„Brak uprawnienia do przesyłania plików tego typu”. Jak bezpiecznie wgrać SVG?

Logo w formacie SVG, plik czcionki albo plik JSON z animacją trafia do biblioteki mediów WordPressa, pasek postępu dochodzi do końca, po czym pojawia się czerwony komunikat o niedozwolonym typie pliku. Plik nie zostaje zapisany, a kokpit nie podpowiada, co zrobić dalej. To jedna z najczęstszych przeszkód przy samodzielnym prowadzeniu strony firmowej.

Komunikat nie oznacza awarii. WordPress celowo przyjmuje tylko pliki z zamkniętej listy formatów, a wszystko spoza niej odrzuca, ponieważ część formatów może posłużyć do ataku na witrynę. Zadanie polega więc na tym, żeby potrzebny plik wgrać bez otwierania tej furtki dla wszystkich pozostałych.

Ta instrukcja pokazuje, jak rozpoznać przyczynę odmowy, jak bezpiecznie włączyć obsługę SVG, jak dopuścić inny pojedynczy format, co zrobić w sieci witryn i których popularnych rozwiązań lepiej nie stosować. Wszystkie czynności można wykonać samodzielnie z poziomu kokpitu, mając konto administratora.

Jak brzmi ten komunikat i w których miejscach się pojawia?

W aktualnej polskiej wersji WordPressa komunikat ma postać „Brak uprawnienia do przesyłania plików tego typu.”. W edytorze blokowym poprzedza go nazwa pliku, a przy przeciąganiu plików do bloku galerii lub obrazka może pojawić się krótsza odmiana o nieobsługiwanym typie pliku. Starsze wydania systemu informowały w tym miejscu, że typ pliku nie jest dozwolony ze względów bezpieczeństwa, stąd w rozmowach i na forach nadal krąży tamto brzmienie. Wszystkie te wersje oznaczają to samo.

Odmowa pojawia się wszędzie tam, gdzie plik przechodzi przez mechanizm przesyłania WordPressa: na ekranie „Media” i „Dodaj plik mediów”, w oknie wyboru mediów w edytorze, w polu logo w ustawieniach motywu, a także w formularzach wtyczek, które korzystają z tej samej funkcji systemu. Miejsce nie ma znaczenia, ponieważ kontrola odbywa się zawsze w ten sam sposób.

Słowo „uprawnienie” bywa mylące. W większości przypadków problemem nie jest rola użytkownika, tylko sam format pliku, który administrator też ma zablokowany. Od roli zależą jedynie dwa wyjątki opisane niżej.

Których komunikatów nie należy z nim mylić?

Przy przesyłaniu plików WordPress wyświetla kilka podobnie wyglądających ostrzeżeń, a każde ma inną przyczynę. Informacja o przekroczeniu dozwolonego rozmiaru dotyczy limitów serwera i rozwiązuje się ją zupełnie inaczej, co opisałem we wpisie o tym, jak zwiększyć limit wgrywanych plików.

Z kolei komunikat „Serwer WWW nie może wygenerować responsywnych rozmiarów obrazu dla tego obrazu. Przed przesłaniem przekonwertuj go na JPEG lub PNG.” oznacza, że format jest dozwolony, ale biblioteka graficzna na serwerze nie potrafi go przetworzyć. Dotyczy to najczęściej plików WebP i AVIF na starszych konfiguracjach hostingu. Podobnie działa ostrzeżenie o braku obsługi zdjęć HEIC z telefonów. W tych sytuacjach lista dozwolonych typów nie wymaga zmian, wystarczy inny format obrazu albo prośba do hostingu o aktualizację biblioteki graficznej.

Dlaczego WordPress odrzuca niektóre pliki?

System ma wbudowaną listę rozszerzeń, które wolno przesyłać. Obejmuje ona typowe obrazy (JPG, PNG, GIF, WebP, AVIF, ICO), dokumenty (PDF, pliki pakietów biurowych), nagrania dźwiękowe i filmy, pliki tekstowe oraz archiwa, w tym ZIP. Plik z rozszerzeniem spoza listy zostaje odrzucony niezależnie od tego, kto go przesyła.

