägg är den vanligaste ingången för inbrottstjuvar (lektion 7.1).
Var du hämtar tillägg
- Tilläggskatalogen på wordpress.org (går också att nå via Tillägg > Nytt tillägg i din adminpanel). Varje tillägg kontrolleras vid inlämning, och katalogen tar bort tillägg med ett olöst säkerhetsproblem.
- Webbplatsen hos en känd utvecklare, för betalda tillägg eller tilläggsfunktioner.
- Aldrig från en nedladdningssajt som erbjuder betalda tillägg "gratis". Sådana nulled-tillägg är ofta manipulerade med en bakdörr, spamlänkar eller kod som senare används för något annat på din webbplats. Dessutom får du inga uppdateringar, så kända säkerhetshål förblir öppna. Pengarna du sparar betalar du tillbaka vid den första återställningen efter en hackning.
De fem egenskaperna på tilläggssidan
På varje tilläggssida på wordpress.org står samma uppgifter till höger. Läs dem, i den här ordningen:
| Egenskap | Vad den säger | Varningssignal |
|---|---|---|
| Senast uppdaterad | Om det fortfarande utvecklas | Mer än ett år sedan. Ett tillägg som inte fått någon uppdatering på länge kanske inte fungerar bra med nya versioner av WordPress och PHP |
| Testad upp till (version av WordPress) | Om utvecklaren har kontrollerat det med aktuella versioner | En mycket äldre version än den nuvarande. wordpress.org visar då en varning |
| PHP-version (krävs) | Lägsta PHP-versionen | Ingen varningssignal i sig, men kontrollera om det fungerar med din (nyare) version |
| Aktiva installationer | Hur många webbplatser som använder det | Mycket få installationer betyder att få personer märker fel. Inte alltid dåligt (ett litet, specifikt tillägg), men kolla extra noga |
| Omdömen och support | Vad användare tycker och om utvecklaren svarar på frågor | Många nya ettstjärniga omdömen; lågt antal under "Problem lösta under de senaste två månaderna" jämfört med totalen |
Läs särskilt de nya dåliga omdömena: handlar det om en uppdatering som gjorde sönder något, om aggressiv reklam, om data som skickas ut? Och kolla i supportforumet om utvecklaren svarar.
Ett tillägg som har tagits bort från wordpress.org visar vid öppning ett meddelande om att det är stängt, ofta med anledningen (till exempel "säkerhetsproblem"). Har du ett sådant tillägg, byt ut det.
Att titta bortom tilläggssidan
- Sårbarheter: det finns offentliga databaser med kända säkerhetshål i WordPress-tillägg, till exempel från Patchstack, Wordfence och WPScan. Sök upp tilläggets namn: hade det säkerhetshål, och hur snabbt åtgärdades de? Ett tillägg med ett säkerhetshål som snabbt reparerades är inte ett dåligt tillägg. En utvecklare som inte gör något på flera månader, det är det.
- Freemium: många tillägg är gratis med en betald utökning. Helt okej, men håll koll på meddelanden som spammar din adminpanel eller funktioner som bara går att använda med den betalda delen.
- Externa tjänster: skickar tillägget data om dina besökare till en tjänst hos utvecklaren (ett spamfilter, en statistiktjänst, bildkomprimering i molnet)? Det måste finnas med i din integritetspolicy och ibland i ett personuppgiftsbiträdesavtal (lektion 9.3). Bra tillägg nämner det i sin beskrivning.
- Vad det laddar: ett tillägg för ett formulär på din kontaktsida behöver inte ladda skript på alla andra sidor. Med webbläsarens utvecklarverktyg (fliken Nätverk) ser du vad ett tillägg laddar på en sida.
En uppgift, ett tillägg, och helst inget alls
Den viktigaste frågan kommer före tilläggssidan: behöver jag verkligen ett tillägg för det här?
- Kan WordPress göra det själv? En enkel webbplatskarta (sitemap) (lektion 9.2), lazy loading (lektion 4.4), kolumner, knappar och tabeller (lektion 4.1) finns redan inbyggt.
- Kan temat göra det? Med ett blocktema kan du göra mycket i Webbplatsredigeraren.
- Kan det lösas med några rader kod i ett eget litet tillägg eller barntema (child theme)? Då behöver du inte ett paket med tusentals rader för en enda funktion.
- Har jag redan ett tillägg som gör det här? Överlapp (två cachetillägg, två SEO-tillägg, två säkerhetstillägg) ger konflikter och dubbelarbete.
En webbplats med tio väl valda tillägg är sundare än en webbplats med fyrtio. Inte för att antalet i sig räknas, utan för att varje tillägg måste hållas uppdaterat, kan krocka med de andra och kan ha ett säkerhetshål.
Dokumentera din bedömning
För varje tillägg du installerar noterar du: vad det är till för, varför just detta och inte ett annat, vem som underhåller det och när du senast granskade det. Det kan låta omständligt, men det är precis vad du behöver vid städning (lektion 5.4), vid en hackning (lektion 7.5) och om någon annan tar över din webbplats.
Sammanfattning
- Ett tillägg hakar in sig i WordPress via hooks och körs med samma rättigheter; att installera det innebär att ge förtroende.
- Hämta tillägg från wordpress.org eller en känd utvecklare, aldrig nulled.
- Läs senast uppdaterad, testad upp till, PHP-version, aktiva installationer och omdömen/support; sök upp kända säkerhetshål.
- Fråga först om du behöver ett tillägg; undvik överlapp.
- Dokumentera varför du använder ett tillägg.
Quiz
Uppgift
Uppgift A5.3: Läs en tilläggssida. Välj ett tillägg från tilläggskatalogen på wordpress.org som du använder eller överväger, och fyll i slugen (sista delen av adressen, till exempel contact-form-7 från wordpress.org/plugins/contact-form-7/). Fyll även i vad som står på sidan under senast uppdaterad (datumet), testad upp till och PHP-version som krävs. Programmet hämtar samma uppgifter från wordpress.orgs offentliga tilläggs-API och jämför.
Uppgift D5.3: Ett poängkort för tre tillägg. Välj ett behov (till exempel ett kontaktformulär, en cookiebanner eller en säkerhetskopia) och jämför tre tillägg. Fyll i de fem egenskaperna för varje tillägg, sök upp om det fanns kända säkerhetshål och hur snabbt de åtgärdades, kolla om det skickar data till en extern tjänst, och välj ett. Förklara i några meningar varför, och om du egentligen behöver tillägget alls.
Uppgift D5.3: Ett poängkort för tre tillägg
Den här uppgiften gör du själv; ingen kontrollerar den. Bocka av vad du har gjort och markera uppgiften som klar.
Ange en källa för sårbarheter (till exempel WPScan- eller Patchstack-databasen, med länk) och en avvägning som går längre än "flest installationer": underhåll, support, vad tillägget skickar ut, överlapp med det du redan har.
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
De här artiklarna beskriver stegen i panelerna hos WebOké; i andra paneler fungerar det på liknande sätt.
- Hjälp! Min webbplats har hackats. Hur löser eller förhindrar jag det?
- DirectAdmin-guide 18.2: Min webbplats är hackad: steg för steg
- Tillägg på wordpress.org: https://wordpress.org/plugins/
- Hantera tillägg (wordpress.org, engelska): https://wordpress.org/documentation/article/manage-plugins/