Na liście wtyczek w kokpicie WordPressa łatwo przeoczyć rozszerzenie, które od dawna nie dostało żadnej aktualizacji. Strona działa, formularz wysyła wiadomości, galeria się wyświetla, więc nikt do tej wtyczki nie zagląda. Problem ujawnia się zwykle dopiero przy okazji: po aktualizacji WordPressa, po zmianie wersji PHP na serwerze albo wtedy, gdy na stronie wtyczki w katalogu WordPress.org pojawia się żółte ostrzeżenie o braku testów z nowymi wydaniami systemu. Ten tekst jest dla właścicieli firm, którzy sami opiekują się swoją stroną i chcą wiedzieć, czy taka wtyczka to realne zagrożenie, czy tylko nieszkodliwa zaległość.
Sam upływ czasu od ostatniej aktualizacji nie przesądza jeszcze o niczym. Są proste wtyczki, które robią jedną rzecz i przez lata nie wymagają zmian, i są takie, które autor porzucił razem z niezałataną luką. Po lekturze tej instrukcji czytelnik będzie umiał odczytać informacje ze strony wtyczki w katalogu, odróżnić wtyczkę zaniedbaną od zamkniętej, ocenić ryzyko dla własnej witryny, zabezpieczyć się na czas poszukiwań, wybrać następcę według jasnych kryteriów i przeprowadzić wymianę tak, żeby nie stracić danych ani nie wyłączyć strony.
Najważniejsze w skrócie
- Żółte ostrzeżenie w katalogu WordPress.org wynika z pola „Testowano do”, a nie z samej daty ostatniej aktualizacji wtyczki.
- Najpoważniejszym sygnałem jest czerwony komunikat o zamknięciu wtyczki, zwłaszcza z powodem „Problem bezpieczeństwa”: taką wtyczkę należy wymienić w pierwszej kolejności.
- Ryzyko zależy od tego, co wtyczka robi: obsługa logowania, formularzy, płatności i wgrywania plików jest groźniejsza niż drobna zmiana wyglądu.
- Przed każdą zmianą trzeba wykonać kopię bazy danych i plików, a wymianę najlepiej przećwiczyć na kopii testowej strony.
- Wyłączona wtyczka nadal leży na serwerze, dlatego po udanej wymianie starą wtyczkę usuwa się poleceniem „Usuń” na ekranie „Zainstalowane wtyczki”.
Po czym poznać, że wtyczka nie jest już rozwijana?
Najpewniejszym miejscem do sprawdzenia stanu wtyczki jest jej strona w katalogu WordPress.org, w polskiej wersji pod adresem pl.wordpress.org/plugins. Po prawej stronie znajduje się tam ramka z danymi: „Wersja”, „Ostatnia aktualizacja”, „Włączone instalacje”, „Wersja WordPressa”, „Testowano do” oraz „Wersja PHP”. Pole „Ostatnia aktualizacja” podaje, ile czasu minęło od ostatniego wydania, a pole „Testowano do” wskazuje najnowszą wersję WordPressa, z którą autor zadeklarował zgodność. To właśnie te dwa pola razem mówią najwięcej o tym, czy ktoś jeszcze się wtyczką opiekuje.
Jeżeli autor od dawna nie potwierdził zgodności, nad nazwą wtyczki wyświetla się żółta ramka o treści: „Wtyczka nie została przetestowana z trzema ostatnimi głównymi wydaniami WordPressa. Może nie być już utrzymywana lub obsługiwana, co może skutkować problemem ze zgodnością z nowszymi wersjami WordPressa”. Z dokumentacji dla autorów wtyczek wynika, że dawniej takie ostrzeżenie zależało od tego, czy wtyczka była aktualizowana w ciągu dwóch lat, a obecnie opiera się na deklaracji zgodności. Autor może ją odświeżyć samą zmianą w pliku opisu, bez wydawania nowej wersji. W praktyce oznacza to, że ostrzeżenie bywa widoczne przy wtyczce niedawno aktualizowanej, a jego brak nie dowodzi jeszcze, że kod jest na bieżąco poprawiany.
