Módulo 5 · 5.3
Escolher e avaliar plugins
Módulo 5: Temas e plugins · Tempo de leitura: 9 minutos
Objetivo de aprendizagem: Após esta lição, saberá avaliar um plugin antes de o instalar e reconhecerá os sinais de alerta.
Conceitos-chave: plugin, hooks (actions e filters), última atualização, testado até, versão de PHP exigida, instalações ativas, avaliações, fórum de suporte, vulnerabilidade, freemium, plugin nulled, sobreposição
O que é um plugin e porque é que isso é importante
Um plugin é um pedaço de código PHP que é carregado juntamente com o WordPress em cada pedido (lição 1.2). O WordPress tem hooks por todo o lado: momentos fixos em que os plugins se podem ligar. Existem dois tipos:
- actions: «faz agora alguma coisa», por exemplo adicionar um script à página, enviar um e-mail depois de uma encomenda;
- filters: «altera isto», por exemplo ajustar o título de uma página ou editar o conteúdo de um artigo.
Um plugin pode, assim, alterar quase tudo na sua site. E funciona com as mesmas permissões que o próprio WordPress: pode ler e escrever na sua base de dados, criar ficheiros, enviar e-mails. Instalar um plugin é, portanto, dar confiança ao seu criador. Um bom plugin melhora a sua site; um plugin mau ou abandonado é a porta de entrada mais comum para intrusos (lição 7.1).
Onde obter plugins
- O diretório de plugins de wordpress.org (também acessível através de Plugins > Adicionar novo no seu Painel). Cada plugin é verificado no momento da submissão e o diretório de plugins remove plugins com uma vulnerabilidade de segurança por resolver.
- O site de um criador conhecido, para plugins pagos ou extensões.
- Nunca de um site de downloads que ofereça plugins pagos «gratuitamente». Esses plugins nulled são muitas vezes alterados com uma porta das traseiras, ligações de spam ou código que mais tarde utiliza a sua site para outros fins. Além disso, não recebe atualizações, pelo que as vulnerabilidades conhecidas permanecem abertas. O dinheiro que poupa, paga-o depois no primeiro restauro após um ataque.
As cinco características na página do plugin
Em cada página de plugin de wordpress.org encontram-se, à direita, os mesmos dados. Leia-os, por esta ordem:
| Característica | O que indica | Sinal de alerta |
|---|---|---|
| Última atualização | Se ainda está a ser mantido | Há mais de um ano. Um plugin que há muito não recebe uma atualização pode não funcionar bem com versões recentes do WordPress e do PHP |
| Testado até (versão do WordPress) | Se o criador o verificou com versões recentes | Uma versão muito mais antiga do que a atual. O wordpress.org mostra então um aviso |
| Versão de PHP (exigida) | A versão mínima de PHP | Não é um sinal de alerta por si só, mas verifique se funciona com a sua versão (mais recente) |
| Instalações ativas | Quantas sites o utilizam | Muito poucas instalações significa poucas pessoas a detetar erros. Nem sempre é mau (um plugin pequeno e específico), mas verifique com mais atenção |
| Avaliações e suporte | O que os utilizadores pensam e se o criador responde a perguntas | Muitas avaliações de uma estrela recentes; na secção «Problemas resolvidos nos últimos dois meses», um número baixo em relação ao total |
Nas avaliações, leia sobretudo as negativas recentes: trata-se de uma atualização que estragou algo, de publicidade agressiva, de dados que saem para fora? E veja no fórum de suporte se o criador responde.
Um plugin que foi removido do wordpress.org apresenta, ao ser aberto, a mensagem de que foi encerrado, muitas vezes com o motivo (por exemplo «problema de segurança»). Se tiver um plugin desses, substitua-o.
Ir além da página do plugin
- Vulnerabilidades: existem bases de dados públicas com vulnerabilidades conhecidas em plugins do WordPress, por exemplo as do Patchstack, Wordfence e WPScan. Procure o nome do plugin: teve vulnerabilidades e com que rapidez foram resolvidas? Um plugin com uma vulnerabilidade que foi corrigida rapidamente não é um mau plugin. Um criador que não faz nada durante meses, sim.
- Freemium: muitos plugins são gratuitos com uma extensão paga. Isso é perfeitamente aceitável, mas tenha atenção a notificações que inundam o seu Painel ou a funcionalidades que só pode utilizar com a parte paga.
