Lisäosien valinta ja arviointi

Moduuli 5: Teemat ja lisäosat · Lukuaika: 9 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat arvioida lisäosan ennen asentamista ja tunnistat varoitusmerkit.

Keskeiset käsitteet: lisäosa, hookit (actionit ja filterit), viimeksi päivitetty, testattu versioon asti, vaadittu PHP-versio, aktiiviset asennukset, arvostelut, tukifoorumi, haavoittuvuus, freemium, nulled-lisäosa, päällekkäisyys

Mikä lisäosa on ja miksi sillä on väliä

Lisäosa on PHP-koodin pala, joka ladataan WordPressin mukana jokaisella pyynnöllä (oppitunti 1.2). WordPressissä on joka puolella hookeja: kiinteitä kohtia, joihin lisäosat voivat tarttua. Niitä on kahta tyyppiä:

• actionit: "tee nyt jotain", esimerkiksi lisää skripti sivulle tai lähetä sähköposti tilauksen jälkeen;
• filterit: "muuta tätä", esimerkiksi muokkaa sivun otsikkoa tai artikkelin sisältöä.

Lisäosa voi siis muuttaa lähes mitä tahansa sivustollasi. Se toimii samoilla oikeuksilla kuin WordPress itse: se voi lukea ja kirjoittaa tietokantaasi, luoda tiedostoja, lähettää sähköpostia. Lisäosan asentaminen on siis luottamuksen antamista sen tekijälle. Hyvä lisäosa parantaa sivustoasi, huono tai hylätty lisäosa on yleisin tapa, jolla murtautujat pääsevät sisään (oppitunti 7.1).

Mistä lisäosia kannattaa hankkia

• wordpress.org-lisäosahakemisto (löytyy myös ohjausnäkymästä kohdasta Lisäosat > Lisää uusi). Jokainen lisäosa tarkistetaan lähetysvaiheessa, ja hakemistosta poistetaan lisäosat, joissa on korjaamaton tietoturva-aukko.
• Tunnetun tekijän oma sivusto, maksullisten lisäosien tai laajennusten kohdalla.
• Ei koskaan lataussivustolta, joka tarjoaa maksullisia lisäosia "ilmaiseksi". Tällaiset nulled-lisäosat on usein muokattu sisältämään takaovi, roskapostilinkkejä tai koodia, joka myöhemmin käyttää sivustoasi johonkin muuhun tarkoitukseen. Lisäksi et saa niihin päivityksiä, joten tunnetut tietoturva-aukot jäävät auki. Rahat, jotka säästät, maksat takaisin ensimmäisen hakkeroinnin jälkeisen korjauksen yhteydessä.

Viisi ominaisuutta lisäosan sivulla

Jokaisella wordpress.org-sivuston lisäosasivulla näkyy oikealla samat tiedot. Lue ne tässä järjestyksessä:

Lue arvosteluista varsinkin tuoreet huonot: liittyvätkö ne päivitykseen, joka rikkoi jotain, aggressiiviseen mainontaan, tietojen vuotamiseen ulos? Katso myös tukifoorumilta, vastaako tekijä.

Lisäosa, joka on poistettu wordpress.org-hakemistosta, näyttää avattaessa ilmoituksen siitä, että se on suljettu, usein syyn kera (esimerkiksi "tietoturvaongelma"). Jos sinulla on tällainen lisäosa käytössä, vaihda se.

Katso pidemmälle kuin lisäosan sivu

• Haavoittuvuudet: on olemassa julkisia tietokantoja tunnetuista WordPress-lisäosien tietoturva-aukoista, esimerkiksi Patchstackin, Wordfencen ja WPScanin ylläpitämät. Etsi lisäosan nimi: oliko siinä aukkoja, ja kuinka nopeasti ne korjattiin? Lisäosa, jonka aukko korjattiin nopeasti, ei ole huono lisäosa. Tekijä, joka ei tee kuukausiin mitään, on huolestuttavampi merkki.
• Freemium: monet lisäosat ovat ilmaisia, mutta niihin on saatavilla maksullinen laajennus. Se on ihan hyväksyttävää, mutta varo ilmoituksia, jotka roskaavat ohjausnäkymäsi, tai toimintoja, jotka toimivat vain maksullisessa osassa.
• Ulkoiset palvelut: lähettääkö lisäosa kävijöidesi tietoja tekijän omaan palveluun (roskapostisuodatin, tilastopalvelu, kuvanpakkaus pilvessä)? Tämä pitää mainita tietosuojaselosteessasi ja joskus myös tietojenkäsittelysopimuksessa (oppitunti 9.3). Hyvät lisäosat kertovat tästä kuvauksessaan.
• Mitä se lataa: yhteydenottolomaketta varten tehdyn lisäosan ei tarvitse ladata skriptejä kaikille muille sivuille. Selaimesi kehittäjätyökaluilla (Verkko-välilehti) näet, mitä lisäosa tuo sivulle.