Drugi, znacznie poważniejszy komunikat ma kolor czerwony i informuje, że wtyczka została zamknięta i nie jest dostępna do pobrania. Według dokumentacji katalogu po sześćdziesięciu dniach od zamknięcia komunikat zostaje uzupełniony o ogólny powód, na przykład „Powód: Problem bezpieczeństwa”. Zamkniętej wtyczki nie da się już zainstalować z kokpitu ani pobrać ze strony, ale na witrynach, na których była zainstalowana wcześniej, nadal działa. Dokumentacja nie przewiduje powiadamiania użytkowników o zamknięciu, dlatego właściciel strony dowiaduje się o nim tylko wtedy, gdy sam zajrzy do katalogu.
Sprawdzenie jednej wtyczki zajmuje kilka minut i warto zrobić je dla każdego rozszerzenia, które budzi wątpliwości. Kolejność czynności jest następująca.
- Otwarcie listy wtyczek W kokpicie należy przejść do menu „Wtyczki” i ekranu „Zainstalowane wtyczki”, a następnie odszukać wtyczkę na liście.
- Odczytanie szczegółów w kokpicie Pod opisem wtyczki znajduje się odnośnik „Zobacz szczegóły”. Otwiera on okno z polami „Ostatnia aktualizacja:”, „Wymagana wersja WordPressa:” i „Kompatybilna do wersji:”.
- Przejście na stronę wtyczki w katalogu W przeglądarce trzeba otworzyć pl.wordpress.org/plugins i w polu „Szukaj wtyczek” wpisać nazwę rozszerzenia. Na stronie wtyczki widać ewentualną żółtą lub czerwoną ramkę.
- Porównanie pola „Testowano do” z wersją własnej witryny Wersję WordPressa na własnej stronie pokazuje ekran „Kokpit” w części „Aktualizacje”. Im większa różnica między obiema wartościami, tym mniejsza pewność, że wtyczka zachowa się poprawnie.
- Przejrzenie kart „Wsparcie” i „Recenzje” Świeże wątki bez odpowiedzi autora i powtarzające się zgłoszenia tych samych błędów potwierdzają, że nikt już nie reaguje na problemy użytkowników.
Jeżeli wtyczki nie ma w katalogu, bo została kupiona u producenta albo dostarczona razem z motywem, te same informacje trzeba ustalić u źródła: na stronie producenta, w dzienniku zmian i w panelu klienta. Częstą przyczyną braku aktualizacji takich wtyczek jest wygasła licencja, a nie porzucenie projektu. Wtedy kokpit po prostu nie pobiera nowych wersji, choć producent je wydaje. Przed szukaniem następcy należy więc sprawdzić, czy wystarczy odnowić licencję albo wpisać klucz ponownie.
Co naprawdę oznacza brak aktualizacji i kiedy staje się groźny?
Brak aktualizacji może mieć kilka przyczyn i każda z nich prowadzi do innego wniosku. Pierwsza jest niegroźna: wtyczka jest mała, wykonuje jedno proste zadanie i autor uznał ją za ukończoną. Druga to porzucenie: autor zmienił zajęcie, sprzedał projekt albo stracił nim zainteresowanie, a zgłoszenia na karcie „Wsparcie” zostają bez odpowiedzi. Trzecia to zamknięcie wtyczki w katalogu. Dokumentacja wymienia jako powody zamknięcia prośbę autora, naruszenie wytycznych, naruszenie licencji lub znaku towarowego, włączenie funkcji do samego WordPressa oraz problem bezpieczeństwa. Czwarta dotyczy wtyczek spoza katalogu, przy których aktualizacje przestały docierać z powodu licencji.
Zagrożenie bierze się z dwóch stron. Po pierwsze, WordPress i PHP stale się zmieniają, a kod pisany pod dawne wersje może po kolejnej aktualizacji przestać działać albo wywołać błąd całej witryny. Po drugie, w każdym oprogramowaniu z czasem znajdowane są luki, a w porzuconej wtyczce nikt ich nie poprawi. Dokumentacja WordPressa przypomina przy tym, że wtyczki mają głęboki dostęp do witryny. Błąd w jednej z nich może więc otworzyć drogę do bazy danych, kont użytkowników i plików na serwerze, nawet jeżeli sama wtyczka służy tylko do wyświetlania drobnego elementu.
