Bővítmények kiválasztása és értékelése

Modul 5: Sablonok és bővítmények · Olvasási idő: 9 perc

Tanulási cél: Ennek a leckének a végén képes lesz értékelni egy bővítményt a telepítés előtt, és felismeri a figyelmeztető jeleket.

Kulcsfogalmak: bővítmény, hookok (action-ök és filterek), utoljára frissítve, tesztelve ezzel a verzióval, szükséges PHP-verzió, aktív telepítések, értékelések, támogatási fórum, sebezhetőség, freemium, nulled bővítmény, átfedés

Mi az a bővítmény, és miért fontos

A bővítmény egy olyan PHP-kódrészlet, amely minden kéréssel együtt betöltődik a WordPress mellé (1.2. lecke). A WordPress mindenhol tartalmaz hookokat: rögzített pontokat, ahol a bővítmények beavatkozhatnak. Két fajtájuk van:

• action-ök: „tegyél most valamit”, például egy szkript hozzáadása az oldalhoz, egy e-mail küldése rendelés után;
• filterek: „változtasd meg ezt”, például egy oldal címének módosítása vagy egy bejegyzés tartalmának szerkesztése.

Egy bővítmény ezáltal szinte mindent megváltoztathat a weboldalán. És ugyanazokkal a jogosultságokkal fut, mint maga a WordPress: olvashatja és írhatja az adatbázisát, fájlokat hozhat létre, e-mailt küldhet. Egy bővítmény telepítése tehát azt jelenti, hogy bizalmat ad a készítőjének. Egy jó bővítmény jobbá teszi a weboldalát, egy rossz vagy elhagyott bővítmény pedig a behatolók leggyakoribb belépési pontja (7.1. lecke).

Honnan szerezzen bővítményeket

• A wordpress.org bővítménytára (a Vezérlőpultból a Bővítmények > Új bővítmény menüponton keresztül is elérhető). Minden bővítményt ellenőriznek a beküldéskor, és a bővítménytár eltávolítja azokat a bővítményeket, amelyeknek megoldatlan biztonsági rése van.
• Egy ismert készítő weboldala, fizetős bővítmények vagy kiterjesztések esetén.
• Soha ne töltsön le olyan oldalról, amely fizetős bővítményeket kínál „ingyen”. Az ilyen nulled bővítményeket gyakran módosítják hátsó ajtóval, spamlinkekkel vagy olyan kóddal, amely később a weboldalát más célra használja. Emellett nem kap hozzá frissítéseket, így az ismert biztonsági rések nyitva maradnak. A megspórolt pénzt visszafizeti az első helyreállításnál, egy esetleges feltörés után.

Az öt jellemző a bővítmény oldalán

A wordpress.org minden bővítményoldalán jobb oldalon ugyanazok az adatok szerepelnek. Olvassa el őket, ebben a sorrendben:

Az értékeléseknél elsősorban a friss, rossz véleményeket olvassa el: egy olyan frissítésről szól, amely elromlasztott valamit, agresszív reklámokról, vagy adatokról, amelyek kikerülnek a rendszerből? És nézze meg a támogatási fórumon, hogy válaszol-e a készítő.

Egy olyan bővítmény, amelyet eltávolítottak a wordpress.org-ról, megnyitáskor azt a figyelmeztetést jeleníti meg, hogy le van zárva, gyakran az okkal együtt (például „biztonsági probléma”). Ha ilyen bővítménye van, cserélje le.

Ne álljon meg a bővítményoldalnál

• Sebezhetőségek: léteznek nyilvános adatbázisok a WordPress-bővítmények ismert biztonsági réseiről, például a Patchstack, a Wordfence és a WPScan adatbázisai. Keresse meg a bővítmény nevét: voltak-e biztonsági rései, és milyen gyorsan oldották meg őket? Egy olyan bővítmény, amelynek biztonsági rését gyorsan javították, nem rossz bővítmény. Egy olyan készítő, aki hónapokig nem csinál semmit, az viszont igen.
• Freemium: sok bővítmény ingyenes, fizetős kiterjesztéssel. Ez rendben van, de figyeljen azokra az értesítésekre, amelyek elárasztják a Vezérlőpultot, vagy azokra a funkciókra, amelyeket csak a fizetős résszel lehet használni.
• Külső szolgáltatások: küld-e a bővítmény adatokat a látogatóiról a készítő valamelyik szolgáltatásának (egy spamszűrőnek, egy statisztikai szolgáltatásnak, egy felhőalapú képtömörítésnek)? Ezt fel kell tüntetni az adatkezelési tájékoztatóban, és néha adatfeldolgozói szerződésben is (9.3. lecke). A jó bővítmények erről írnak a leírásukban.
• Mit tölt be: egy kapcsolatfelvételi oldalon található űrlaphoz tartozó bővítménynek nem kell szkripteket betöltenie az összes többi oldalon. A böngésző fejlesztői eszközeivel (Hálózat fül) láthatja, hogy mi tartozik egy bővítményhez egy oldalon.

