Module 5 · 5.3
Plugins kiezen en beoordelen
Module 5: Thema's en plugins · Leestijd: 9 minuten
Leerdoel: Na deze les kun je een plugin beoordelen voordat je hem installeert, en herken je de rode vlaggen.
Kernbegrippen: plugin, hooks (actions en filters), laatst bijgewerkt, getest tot, vereiste PHP-versie, actieve installaties, beoordelingen, ondersteuningsforum, kwetsbaarheid, freemium, nulled plugin, overlap
Wat een plugin is, en waarom dat ertoe doet
Een plugin is een stuk PHP-code dat bij elk verzoek met WordPress mee wordt geladen (les 1.2). WordPress heeft overal hooks: vaste momenten waarop plugins kunnen inhaken. Er zijn twee soorten:
- actions: "doe nu iets", bijvoorbeeld een script toevoegen aan de pagina, een mail sturen na een bestelling;
- filters: "verander dit", bijvoorbeeld de titel van een pagina aanpassen of de inhoud van een bericht bewerken.
Een plugin kan daarmee bijna alles in je site veranderen. En hij draait met dezelfde rechten als WordPress zelf: hij kan je database lezen en schrijven, bestanden aanmaken, mail versturen. Een plugin installeren is dus vertrouwen geven aan de maker. Een goede plugin maakt je site beter; een slechte of verlaten plugin is de meest voorkomende ingang voor inbrekers (les 7.1).
Waar haal je plugins
- De pluginmap van wordpress.org (ook te bereiken via Plugins > Nieuwe plugin in je beheer). Elke plugin wordt bij het indienen gecontroleerd en de pluginmap verwijdert plugins met een onopgelost beveiligingslek.
- De site van een bekende maker, voor betaalde plugins of uitbreidingen.
- Nooit van een downloadsite die betaalde plugins "gratis" aanbiedt. Zulke nulled plugins zijn vaak aangepast met een achterdeur, spamlinks of code die je site later voor iets anders gebruikt. Bovendien krijg je geen updates, dus bekende lekken blijven open. Het geld dat je bespaart, betaal je terug bij het eerste herstel na een hack.
De vijf kenmerken op de pluginpagina
Op elke pluginpagina van wordpress.org staan rechts dezelfde gegevens. Lees ze, in deze volgorde:
| Kenmerk | Wat het zegt | Rode vlag |
|---|---|---|
| Laatst bijgewerkt | Of er nog aan gewerkt wordt | Meer dan een jaar geleden. Een plugin die al lang geen update kreeg, werkt misschien niet goed met nieuwe versies van WordPress en PHP |
| Getest tot (versie van WordPress) | Of de maker hem heeft gecontroleerd met recente versies | Een veel oudere versie dan de huidige. wordpress.org toont dan een waarschuwing |
| PHP-versie (vereist) | De minimale PHP-versie | Geen vlag op zich, maar kijk of hij werkt met jouw (nieuwere) versie |
| Actieve installaties | Hoeveel sites hem gebruiken | Heel weinig installaties betekent weinig mensen die fouten opmerken. Niet altijd slecht (een kleine, specifieke plugin), maar extra goed kijken |
| Beoordelingen en ondersteuning | Wat gebruikers vinden en of de maker vragen beantwoordt | Veel recente één-ster-beoordelingen; bij "Problemen opgelost in de laatste twee maanden" een laag getal van het totaal |
Lees bij de beoordelingen vooral de recente slechte: gaat het over een update die iets kapotmaakte, over agressieve reclame, over gegevens die naar buiten gaan? En kijk in het ondersteuningsforum of de maker reageert.
Een plugin die van wordpress.org is gehaald, krijgt bij het openen de melding dat hij gesloten is, vaak met de reden (bijvoorbeeld "beveiligingsprobleem"). Heb je zo'n plugin, vervang hem.
Verder kijken dan de pluginpagina
- Kwetsbaarheden: er zijn openbare databases met bekende lekken in WordPress-plugins, bijvoorbeeld die van Patchstack, Wordfence en WPScan. Zoek de naam van de plugin op: had hij lekken, en hoe snel werden ze opgelost? Een plugin met een lek dat snel werd gerepareerd, is geen slechte plugin. Een maker die maanden niets doet, wel.
- Freemium: veel plugins zijn gratis met een betaalde uitbreiding. Prima, maar let op meldingen die je beheer volspammen of functies die je alleen met het betaalde deel kunt gebruiken.