Poniższe zestawienie pomaga szybko przypisać zauważony sygnał do znaczenia i do właściwej reakcji. Wiersze są ułożone od sytuacji najspokojniejszej do najpilniejszej.
| Co widać | Co to oznacza | Co zrobić |
|---|---|---|
| Dawna aktualizacja, brak ostrzeżeń, autor odpowiada na karcie „Wsparcie” | Wtyczka jest prosta i nadal ma opiekuna. | Zostawić, wracać do sprawdzenia po większych aktualizacjach WordPressa. |
| Żółta ramka o braku testów z trzema ostatnimi wydaniami | Autor nie potwierdził zgodności, wtyczka może nie być utrzymywana. | Ocenić ryzyko i zaplanować wymianę w spokojnym terminie. |
| Żółta ramka i wątki bez odpowiedzi autora | Wtyczka jest najpewniej porzucona. | Poszukać następcy i wymienić przy najbliższej okazji. |
| Czerwona ramka o zamknięciu, bez podanego powodu | Wtyczka została wycofana z katalogu, powód pojawi się później. | Traktować jak pilną sprawę, przygotować wymianę od razu. |
| Czerwona ramka z powodem „Problem bezpieczeństwa” | We wtyczce znaleziono lukę, której nie poprawiono. | Wyłączyć i zastąpić w pierwszej kolejności. |
| Wtyczka kupiona u producenta, brak nowych wersji w kokpicie | Możliwa wygasła licencja albo koniec produktu. | Sprawdzić licencję i komunikaty producenta. |
Jedno zastrzeżenie dotyczy wiersza z czerwoną ramką. Z dokumentacji wynika, że zespół katalogu nie ujawnia szczegółów zamknięcia, a wtyczki zgłoszone z powodu luki są zwykle zamykane do czasu poprawki. Część z nich wraca po naprawie, ale właściciel strony nie ma na to wpływu ani nie zna terminu. Dlatego przy zamkniętej wtyczce radzę nie czekać na rozwój wydarzeń, tylko od razu przygotować wymianę. Jeżeli wtyczka wróci do katalogu z nową wersją, zawsze można przy niej zostać.
Kto woli nie zajmować się tym samodzielnie, może zadzwonić pod numer 533 525 168 albo napisać na info@lukaszwudyka.pl. Przejrzę wtedy wszystkie wtyczki na stronie, wskażę te, które wymagają wymiany, dobiorę następców i przeprowadzę zmianę razem z przeniesieniem ustawień i danych.
Jak ocenić ryzyko konkretnej wtyczki na własnej stronie?
Ocena ryzyka sprowadza się do trzech pytań: co wtyczka robi, jak bardzo strona od niej zależy i co dzieje się w jej otoczeniu technicznym. Odpowiedzi nie wymagają czytania kodu. Wystarczą informacje z kokpitu, ze strony wtyczki w katalogu oraz z ekranu „Stan witryny”, dostępnego w menu „Narzędzia”. Wynik tej oceny decyduje o tempie działania: jedne wtyczki należy wymienić jeszcze tego samego dnia, inne mogą spokojnie poczekać na dogodny termin.
Co wtyczka robi i z jakimi danymi ma kontakt?
Najwyższe ryzyko niosą wtyczki, które przyjmują dane od odwiedzających albo decydują o dostępie. Należą do nich formularze, logowanie i rejestracja użytkowników, płatności, wgrywanie plików, kopie zapasowe, menedżery plików oraz wszelkie rozszerzenia, które łączą się z zewnętrznymi usługami. Luka w takim miejscu daje napastnikowi bezpośrednią drogę do danych klientów albo do przejęcia konta administratora. Niżej na skali znajdują się wtyczki działające wyłącznie w kokpicie i widoczne tylko dla zalogowanego administratora. Najmniej groźne są drobne dodatki, które zmieniają wygląd jednego elementu i niczego nie zapisują.