Na liście nie ma między innymi SVG, JSON, XML ani plików czcionek. Powód jest praktyczny: plik SVG to nie obraz złożony z punktów, tylko dokument tekstowy w języku XML, który opisuje kształty. W takim dokumencie da się umieścić skrypt, a przeglądarka wykona go w chwili otwarcia pliku. Niesprawdzony plik SVG w bibliotece mediów może więc posłużyć do przejęcia sesji zalogowanego administratora.

W praktyce odmowa ma jedną z pięciu przyczyn:

• Rozszerzenia nie ma na liście dozwolonych typów. To przypadek SVG, JSON, czcionek WOFF i TTF oraz wielu formatów specjalistycznych.
• Zawartość pliku nie zgadza się z rozszerzeniem. WordPress zagląda do środka pliku i porównuje rzeczywisty typ z nazwą. Zdjęcie PNG zapisane pod nazwą z końcówką .jpg albo plik, któremu ręcznie zmieniono rozszerzenie, zostanie odrzucone, mimo że końcówka jest dozwolona.
• Rola użytkownika nie pozwala na dany typ. Pliki HTML i JS przyjmowane są wyłącznie od użytkowników z prawem do publikowania niefiltrowanego kodu, czyli w pojedynczej witrynie od administratora i redaktora. Autor zobaczy odmowę.
• Witryna działa w sieci witryn. W instalacji wielowitrynowej obowiązuje dodatkowa, zwykle krótsza lista ustawiana przez superadministratora.
• Typ plików ogranicza wtyczka albo hosting. Wtyczki zabezpieczające i zapory na serwerze potrafią zawęzić listę albo zablokować przesyłanie wybranych formatów.

Dwa rozszerzenia, SWF i EXE, system usuwa z listy zawsze i dla każdego. Nie należy ich przywracać.

Jak ustalić, która przyczyna zachodzi?

Zanim cokolwiek zostanie zmienione w ustawieniach, opłaca się poświęcić kilka minut na rozpoznanie. Dzięki temu naprawa obejmie tylko to, co naprawdę blokuje plik, a witryna nie zostanie otwarta szerzej, niż trzeba.

1. Należy odczytać pełne rozszerzenie pliku. W systemie Windows trzeba w Eksploratorze plików włączyć wyświetlanie rozszerzeń nazw plików, a na komputerze Mac otworzyć okno informacji o pliku. Rozszerzenie ukryte przez system bywa inne, niż się wydaje.
2. Rozszerzenie trzeba porównać z opisem z poprzedniej sekcji. Jeśli jest to SVG, JSON, XML albo czcionka, przyczyną jest brak formatu na liście i dalsze kroki rozpoznania można pominąć.
3. Jeśli rozszerzenie należy do typowych (JPG, PNG, PDF, CSV), plik trzeba otworzyć w programie, w którym powstał, i wyeksportować ponownie we właściwym formacie pod nową nazwą. Gdy świeżo zapisana kopia przechodzi bez błędu, przyczyną była niezgodność zawartości z rozszerzeniem.
4. W menu „Użytkownicy” należy sprawdzić rolę konta, z którego przesyłany jest plik. Próba powtórzona z konta administratora pokazuje, czy odmowa zależy od roli.
5. Trzeba ustalić, czy witryna jest częścią sieci witryn. Rozpoznaje się to po pozycji „Moje witryny” na górnym pasku kokpitu. W takim przypadku listę typów ustawia superadministrator sieci.
6. Na koniec należy przejrzeć „Wtyczki” i „Zainstalowane wtyczki” pod kątem narzędzi zabezpieczających oraz takich, które zarządzają typami plików. W ich ustawieniach często znajduje się własna lista dozwolonych rozszerzeń.

Jeżeli plik to obraz w nowszym formacie, pomocny jest jeszcze jeden ekran. W menu „Narzędzia” i „Stan witryny”, na karcie „Informacja”, w sekcji „Obsługa mediów” widać, jakie formaty obsługują biblioteki graficzne serwera. Brak WebP lub AVIF w tym wykazie wyjaśnia ostrzeżenia o przetwarzaniu obrazu, o których była mowa wcześniej.

Czy plik naprawdę musi trafić do biblioteki w tym formacie?

Najbezpieczniejsza zmiana to taka, której nie trzeba wprowadzać. Zanim lista dozwolonych typów zostanie rozszerzona, radzę odpowiedzieć na pytanie, do czego plik ma służyć. W wielu sytuacjach ten sam cel da się osiągnąć formatem, który WordPress przyjmuje od razu.

