Scegliere e valutare i plugin
Modulo 5: Temi e plugin · Tempo di lettura: 9 minuti
Obiettivo della lezione: Dopo questa lezione sarà in grado di valutare un plugin prima di installarlo e riconoscerà i segnali di allarme.
Concetti chiave: plugin, hook (action e filter), ultimo aggiornamento, testato fino a, versione PHP richiesta, installazioni attive, recensioni, forum di supporto, vulnerabilità, freemium, plugin nulled, sovrapposizione
Cos'è un plugin e perché è importante
Un plugin è un pezzo di codice PHP che viene caricato insieme a WordPress a ogni richiesta (lezione 1.2). WordPress ha ovunque degli hook: punti fissi in cui i plugin possono agganciarsi. Ne esistono due tipi:
- action: "fai ora qualcosa", ad esempio aggiungere uno script alla pagina, inviare un'email dopo un ordine;
- filter: "modifica questo", ad esempio cambiare il titolo di una pagina o modificare il contenuto di un articolo.
Un plugin può quindi modificare quasi tutto nel Suo sito. E funziona con gli stessi permessi di WordPress stesso: può leggere e scrivere nel database, creare file, inviare email. Installare un plugin significa quindi dare fiducia a chi lo ha creato. Un buon plugin migliora il Suo sito; un plugin scadente o abbandonato è il punto d'ingresso più comune per gli intrusi (lezione 7.1).
Dove trovare i plugin
- La directory dei plugin di wordpress.org (raggiungibile anche tramite Plugin > Aggiungi nuovo plugin nella Sua Bacheca). Ogni plugin viene controllato al momento dell'invio e la directory rimuove i plugin con una vulnerabilità di sicurezza non risolta.
- Il sito di un produttore noto, per plugin o estensioni a pagamento.
- Mai da un sito di download che offre "gratis" plugin a pagamento. Questi plugin nulled sono spesso modificati con una backdoor, link di spam o codice che in seguito utilizza il Suo sito per altri scopi. Inoltre non riceverà aggiornamenti, quindi le vulnerabilità note restano aperte. Il denaro che risparmia lo ripagherà al primo ripristino dopo un attacco.
Le cinque caratteristiche nella pagina del plugin
Su ogni pagina di plugin di wordpress.org, a destra, sono presenti gli stessi dati. Li legga in quest'ordine:
| Caratteristica | Cosa indica | Segnale d'allarme |
|---|---|---|
| Ultimo aggiornamento | Se ci si sta ancora lavorando | Più di un anno fa. Un plugin che non riceve aggiornamenti da tempo potrebbe non funzionare bene con le nuove versioni di WordPress e PHP |
| Testato fino a (versione di WordPress) | Se il produttore lo ha verificato con le versioni recenti | Una versione molto più vecchia di quella attuale. In questo caso wordpress.org mostra un avviso |
| Versione PHP (richiesta) | La versione minima di PHP | Non è di per sé un segnale d'allarme, ma verifichi che funzioni con la Sua versione (più recente) |
| Installazioni attive | Quanti siti lo utilizzano | Pochissime installazioni significano poche persone che notano errori. Non è sempre negativo (un plugin piccolo e specifico), ma verifichi con maggiore attenzione |
| Recensioni e supporto | Cosa ne pensano gli utenti e se il produttore risponde alle domande | Molte recensioni recenti da una stella; alla voce "Problemi risolti negli ultimi due mesi" un numero basso rispetto al totale |
Nelle recensioni, legga soprattutto quelle negative recenti: si riferiscono a un aggiornamento che ha rotto qualcosa, a pubblicità aggressiva, a dati che vengono inviati all'esterno? E verifichi nel forum di supporto se il produttore risponde.
Un plugin rimosso da wordpress.org mostra, all'apertura, un avviso che è stato chiuso, spesso con il motivo (ad esempio "problema di sicurezza"). Se usa un plugin del genere, lo sostituisca.
Andare oltre la pagina del plugin
- Vulnerabilità: esistono database pubblici con le vulnerabilità note nei plugin di WordPress, ad esempio quelli di Patchstack, Wordfence e WPScan. Cerchi il nome del plugin: ha avuto vulnerabilità, e quanto velocemente sono state risolte? Un plugin con una vulnerabilità risolta rapidamente non è un cattivo plugin. Un produttore che non fa nulla per mesi, sì.
- Freemium: molti plugin sono gratuiti con un'estensione a pagamento. Va bene, ma faccia attenzione alle notifiche che riempiono la Sua Bacheca di spam o alle funzioni utilizzabili solo con la parte a pagamento.