Drugą częścią tego pytania jest zależność strony od wtyczki. Trzeba ustalić, co stanie się po jej wyłączeniu: czy zniknie formularz kontaktowy, czy w treści wpisów pojawią się nieobsłużone znaczniki w nawiasach kwadratowych, czy przestanie działać koszyk. Im więcej treści i danych wtyczka przechowuje we własnym formacie, tym trudniejsza będzie wymiana i tym wcześniej warto ją zaplanować. Dobrym zwyczajem jest zapisanie w jednym dokumencie, na których podstronach wtyczka jest używana i jakie ustawienia zawiera, bo ta lista przyda się później przy testach.
Co mówi otoczenie techniczne: WordPress, PHP i ekran „Stan witryny”?
Stara wtyczka najczęściej zawodzi w chwili zmiany wersji PHP na serwerze. Firmy hostingowe wycofują stare wersje, a kod pisany pod nie może po przełączeniu wyświetlać ostrzeżenia albo zatrzymać całą witrynę. Dlatego przed planowaną zmianą PHP porzucone wtyczki należy sprawdzić w pierwszej kolejności, najlepiej zgodnie z opisem w tekście o tym, jak przetestować zmianę wersji PHP przed przełączeniem. Pole „Wersja PHP” na stronie wtyczki podaje tylko minimalne wymaganie, więc nie odpowiada na pytanie, czy kod zadziała z wersją najnowszą.
Ekran „Stan witryny” ma dwie karty. Karta „Status” pokazuje problemy krytyczne i zalecane usprawnienia, między innymi oczekujące aktualizacje wtyczek, przestarzałą wersję PHP oraz zalecenie „Usuń wyłączone wtyczki”. Karta „Informacja” zawiera listę wszystkich wtyczek z numerami wersji, autorami i stanem automatycznych aktualizacji, a jej zawartość można skopiować do schowka jednym przyciskiem. Taki spis warto wkleić do dokumentu i uzupełnić o dane z katalogu: datę ostatniej aktualizacji, wartość pola „Testowano do” i ewentualne ostrzeżenia. Powstaje wtedy prosta lista, na której od razu widać, czym trzeba zająć się najpierw. Sposób czytania zaleceń z tego ekranu opisałem osobno w tekście o tym, jak korzystać z narzędzia Kondycja witryny.
Co zrobić od razu, zanim znajdzie się zamiennik?
Pierwszą czynnością jest zawsze kopia zapasowa. Dokumentacja WordPressa podkreśla, że do pełnego odtworzenia strony potrzebne są dwie rzeczy: baza danych i pliki, przy czym kopia plików nie zawiera bazy. Zaleca też przechowywanie kilku ostatnich kopii w różnych miejscach, na przykład na serwerze, w chmurze i na własnym komputerze. Przed wymianą wtyczki ma to szczególne znaczenie, bo usunięcie rozszerzenia może skasować jego dane z bazy. Kto nie ma pewności, czy jego kopia naprawdę da się odtworzyć, powinien najpierw przeczytać, jak wykonać i sprawdzić kopię zapasową WordPressa.
Druga decyzja dotyczy tego, czy wtyczka może działać do czasu wymiany. Jeżeli w katalogu widnieje czerwona ramka z powodem związanym z bezpieczeństwem, a wtyczka przyjmuje dane od odwiedzających, uważam, że należy ją wyłączyć od razu, nawet kosztem chwilowego braku jednej funkcji na stronie. Formularz można na kilka dni zastąpić widocznym adresem e-mail i numerem telefonu. Jeżeli ostrzeżenie jest tylko żółte, a strona działa poprawnie, wtyczka może zwykle pozostać włączona na czas poszukiwań, pod warunkiem że WordPress, motyw i pozostałe wtyczki są aktualne.
Trzecia sprawa to wtyczki, które są wyłączone, ale nadal zainstalowane. Samo wyłączenie nie usuwa plików z serwera. WordPress na ekranie „Stan witryny” ostrzega, że wyłączone wtyczki są kuszącym celem ataków, i zaleca usunięcie tych, które nie będą używane. Porzucona wtyczka pozostawiona w stanie wyłączonym nie rozwiązuje więc problemu, tylko go ukrywa. Wyjątkiem jest krótki okres testów po wymianie, o którym mowa dalej.