• Logo lub ikona używana w jednym rozmiarze. Eksport do PNG z przezroczystym tłem albo do WebP w rozdzielczości dwukrotnie większej od wyświetlanej daje ostry obraz na każdym ekranie.
• Plik do pobrania przez klientów. Cennik, projekt czy zestaw czcionek można spakować do archiwum ZIP albo zapisać jako PDF. Oba formaty są na liście.
• Czcionka na stronie. Aktualne motywy blokowe mają własny menedżer czcionek w edytorze witryny, w którym pliki czcionek wgrywa się bez udziału biblioteki mediów.
• Animacja lub dane dla wtyczki. Wtyczki obsługujące animacje i importy zwykle mają własne pole przesyłania, które samo dopuszcza potrzebny format tylko w tym jednym miejscu.

Format SVG ma przewagę wtedy, gdy grafika wyświetla się w wielu rozmiarach, musi pozostać ostra przy dowolnym powiększeniu i ma ważyć jak najmniej. Dotyczy to przede wszystkim logo w nagłówku oraz zestawów ikon. Mały plik graficzny pomaga też w szybkości wczytywania, o której więcej napisałem we wpisie o tym, jak czytać wyniki Core Web Vitals. Jeśli to jest ten przypadek, dalsze sekcje pokazują, jak zrobić to poprawnie.

Kto woli nie zajmować się tym samodzielnie, może zadzwonić pod numer 533 525 168 albo napisać na info@lukaszwudyka.pl, a ja przejmę sprawę: ustalę, dlaczego witryna odrzuca plik, i włączę obsługę potrzebnego formatu tak, żeby nie osłabić zabezpieczeń strony.

Jak bezpiecznie włączyć przesyłanie plików SVG?

Samo dopisanie SVG do listy dozwolonych typów nie wystarcza, bo wtedy do biblioteki trafia plik w takiej postaci, w jakiej został przesłany, razem z ewentualnym skryptem. Potrzebne jest narzędzie, które każdy plik SVG oczyszcza w chwili przesyłania: usuwa skrypty i inne elementy, które nie służą do rysowania.

W katalogu wtyczek WordPressa takie zadanie wykonuje między innymi wtyczka Safe SVG, w polskiej wersji katalogu widoczna jako „Bezpieczny SVG”. Według opisu w katalogu czyści ona pliki SVG podczas przesyłania, pokazuje ich podgląd w bibliotece mediów i pozwala określić, kto może takie pliki dodawać. Podobnie działają inne wtyczki z funkcją oczyszczania, a przy wyborze trzeba zwrócić uwagę właśnie na tę funkcję oraz na to, czy wtyczka jest aktualizowana.

Instalacja i ustawienie ról

1. Przed instalacją należy wykonać kopię zapasową witryny. Sposób, który pozwala ją potem sprawdzić, opisałem we wpisie o tym, jak zrobić kopię zapasową WordPressa.
2. W kokpicie trzeba przejść do menu „Wtyczki” i kliknąć „Dodaj wtyczkę”.
3. W polu wyszukiwania wpisuje się nazwę Safe SVG i na karcie wtyczki sprawdza autora, datę ostatniej aktualizacji oraz zgodność z używaną wersją WordPressa.
4. Należy kliknąć „Zainstaluj”, a po zakończeniu instalacji „Włącz”.
5. W menu „Ustawienia” trzeba otworzyć ekran „Media” i przewinąć go do sekcji „Bezpieczny SVG – ustawienia”.
6. W polu „Role użytkowników” zaznacza się tylko te role, które rzeczywiście potrzebują przesyłać pliki SVG. W większości firm wystarcza sam administrator.
7. Zmianę zatwierdza przycisk „Zapisz zmiany” na dole ekranu.
8. Na koniec należy przejść do „Media” i „Dodaj plik mediów”, przesłać plik SVG i sprawdzić, czy w bibliotece pojawiła się jego miniatura.

W tej samej sekcji ustawień znajduje się opcja „Zezwalaj na duże pliki SVG”. Zgodnie z jej opisem dopuszcza ona pliki większe niż 10 MB i może wpływać na wydajność. Logo ani ikony nie powinny zbliżać się do takiego rozmiaru, dlatego opcję radzę zostawić wyłączoną.

Jak przygotować plik SVG przed wgraniem?