Yksi tehtävä, yksi lisäosa, mieluiten ei yhtään

Tärkein kysymys tulee ennen lisäosan sivua: tarvitsenko tähän oikeasti lisäosaa?

• Osaako WordPress sen itse? Yksinkertainen sivustokartta (oppitunti 9.2), lazy loading (oppitunti 4.4), sarakkeet, painikkeet ja taulukot (oppitunti 4.1) ovat jo valmiina mukana.
• Osaako teema sen? Lohkoteemalla voit tehdä paljon Sivustoeditorilla.
• Onnistuuko se muutamalla koodirivillä omassa pienessä lisäosassa tai lapsiteemassa? Silloin et tarvitse tuhansien rivien pakettia yhtä toimintoa varten.
• Onko minulla jo lisäosa, joka tekee tämän? Päällekkäisyys (kaksi välimuistilisäosaa, kaksi SEO-lisäosaa, kaksi tietoturvalisäosaa) aiheuttaa ristiriitoja ja päällekkäistä työtä.

Sivusto, jolla on kymmenen hyvin valittua lisäosaa, on terveempi kuin sivusto, jolla on neljäkymmentä. Ei siksi, että luvulla olisi itsessään väliä, vaan koska jokaista lisäosaa pitää pitää ajan tasalla, se voi törmätä muiden kanssa ja siinä voi olla tietoturva-aukko.

Kirjaa arviosi ylös

Jokaisesta asentamastasi lisäosasta kannattaa merkitä muistiin: mihin se on tarkoitettu, miksi juuri tämä eikä joku toinen, kuka sitä ylläpitää ja milloin tarkistit sen viimeksi. Tämä saattaa kuulostaa työläältä, mutta se on juuri sitä, mitä tarvitset siivotessasi (oppitunti 5.4), hakkeroinnin sattuessa (oppitunti 7.5) ja jos joku muu ottaa sivustosi haltuunsa.

Yhteenveto

• Lisäosa tarttuu hookien kautta WordPressiin ja toimii samoilla oikeuksilla; asentaminen on luottamuksen antamista.
• Hanki lisäosia wordpress.org-sivustolta tai tunnetulta tekijältä, älä koskaan nulled-versioita.
• Lue viimeksi päivitetty, testattu versioon asti, PHP-versio, aktiiviset asennukset ja arvostelut/tuki; tarkista tunnetut haavoittuvuudet.
• Kysy ensin, tarvitsetko lisäosaa ollenkaan; vältä päällekkäisyyttä.
• Kirjaa ylös, miksi käytät kyseistä lisäosaa.

Tietovisa

Tehtävä

Tehtävä A5.3: Lue lisäosan sivu. Valitse wordpress.org-lisäosahakemistosta lisäosa, jota käytät tai harkitset, ja syötä sen slug (osoitteen viimeinen osa, esimerkiksi contact-form-7 osoitteesta wordpress.org/plugins/contact-form-7/). Täytä myös, mitä sivulla lukee kohdissa viimeksi päivitetty (päivämäärä), testattu versioon asti ja vaadittu PHP-versio. Ohjelma hakee samat tiedot wordpress.org:n julkisesta lisäosa-API:sta ja vertaa niitä.

Tehtävä D5.3: Pisteytystaulukko kolmelle lisäosalle. Valitse tarve (esimerkiksi yhteydenottolomake, evästeilmoitus tai varmuuskopiointi) ja vertaa kolmea lisäosaa. Täytä jokaisesta lisäosasta viisi ominaisuutta, selvitä oliko niissä tunnettuja haavoittuvuuksia ja kuinka nopeasti ne korjattiin, tarkista lähettääkö se tietoja ulkoiseen palveluun, ja valitse niistä yksi. Selitä muutamalla lauseella miksi, ja tarvitsetko lisäosaa ylipäätään.

Lue lisää

Nämä artikkelit kuvaavat vaiheet WebOké-paneeleissa; muissa paneeleissa toiminta on vastaavanlaista.

• Apua! Sivustoni on hakkeroitu. Miten voin korjata tilanteen tai estää sen?
• DirectAdmin-ohje 18.2: Sivustoni on hakkeroitu: vaiheittainen ohje
• Lisäosat wordpress.org-sivustolla: https://wordpress.org/plugins/
• Lisäosien hallinta (wordpress.org, englanniksi): https://wordpress.org/documentation/article/manage-plugins/