- Servizi esterni: il plugin invia i dati dei Suoi visitatori a un servizio del produttore (un filtro antispam, un servizio di statistiche, una compressione immagini nel cloud)? Questo deve essere indicato nella Sua Privacy Policy e a volte in un accordo sul trattamento dei dati (lezione 9.3). I buoni plugin lo dichiarano nella loro descrizione.
- Cosa carica: un plugin per un modulo nella Sua pagina di contatto non ha bisogno di caricare script su tutte le altre pagine. Con gli strumenti di sviluppo del Suo browser (scheda Rete) può vedere cosa arriva da un plugin in una pagina.
Un'attività, un plugin, e se possibile nessuno
La domanda più importante viene prima della pagina del plugin: ne ho davvero bisogno di un plugin per questo?
- Può farlo WordPress da solo? Una semplice sitemap (lezione 9.2), il lazy loading (lezione 4.4), colonne, pulsanti e tabelle (lezione 4.1) sono già inclusi.
- Può farlo il tema? Con un tema a blocchi può fare molto con l'Editor del sito.
- Si può fare con poche righe di codice in un piccolo plugin personale o in un tema child? Allora non serve un pacchetto di migliaia di righe per un'unica funzione.
- Ho già un plugin che fa questo? La sovrapposizione (due plugin di cache, due plugin SEO, due plugin di sicurezza) causa conflitti e doppio lavoro.
Un sito con dieci plugin ben scelti è più sano di un sito con quaranta. Non perché il numero conti, ma perché ogni plugin deve essere mantenuto, può entrare in conflitto con gli altri e può avere una vulnerabilità.
Documentare la Sua valutazione
Per ogni plugin che installa, annoti: a cosa serve, perché questo e non un altro, chi lo gestisce e quando lo ha controllato l'ultima volta. Può sembrare macchinoso, ma è esattamente ciò di cui avrà bisogno in fase di pulizia (lezione 5.4), in caso di attacco hacker (lezione 7.5) e se qualcun altro dovesse prendere in gestione il Suo sito.
Riepilogo
- Un plugin si aggancia a WordPress tramite gli hook e funziona con gli stessi permessi; installarlo significa dare fiducia.
- Scarichi i plugin da wordpress.org o da un produttore noto, mai nulled.
- Legga ultimo aggiornamento, testato fino a, versione PHP, installazioni attive e recensioni/supporto; cerchi vulnerabilità note.
- Si chieda prima se ha davvero bisogno di un plugin; eviti le sovrapposizioni.
- Documenti perché utilizza un determinato plugin.
Quiz
Esercizio
Esercizio A5.3: Legga una pagina di plugin. Scelga un plugin dalla directory dei plugin di wordpress.org che utilizza o sta considerando, e inserisca lo slug (l'ultima parte dell'indirizzo, ad esempio contact-form-7 da wordpress.org/plugins/contact-form-7/). Inserisca anche ciò che è riportato nella pagina alla voce ultimo aggiornamento (la data), testato fino a e versione PHP richiesta. Il programma recupererà gli stessi dati dall'API pubblica dei plugin di wordpress.org e li confronterà.
Esercizio D5.3: Una scheda di valutazione per tre plugin. Scelga un'esigenza (ad esempio un modulo di contatto, un avviso sui cookie o un backup) e confronti tre plugin. Compili per ciascun plugin le cinque caratteristiche, verifichi se ci sono state vulnerabilità note e con quale rapidità sono state risolte, controlli se invia dati a un servizio esterno, e ne scelga uno. Spieghi in poche frasi perché, e se il plugin Le serve realmente.
Esercizio D5.3: Una scheda di valutazione per tre plugin
Questo esercizio lo svolge da sé; nessuno lo verifica. Spunti ciò che ha fatto e segni l'esercizio come completato.
Indichi una fonte per le vulnerabilità (ad esempio il database WPScan o Patchstack, con link) e una valutazione che vada oltre "il maggior numero di installazioni": manutenzione, assistenza, cosa invia il plugin verso l'esterno, sovrapposizione con ciò che ha già.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per saperne di più
Questi articoli descrivono i passaggi nei pannelli di WebOké; in altri pannelli funzionano in modo simile.
- Aiuto! Il mio sito è stato hackerato. Come posso risolvere o prevenire il problema?
- Guida DirectAdmin 18.2: Il mio sito web è stato violato: piano d'azione
- Plugin su wordpress.org: https://wordpress.org/plugins/
- Gestire i plugin (wordpress.org, in inglese): https://wordpress.org/documentation/article/manage-plugins/