Wiele kłopotów z SVG wynika z samego pliku, a nie z WordPressa. Programy graficzne zapisują w nim dodatkowe dane edycyjne, osadzone zdjęcia i odwołania do czcionek zainstalowanych tylko na komputerze projektanta. Taki plik jest ciężki, a po oczyszczeniu może wyglądać inaczej niż w projekcie.

Przed przesłaniem należy poprosić grafika o eksport w wersji przeznaczonej do internetu albo wykonać go samodzielnie: teksty zamienione na krzywe, brak osadzonych obrazów rastrowych, brak skryptów i animacji, których strona nie potrzebuje. Plik powinien zaczynać się od deklaracji XML, ponieważ bez niej serwer bywa niezdolny do rozpoznania typu i odrzuca plik mimo włączonej obsługi. Pierwszy wiersz poprawnego pliku wygląda tak, a zaraz po nim następuje znacznik otwierający <svg>:

<?xml version="1.0" encoding="UTF-8"?>

Zawartość można sprawdzić, otwierając plik w zwykłym edytorze tekstu. Jeżeli w środku znajduje się znacznik <script> albo długi ciąg znaków po słowie base64, plik wymaga ponownego eksportu. Pliki SVG z nieznanego źródła, na przykład pobrane z przypadkowych serwisów z ikonami, należy traktować z taką samą ostrożnością jak załączniki od nieznanych nadawców.

Jak dopuścić inny format, na przykład JSON albo plik czcionki?

Dla formatów innych niż SVG WordPress udostępnia filtr o nazwie upload_mimes. Dokumentacja dla programistów opisuje go jako filtr listy dozwolonych typów MIME i rozszerzeń plików. Krótki fragment kodu dopisuje do tej listy jedną pozycję, a reszta zabezpieczeń pozostaje bez zmian.

Kod najlepiej umieścić we wtyczce do fragmentów kodu albo w pliku functions.php motywu potomnego. Nie należy wklejać go do motywu głównego, ponieważ pierwsza aktualizacja motywu usunie zmianę. Fragment dopuszczający pliki JSON wyłącznie dla administratorów wygląda tak:

add_filter( 'upload_mimes', function ( $mimes ) {
    if ( current_user_can( 'manage_options' ) ) {
        $mimes['json'] = 'application/json';
    }
    return $mimes;
} );

Warunek z manage_options sprawia, że nowy format mogą przesyłać tylko administratorzy. Pozostałe role nadal zobaczą odmowę, co w tym przypadku jest zamierzone.

1. Należy wykonać kopię zapasową witryny, ponieważ błąd w kodzie PHP potrafi zatrzymać całą stronę.
2. Trzeba zainstalować i włączyć wybraną wtyczkę do fragmentów kodu albo przygotować motyw potomny.
3. Do nowego fragmentu wkleja się kod z powyższego przykładu, zmieniając rozszerzenie i typ MIME na właściwe dla potrzebnego formatu.
4. Fragment należy ustawić tak, aby działał w kokpicie, i go aktywować.
5. W „Media” i „Dodaj plik mediów” trzeba przesłać plik próbny.
6. Jeżeli obsługa formatu była potrzebna jednorazowo, po przesłaniu pliku fragment należy wyłączyć. Plik pozostanie w bibliotece.

Skąd wziąć właściwy typ MIME?

Typ MIME to oficjalna nazwa rodzaju zawartości, na przykład application/json dla JSON, font/woff2 dla czcionek WOFF2 czy font/ttf dla TTF. Trudność polega na tym, że WordPress porównuje wpisaną wartość z tym, co po zbadaniu pliku rozpozna serwer, a różne wersje PHP potrafią ten sam plik nazwać inaczej. Plik JSON bywa rozpoznawany jako text/plain, a czcionka jako application/octet-stream.

Jeśli więc po dodaniu filtra odmowa nadal się pojawia, najczęściej oznacza to właśnie taką rozbieżność. Wtedy w kodzie należy podać typ, który faktycznie rozpoznaje serwer. Informację o tym, jak dany hosting rozpoznaje konkretny plik, można uzyskać od pomocy technicznej hostingu, podając rozszerzenie i wersję PHP.

Tą metodą nie należy dopuszczać SVG, HTML, PHP ani plików wykonywalnych. W ich przypadku samo dopisanie do listy otwiera drogę do ataku, bo żaden mechanizm nie sprawdza, co plik zawiera.