Egy feladat, egy bővítmény, és lehetőleg egyik sem

A legfontosabb kérdés a bővítményoldal előtt merül fel: valóban szükségem van ehhez bővítményre?

• Meg tudja oldani a WordPress önmagában? Egy egyszerű sitemap (9.2. lecke), lusta betöltés (4.4. lecke), oszlopok, gombok és táblázatok (4.1. lecke) már eleve benne vannak.
• Meg tudja oldani a sablon? Egy blokk sablonnál sok mindent megtehet a Webhely szerkesztővel.
• Megoldható néhány sornyi kóddal egy saját kis bővítményben vagy gyermek sablonban? Akkor nincs szüksége egy több ezer soros csomagra egyetlen funkcióhoz.
• Van már olyan bővítménye, amely ezt csinálja? Az átfedés (két gyorsítótár-bővítmény, két SEO-bővítmény, két biztonsági bővítmény) konfliktusokat és duplán elvégzett munkát okoz.

Egy weboldal tíz jól megválasztott bővítménnyel egészségesebb, mint egy negyvennel. Nem azért, mert a szám számít, hanem mert minden bővítményt karban kell tartani, ütközhet a többivel, és lehet benne biztonsági rés.

Rögzítse az értékelését

Minden egyes telepített bővítménynél jegyezze fel: mire való, miért ezt választotta és nem egy másikat, ki tartja karban, és mikor nézte meg legutóbb. Ez körülményesnek tűnhet, de pontosan erre van szüksége a rendrakásnál (5.4. lecke), egy feltörés esetén (7.5. lecke), és ha valaki más veszi át a weboldalát.

Összefoglalás

• Egy bővítmény hookokon keresztül kapcsolódik a WordPresshez, és ugyanazokkal a jogosultságokkal fut; a telepítése bizalomadás.
• Bővítményeket a wordpress.org-ról vagy egy ismert készítőtől szerezzen be, soha ne nulled formában.
• Olvassa el az utoljára frissítve, tesztelve ezzel a verzióval, PHP-verzió, aktív telepítések és értékelések/támogatás adatokat; nézzen utána az ismert biztonsági réseknek.
• Először azt kérdezze meg, hogy szüksége van-e egyáltalán bővítményre; kerülje az átfedéseket.
• Rögzítse, miért használ egy adott bővítményt.

Kvíz

Feladat

Feladat A5.3: Egy bővítményoldal elolvasása. Válasszon egy bővítményt a wordpress.org bővítménytárából, amelyet használ vagy fontolgat, és adja meg a slugot (a cím utolsó részét, például contact-form-7 a wordpress.org/plugins/contact-form-7/ címből). Adja meg azt is, mi szerepel az oldalon az utoljára frissítve (dátum), tesztelve ezzel a verzióval és a szükséges PHP-verzió mezőkben. A program ugyanezeket az adatokat lekéri a wordpress.org nyilvános bővítmény API-jából, és összehasonlítja.

Feladat D5.3: Egy pontozótábla három bővítményhez. Válasszon egy igényt (például egy kapcsolatfelvételi űrlapot, egy sütifigyelmeztetést vagy egy biztonsági mentést), és hasonlítson össze három bővítményt. Töltse ki bővítményenként az öt jellemzőt, nézzen utána, voltak-e ismert biztonsági rések, és milyen gyorsan oldották meg őket, nézze meg, küld-e adatokat egy külső szolgáltatásnak, és válasszon ki egyet. Pár mondatban indokolja meg, miért, és azt is, hogy valójában szükség van-e egyáltalán a bővítményre.

További olvasnivaló

Ezek a cikkek a WebOké kezelőfelületein található lépéseket írják le; más kezelőfelületeken hasonlóan működnek.

• Segítség! Feltörték a weboldalamat. Hogyan háríthatom el, és hogyan előzhetem meg?
• DirectAdmin útmutató 18.2: A weboldalamat feltörték: lépésről lépésre útmutató
• Bővítmények a wordpress.org oldalon: https://wordpress.org/plugins/
• Bővítmények kezelése (wordpress.org, angol nyelven): https://wordpress.org/documentation/article/manage-plugins/