- Externe diensten: stuurt de plugin gegevens van je bezoekers naar een dienst van de maker (een spamfilter, een statistiekdienst, een beeldcompressie in de cloud)? Dat moet in je privacyverklaring en soms in een verwerkersovereenkomst (les 9.3). Goede plugins zeggen dat in hun beschrijving.
- Wat hij laadt: een plugin voor een formulier op je contactpagina hoeft geen scripts op alle andere pagina's te laden. Met de ontwikkelhulpmiddelen van je browser (tabblad Netwerk) zie je wat er van een plugin op een pagina komt.
Eén taak, één plugin, en liefst geen
De belangrijkste vraag komt vóór de pluginpagina: heb ik hier wel een plugin voor nodig?
- Kan WordPress het zelf? Een eenvoudige sitemap (les 9.2), lazy loading (les 4.4), kolommen, knoppen en tabellen (les 4.1) zitten er al in.
- Kan het thema het? Bij een blokthema kun je veel met de Site-editor.
- Kan het met een paar regels code in een eigen kleine plugin of child theme? Dan heb je geen pakket van duizenden regels nodig voor één functie.
- Heb ik al een plugin die dit doet? Overlap (twee cacheplugins, twee SEO-plugins, twee beveiligingsplugins) geeft conflicten en dubbel werk.
Een site met tien goed gekozen plugins is gezonder dan een site met veertig. Niet omdat het getal telt, maar omdat elke plugin moet worden bijgehouden, kan botsen met de andere en een lek kan hebben.
Je beoordeling vastleggen
Voor elke plugin die je installeert, noteer je: waarvoor hij is, waarom deze en niet een andere, wie hem beheert en wanneer je hem voor het laatst hebt bekeken. Dat klinkt omslachtig, maar het is precies wat je nodig hebt bij het opruimen (les 5.4), bij een hack (les 7.5) en als iemand anders je site overneemt.
Samenvatting
- Een plugin haakt via hooks in op WordPress en draait met dezelfde rechten; installeren is vertrouwen geven.
- Haal plugins van wordpress.org of een bekende maker, nooit nulled.
- Lees laatst bijgewerkt, getest tot, PHP-versie, actieve installaties en beoordelingen/ondersteuning; zoek bekende lekken op.
- Vraag eerst of je een plugin nodig hebt; vermijd overlap.
- Leg vast waarom je een plugin gebruikt.
Quiz
Opdracht
Opdracht A5.3: Lees een pluginpagina. Kies een plugin uit de pluginmap van wordpress.org die je gebruikt of overweegt, en vul de slug in (het laatste deel van het adres, bijvoorbeeld contact-form-7 uit wordpress.org/plugins/contact-form-7/). Vul ook in wat er op de pagina staat bij laatst bijgewerkt (de datum), getest tot en vereiste PHP-versie. Het programma haalt dezelfde gegevens op bij de openbare plugin-API van wordpress.org en vergelijkt.
Opdracht D5.3: Een scorekaart voor drie plugins. Kies een behoefte (bijvoorbeeld een contactformulier, een cookiemelding of een back-up) en vergelijk drie plugins. Vul per plugin de vijf kenmerken in, zoek op of er bekende lekken waren en hoe snel ze zijn opgelost, kijk of hij gegevens naar een externe dienst stuurt, en kies er één. Leg in een paar zinnen uit waarom, en of je de plugin eigenlijk wel nodig hebt.
Opdracht D5.3: Een scorekaart voor drie plugins
Deze opdracht doe je zelf; niemand kijkt hem na. Vink af wat je gedaan hebt en markeer de opdracht als gedaan.
Noem een bron voor kwetsbaarheden (bijvoorbeeld de WPScan- of Patchstack-database, met link) en een afweging die verder gaat dan "de meeste installaties": onderhoud, ondersteuning, wat de plugin naar buiten stuurt, overlap met wat je al hebt.
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
Deze artikelen beschrijven de stappen in de panelen van WebOké; in andere panelen werken ze vergelijkbaar.
- Help! Mijn site is gehackt. Hoe los ik dat op en hoe voorkom ik het?
- DirectAdmin handleiding 18.2: Mijn website is gehackt: stappenplan
- Plugins op wordpress.org: https://wordpress.org/plugins/
- Plugins beheren (wordpress.org, Engels): https://wordpress.org/documentation/article/manage-plugins/