Co zrobić, gdy rozszerzenie jest dozwolone, a plik i tak jest odrzucany?

Ta sytuacja zaskakuje najbardziej: zwykłe zdjęcie albo arkusz CSV, które WordPress powinien przyjąć bez pytań, wywołuje ten sam komunikat. Przyczyną jest kontrola zawartości. System sprawdza, czy to, co znajduje się w pliku, odpowiada jego rozszerzeniu, i odrzuca plik, gdy widzi rozbieżność.

Najczęściej dotyczy to obrazów pobranych z komunikatorów i serwisów społecznościowych, które pod nazwą z końcówką .jpg zapisują w rzeczywistości plik WebP lub PNG. Druga grupa to pliki, którym ktoś ręcznie zmienił rozszerzenie w nazwie. Zmiana nazwy nie zmienia formatu, a WordPress to wykrywa.

Naprawa polega na ponownym zapisaniu pliku we właściwym formacie. Obraz należy otworzyć w dowolnym programie graficznym i użyć funkcji eksportu do JPG lub PNG. Arkusz trzeba zapisać z programu biurowego jako CSV z kodowaniem UTF-8. Dokument tekstowy eksportuje się do PDF. Nowy plik warto nazwać prosto, małymi literami, bez polskich znaków i spacji, z jedną kropką przed rozszerzeniem.

Sieć witryn i pole „Dozwolone typy plików”

W instalacji wielowitrynowej obowiązuje dodatkowa lista. Superadministrator znajduje ją w kokpicie administracji siecią, w menu „Ustawienia” i „Ustawienia sieci”, w części „Ustawienia przesyłania”, w polu „Dozwolone typy plików”. Rozszerzenia wpisuje się tam bez kropek, oddzielone spacjami.

Dokumentacja WordPressa zaznacza przy tym wyraźnie, że dopisanie w tym polu rozszerzenia spoza wbudowanej listy nie zadziała, dopóki ten sam typ nie zostanie dodany filtrem upload_mimes. W sieci witryn potrzebne są więc oba kroki: wpis w polu i fragment kodu albo wtyczka. Administrator pojedynczej witryny w sieci nie ma dostępu do tych ustawień i powinien zwrócić się do osoby zarządzającej całą siecią.

Dlaczego stała ALLOW_UNFILTERED_UPLOADS to zła droga?

W wielu miejscach w sieci jako szybkie rozwiązanie podawany jest jeden wiersz dopisywany do pliku wp-config.php:

define( 'ALLOW_UNFILTERED_UPLOADS', true );

Ten wiersz rzeczywiście usuwa komunikat, ale robi to przez wyłączenie całej kontroli. Administrator, a w sieci witryn superadministrator, może od tej chwili przesłać plik dowolnego typu, także wykonywalny. Jeśli ktoś przejmie hasło do takiego konta, wgra na serwer własny kod w kilka sekund, bez szukania jakiejkolwiek luki.

Odradzam to rozwiązanie na stronach firmowych. Jeżeli stała znajduje się już w pliku wp-config.php, bo dopisał ją ktoś wcześniej, należy ją usunąć i zastąpić jedną z metod opisanych wyżej. Ten sam skutek ma instalowanie wtyczek, które jednym przełącznikiem dopuszczają wszystkie typy plików.

Kiedy lepiej wgrać plik przez FTP?

Część plików w ogóle nie musi przechodzić przez bibliotekę mediów. Plik potwierdzający własność domeny dla zewnętrznej usługi, plik konfiguracyjny albo dokument, do którego prowadzi jeden odnośnik, można umieścić bezpośrednio na serwerze za pomocą klienta FTP lub menedżera plików w panelu hostingu.

Taki plik nie pojawi się w bibliotece i nie da się go wstawić przyciskiem z edytora, ale będzie dostępny pod swoim adresem. Pliki potwierdzające własność umieszcza się w katalogu głównym witryny, obok pliku wp-config.php, a materiały do pobrania w osobnym podkatalogu. Do katalogu wp-content/uploads nie należy tą drogą wgrywać plików PHP ani HTML z nieznanego źródła.

Po czym poznać, że naprawa zadziałała, i co zrobić, gdy nie zadziałała?

Pierwszym znakiem jest brak czerwonego komunikatu i pojawienie się pliku na ekranie „Media” w widoku „Biblioteka”. W przypadku SVG obok nazwy powinna być widoczna miniatura grafiki, a nie pusta ikona dokumentu.

