WordPress-lisäosien valinta, arviointi ja siivous
Lisäosa toimii samoilla oikeuksilla kuin WordPress itse: se voi lukea ja muuttaa tietokantaasi, luoda tiedostoja ja lähettää sähköpostia. Lisäosan asentaminen on siis luottamuksen osoitus sen tekijälle. Vanhentuneet ja huonosti ylläpidetyt lisäosat ovat murtautujille yleinen sisäänpääsyreitti. Tästä luet, miten arvioit lisäosan ennen asentamista ja miten siivoat pois sen, mitä et enää tarvitse.
Ensin: tarvitsetko siihen lisäosaa ollenkaan?
- Osaako WordPress sen itse? Palstat, painikkeet, taulukot, yksinkertainen sivukartta ja kuvien laiska lataus (lazy loading) ovat jo valmiina.
- Osaako teemasi sen? Lohkoteemassa hoidat paljon asioita Sivustoeditorissa.
- Onko sinulla jo lisäosa, joka tekee tämän? Kaksi lisäosaa samaan tarkoitukseen, kuten kaksi välimuistilisäosaa, kaksi SEO-lisäosaa tai kaksi tietoturvalisäosaa, häiritsevät toisiaan ja aiheuttavat virheitä.
Mitään kiinteää ylärajaa ei ole. Jokaista lisäosaa pitää kuitenkin ylläpitää, se voi olla ristiriidassa muiden kanssa ja siinä voi olla tietoturva-aukko. Sivusto, jossa on vähän ja hyvin valittuja lisäosia, on helpompi pitää kunnossa.
Mistä lisäosia kannattaa hakea?
- wordpress.orgin lisäosahakemistosta, johon pääset myös hallintapaneelin kohdasta Lisäosat > Lisää uusi lisäosa.
- Tunnetun tekijän verkkosivustolta, kun kyse on maksullisista lisäosista ja laajennuksista.
- Ei koskaan sivustoilta, jotka tarjoavat maksullisia lisäosia ilmaiseksi. Tällaisissa nulled-lisäosissa on usein takaovi tai roskapostilinkkejä, eivätkä ne saa päivityksiä.
Varoitusmerkit lisäosan sivulla
| Ominaisuus | Varoitusmerkki |
|---|---|
| Viimeksi päivitetty | Yli vuosi sitten. Silloin se ei ehkä enää toimi kunnolla WordPressin ja PHP:n uusien versioiden kanssa. |
| Testattu (WordPressin versioon asti) | Paljon nykyistä vanhempi versio. wordpress.orgissa sivulla näkyy silloin varoitus. |
| Vaadittu PHP-versio | Ei sinänsä varoitusmerkki, mutta tarkista, sopiiko se pakettisi PHP-versioon. |
| Aktiiviset asennukset | Hyvin vähän: silloin virheitä huomaavia käyttäjiä on vähän. Ei aina huono asia, mutta katso silloin erityisen tarkkaan. |
| Arviot ja tuki | Paljon tuoreita huonoja arvioita tai foorumilla kysymyksiä, joihin tekijä ei vastaa. |
| Suljettu lisäosa | Sivulla kerrotaan, että lisäosa on suljettu, joskus syyn kera, kuten tietoturvaongelman vuoksi. Vaihda se toiseen. |
Tarkista lisäksi julkisesta tietokannasta, jossa on WordPress-lisäosien tunnettuja tietoturva-aukkoja, kuten Patchstackin, Wordfencen tai WPScanin tietokannasta. Nopeasti korjattu aukko ei ole ongelma. Tekijä, joka ei tee mitään kuukausiin, on. Kiinnitä huomiota myös siihen, mitä lisäosa tekee kävijöidesi tiedoilla: jos se lähettää niitä tekijänsä palveluun, siitä pitää kertoa tietosuojaselosteessasi.
Poistetaanko käytöstä vai poistetaanko kokonaan?
| Poista käytöstä | Poista | |
|---|---|---|
| Mitä tapahtuu? | WordPress ei enää lataa lisäosaa. Tiedostot jäävät kansioon wp-content/plugins. | Tiedostot poistetaan. Jotkin lisäosat siivoavat myös asetuksensa ja taulunsa tietokannasta, toiset jättävät ne paikalleen. |
| Riski | Lisäosan yksittäisessä tiedostossa oleva aukko on edelleen saavutettavissa. Murtautujat etsivät tunnettuja haavoittuvia tiedostoja, eivät aktiivisia lisäosia. | Poistettu on poistettu. Asetuksesi saattavat kadota. |
| Milloin? | Vain tilapäisesti, esimerkiksi kun etsit ongelman syytä. | Kun et enää käytä lisäosaa. |
Sama koskee teemoja, joita et käytä. Poista lisäosa kohdassa Lisäosat: valitse ensin Poista käytöstä ja sen jälkeen Poista.
Siivoaminen: säännöllinen kierros
Käy lisäosasi läpi esimerkiksi neljännesvuosittain ja kysy jokaisesta neljä kysymystä:
- Mihin se on tarkoitettu? Jos et enää muista, ota selvää.
- Onko se vielä käytössä? Diaesityslisäosa, kun sivustolla ei ole yhtään diaesitystä, voi lähteä.
- Pärjäätkö ilman sitä, koska WordPress, teema tai jokin toinen lisäosa hoitaa asian jo?
- Ylläpidetäänkö sitä vielä? Katso yllä olevat varoitusmerkit.
Tee ensin varmuuskopio tai työskentele kopion parissa, katso WordPressin testiympäristön (staging) luominen. Poista yksi lisäosa kerrallaan ja tarkista sen jälkeen, toimiiko sivustosi yhä. Huomaa lyhytkoodit: jos poistat lisäosan, joka tuotti esimerkiksi lyhytkoodin [formulier id="2"], teksti näkyy sen jälkeen sivullasi sellaisenaan.
Lisäosan poistaminen käytöstä, kun hallintapaneeli ei toimi
Jos lisäosa aiheuttaa kriittisen virheen tai valkoisen sivun, voit poistaa sen käytöstä nimeämällä sen kansion uudelleen kansiossa wp-content/plugins. WordPress lähettää tällaisen virheen yhteydessä usein myös sähköpostin, jossa on linkki palautustilaan. Vaiheittaiset ohjeet löydät artikkelista Virhe 500 tai "kriittinen virhe" sivustollasi (myös WordPress-päivityksen jälkeen). Jos tietoturvalisäosa estää sinua kirjautumasta, katso En pysty kirjautumaan WordPressiin: mitä nyt?
Lue lisää
- Lisäosien hallinta wordpress.orgissa (englanniksi)
- Apua! Sivustoni on hakkeroitu. Miten korjaan sen ja miten estän sen?
Haluatko oppia lisää? Käy ilmainen WordPress-kurssi, oppitunti 5.3 Lisäosien valinta ja arviointi tai oppitunti 5.4 Vähemmän on enemmän: siivoaminen ja ristiriitojen ratkaiseminen.