- Serviços externos: o plugin envia dados dos seus visitantes para um serviço do criador (um filtro de spam, um serviço de estatísticas, uma compressão de imagens na nuvem)? Isso deve constar na sua política de privacidade e, por vezes, num contrato de subcontratação (lição 9.3). Os bons plugins indicam isso na sua descrição.
- O que carrega: um plugin para um formulário na sua página de contacto não precisa de carregar scripts em todas as outras páginas. Com as ferramentas de programação do seu navegador (separador Rede), pode ver o que um plugin carrega numa página.
Uma tarefa, um plugin e de preferência nenhum
A pergunta mais importante surge antes da página do plugin: preciso mesmo de um plugin para isto?
- O WordPress consegue fazê-lo sozinho? Um sitemap simples (lição 9.2), lazy loading (lição 4.4), colunas, botões e tabelas (lição 4.1) já estão incluídos.
- O tema consegue fazê-lo? Com um tema de blocos, pode fazer muito com o Editor do site.
- Pode ser feito com algumas linhas de código num pequeno plugin próprio ou num tema filho? Nesse caso, não precisa de um pacote de milhares de linhas para uma única função.
- Já tenho um plugin que faz isto? A sobreposição (dois plugins de cache, dois plugins de SEO, dois plugins de segurança) causa conflitos e trabalho duplicado.
Uma site com dez plugins bem escolhidos é mais saudável do que uma site com quarenta. Não porque o número em si conte, mas porque cada plugin tem de ser mantido, pode entrar em conflito com os outros e pode ter uma vulnerabilidade.
Registar a sua avaliação
Para cada plugin que instale, anote: para que serve, porque escolheu este e não outro, quem o mantém e quando o verificou pela última vez. Pode parecer trabalhoso, mas é exatamente o que vai precisar na limpeza (lição 5.4), num ataque informático (lição 7.5) e se outra pessoa assumir a sua site.
Resumo
- Um plugin liga-se ao WordPress através de hooks e funciona com as mesmas permissões; instalá-lo é dar confiança.
- Obtenha plugins de wordpress.org ou de um criador conhecido, nunca nulled.
- Leia última atualização, testado até, versão de PHP, instalações ativas e avaliações/suporte; procure vulnerabilidades conhecidas.
- Pergunte primeiro se precisa de um plugin; evite sobreposições.
- Registe porque utiliza um plugin.
Questionário
Exercício
Exercício A5.3: Leia uma página de plugin. Escolha um plugin do diretório de plugins de wordpress.org que utilize ou esteja a considerar, e preencha o slug (a última parte do endereço, por exemplo contact-form-7 de wordpress.org/plugins/contact-form-7/). Preencha também o que consta na página em última atualização (a data), testado até e versão de PHP exigida. O programa obtém os mesmos dados através da API pública de plugins de wordpress.org e compara-os.
Exercício D5.3: Uma tabela de pontuação para três plugins. Escolha uma necessidade (por exemplo um formulário de contacto, um aviso de cookies ou uma cópia de segurança) e compare três plugins. Preencha, para cada plugin, as cinco características, procure se existiram vulnerabilidades conhecidas e com que rapidez foram resolvidas, verifique se envia dados para um serviço externo, e escolha um. Explique em poucas frases porquê, e se precisa mesmo do plugin.
Exercício D5.3: Uma tabela de pontuação para três plugins
Este exercício faz você mesmo; ninguém o verifica. Assinale o que já fez e marque o exercício como concluído.
Indique uma fonte de vulnerabilidades (por exemplo, a base de dados WPScan ou Patchstack, com link) e uma ponderação que vá além do "número de instalações": manutenção, suporte, o que a plugin envia para fora, sobreposição com o que já tem.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Leitura adicional
Estes artigos descrevem os passos nos painéis da WebOké; noutros painéis funcionam de forma semelhante.
- Ajuda! O meu site foi pirateado. Como posso resolver ou evitar isso?
- Manual DirectAdmin 18.2: O meu site foi pirateado: plano de ação
- Plugins em wordpress.org: https://wordpress.org/plugins/
- Gerir plugins (wordpress.org, em inglês): https://wordpress.org/documentation/article/manage-plugins/