Drugi test to otwarcie pliku pod jego adresem. W szczegółach załącznika należy kliknąć „Skopiuj adres URL do schowka”, a następnie wkleić adres w oknie prywatnym przeglądarki. Plik powinien się wyświetlić albo pobrać bez komunikatu o błędzie.

Trzeci test dotyczy miejsca docelowego. Logo trzeba obejrzeć w nagłówku strony na komputerze i na telefonie, zwracając uwagę na rozmiar i proporcje. Plik SVG bez podanych wymiarów bywa wyświetlany jako bardzo mały albo rozciągnięty na całą szerokość. W takiej sytuacji w ustawieniach bloku lub motywu należy wpisać szerokość w pikselach.

Na koniec radzę wylogować się, zalogować na konto o niższej roli, na przykład autora, i spróbować przesłać ten sam typ pliku. Odmowa oznacza, że ograniczenie ról działa zgodnie z zamierzeniem.

Co zrobić, gdy komunikat nadal się pojawia?

Jeżeli mimo wtyczki lub filtra odmowa wraca, przyczyna leży zwykle w jednym z czterech miejsc. Kolejność sprawdzania ma znaczenie, bo zaczyna się od rzeczy najprostszych.

Po pierwsze, trzeba upewnić się, że konto ma rolę zaznaczoną w ustawieniach wtyczki oraz że fragment kodu jest aktywny i działa w kokpicie. Po drugie, plik należy wyeksportować ponownie, a w przypadku SVG sprawdzić deklarację XML na początku. Po trzecie, na czas jednej próby wyłącza się wtyczki zabezpieczające i te, które zarządzają mediami, a następnie od razu włącza je z powrotem. Jeśli bez którejś z nich plik przechodzi, wyjątek trzeba ustawić w jej opcjach.

Po czwarte, blokada może znajdować się poza WordPressem. Zapora aplikacyjna na serwerze potrafi odrzucać przesyłane pliki z określoną zawartością, zanim dotrą do systemu. Wtedy do pomocy technicznej hostingu wysyła się krótkie zgłoszenie, na przykład: „Podczas przesyłania pliku SVG do biblioteki mediów WordPressa otrzymuję odmowę, mimo że format jest dopuszczony we wtyczce. Proszę o sprawdzenie, czy żądanie nie jest blokowane przez zaporę serwera, i o podanie reguły, która zadziałała.” Do zgłoszenia należy dołączyć adres witryny, godzinę próby i nazwę pliku.

Gdy plik SVG został przyjęty, ale wygląda inaczej niż w projekcie, oczyszczanie usunęło z niego elementy uznane za niebezpieczne lub zbędne. Rozwiązaniem jest ponowny eksport w uproszczonej postaci, a nie wyłączanie oczyszczania.

Jakich błędów unikać przy rozszerzaniu listy typów plików?

Większość kłopotów, które widzę przy tym temacie, nie wynika z samego komunikatu, tylko z pośpiesznych sposobów jego ominięcia. Kilka z nich powtarza się szczególnie często.

• Dopuszczanie SVG bez oczyszczania. Sam filtr z typem obrazu SVG otwiera bibliotekę na pliki ze skryptami.
• Otwieranie formatu dla wszystkich ról. Każde konto, które może przesyłać nowy typ, powiększa obszar ryzyka. Uprawnienie powinno obejmować najmniejszą możliwą grupę.
• Zmiana rozszerzenia w nazwie pliku. Przemianowanie pliku z .svg na .png nie tworzy obrazu PNG. WordPress odrzuci taki plik, a gdyby go przyjął, przeglądarka i tak by go nie wyświetliła.
• Pozostawianie tymczasowych zmian. Fragment kodu dodany dla jednego pliku albo stała w wp-config.php zostają na lata, bo nikt o nich nie pamięta.
• Edycja plików motywu głównego. Zmiany znikają po aktualizacji, a błąd składni wyłącza stronę.
• Przesyłanie plików z niepewnych źródeł. Pliki SVG i archiwa pobrane z przypadkowych serwisów należy sprawdzić przed wgraniem, a najlepiej odtworzyć je samodzielnie.

Jeśli na witrynie przez dłuższy czas działało niekontrolowane przesyłanie plików, a w bibliotece albo na serwerze znajdują się pliki, których nikt z zespołu nie rozpoznaje, trzeba to potraktować poważnie. Kolejność działań w takiej sytuacji opisałem we wpisie o tym, co robić, gdy strona na WordPressie jest zainfekowana.

Najczęstsze pytania

Czy WordPress kiedykolwiek sam zacznie przyjmować SVG?

Obecnie SVG nie znajduje się na wbudowanej liście dozwolonych typów i nic nie wskazuje, żeby miało się to zmienić bez wbudowanego mechanizmu oczyszczania. Do tego czasu bezpiecznym rozwiązaniem pozostaje wtyczka, która czyści pliki podczas przesyłania.

Czy plik SVG szkodzi pozycjonowaniu albo szybkości strony?

Nie. Dobrze przygotowany plik SVG jest zwykle lżejszy od tej samej grafiki w PNG i pozostaje ostry w każdym rozmiarze, co sprzyja szybkości wczytywania. Problemem bywa tylko plik źle wyeksportowany, z osadzonym zdjęciem w środku, który potrafi ważyć więcej niż zwykły obraz.

Dlaczego administrator też widzi informację o braku uprawnienia?

Ponieważ lista dozwolonych typów obowiązuje wszystkie role, a komunikat ma jedno brzmienie niezależnie od przyczyny. Rola decyduje tylko o plikach HTML i JS. W pozostałych przypadkach administrator jest ograniczony tak samo jak każdy inny użytkownik, dopóki format nie zostanie dopuszczony.

Czy można wgrać czcionkę do biblioteki mediów?

Można, po dopuszczeniu jej typu filtrem, ale rzadko jest to potrzebne. Motywy blokowe mają własny menedżer czcionek w edytorze witryny, a wiele kreatorów stron ma osobne pole na własne czcionki. Przy korzystaniu z czcionek trzeba też sprawdzić, czy licencja pozwala na użycie w internecie.

Czy wyłączenie wtyczki do SVG usunie wgrane pliki?

Pliki pozostaną w bibliotece i nadal będą się wyświetlać na stronie. Zniknie możliwość przesyłania kolejnych oraz podgląd miniatur w kokpicie. Po ponownym włączeniu wtyczki wszystko wraca do poprzedniego stanu.

Plik WebP jest dozwolony, a mimo to nie daje się wgrać. Dlaczego?

Format znajduje się na liście, ale biblioteka graficzna serwera musi umieć go przetworzyć, żeby WordPress mógł przygotować mniejsze wersje obrazu. Jeśli w „Stan witryny”, w sekcji „Obsługa mediów”, formatu nie ma w wykazie, należy poprosić hosting o aktualizację albo przesłać obraz jako JPG lub PNG.

Czy zwykły użytkownik strony może przesłać niebezpieczny plik przez formularz?

Formularze z polem załącznika mają własne listy dozwolonych rozszerzeń, ustawiane w opcjach wtyczki formularza. Należy ograniczyć je do formatów, które firma rzeczywiście przyjmuje, na przykład PDF i JPG, oraz ustawić limit rozmiaru. Załączników z formularzy nie powinno się otwierać bez sprawdzenia programem antywirusowym.

Czy po aktualizacji WordPressa ustawienia typów plików trzeba powtarzać?

Nie, jeśli zostały wprowadzone wtyczką albo fragmentem kodu poza motywem głównym. Aktualizacja systemu nie usuwa takich zmian. Po większej aktualizacji radzę jednak przesłać plik próbny, ponieważ sposób rozpoznawania typów na serwerze może się zmienić razem z wersją PHP.

Brak czasu albo ochoty, żeby zająć się tym samodzielnie?

Nie każdy właściciel firmy chce instalować wtyczki, wklejać kod i sprawdzać, co kryje się w pliku od grafika, i jest to w pełni zrozumiałe. Mogę zająć się tym od początku do końca: ustalę, dlaczego witryna odrzuca plik, przygotuję go do wgrania, włączę obsługę potrzebnego formatu tylko dla właściwych kont, sprawdzę, czy grafika poprawnie wyświetla się na stronie, i usunę ryzykowne ustawienia, jeśli ktoś dodał je wcześniej.

Wystarczy zadzwonić pod numer 533 525 168 albo napisać na adres info@lukaszwudyka.pl i opisać w dwóch zdaniach, jaki plik sprawia kłopot. Odpowiem, co da się zrobić i ile to potrwa.