Czwarta czynność dotyczy sytuacji, w której właściciel strony sam natrafił na lukę albo otrzymał o niej wiarygodną informację. Dokumentacja katalogu prosi, żeby takich spraw nie opisywać publicznie na forum, ponieważ rozgłos częściej zwiększa liczbę ataków, niż przyspiesza poprawkę. Zgłoszenie wysyła się na adres plugins@wordpress.org, podając zwięzły opis problemu, odnośnik do wtyczki i informację, czy problem został samodzielnie potwierdzony. Przy poważnych sprawach dokumentacja zaleca też wcześniejszą próbę prywatnego kontaktu z autorem.
Jak znaleźć zamiennik, który nie powtórzy tego samego problemu?
Poszukiwania warto zacząć od pytania, czy wtyczka jest w ogóle jeszcze potrzebna. Wiele dawnych rozszerzeń dodawało funkcje, które z czasem trafiły do samego WordPressa albo do motywu: galerie, przyciski, kolumny, proste tabele, osadzanie filmów. Jednym z powodów zamknięcia wtyczki w katalogu jest właśnie włączenie jej funkcji do systemu. Zdarza się też, że tę samą rzecz potrafi już inna wtyczka zainstalowana na stronie, na przykład rozbudowany pakiet do formularzy albo do optymalizacji. Każda wtyczka mniej to mniej kodu do pilnowania, więc rezygnacja bywa lepszym rozwiązaniem niż zamiana jeden do jednego.
Jeżeli następca jest potrzebny, najbezpieczniej szukać go w kokpicie, w menu „Wtyczki” na ekranie „Dodaj wtyczkę”. Pole „Szukaj wtyczek” przyjmuje słowa opisujące funkcję, a wyniki pokazują dla każdej pozycji ocenę użytkowników, datę ostatniej aktualizacji i informację o zgodności z wersją WordPressa działającą na stronie. Przy pozycjach bez potwierdzonej zgodności wyświetla się napis „Nie testowano z twoją wersją WordPressa”. Odnośnik „Więcej szczegółów” otwiera pełny opis z polami „Ostatnia aktualizacja:”, „Kompatybilna do wersji:” i „Używane instalacje:”. Dopiero po tej lekturze ma sens przejście na stronę kandydata w katalogu i sprawdzenie kart „Wsparcie” oraz „Rozwój”.
Kandydata oceniam zawsze według tych samych kilku kryteriów i polecam trzymać się ich bez wyjątków.
- Pole „Testowano do” powinno wskazywać bieżące albo poprzednie główne wydanie WordPressa, a na stronie wtyczki nie może być żółtej ani czerwonej ramki.
- Na karcie „Wsparcie” autor odpowiada na zgłoszenia, a problemy użytkowników nie zostają bez reakcji przez długie tygodnie.
- Liczba w polu „Włączone instalacje” jest na tyle duża, że błędy są szybko zauważane i zgłaszane przez innych użytkowników.
- Wtyczka robi to, co jest potrzebne, i niewiele ponad to. Rozbudowany pakiet instalowany dla jednej drobnej funkcji oznacza więcej kodu i więcej ustawień do pilnowania.
- Opis albo dokumentacja wtyczki wspomina o przeniesieniu danych z poprzedniego rozwiązania, jeżeli stara wtyczka przechowuje własne treści, na przykład formularze, galerie lub przekierowania.
Osobnego omówienia wymagają dwie pokusy. Pierwszą jest pobranie zamkniętej wtyczki albo jej „poprawionej” wersji z przypadkowej strony w sieci. Takie pliki nie przechodzą żadnej kontroli i bywają nośnikiem złośliwego kodu, dlatego stanowczo odradzam tę drogę. Drugą jest samodzielne poprawianie starej wtyczki w edytorze plików w kokpicie. Zmiana w kodzie na działającej stronie może ją natychmiast wyłączyć, a rozwiązuje najwyżej jeden widoczny błąd, nie zaś brak opieki nad całością. Dokumentacja katalogu dopuszcza przejęcie porzuconej wtyczki przez nowego opiekuna, dlatego warto sprawdzić, czy pod podobną nazwą nie działa już jej oficjalna kontynuacja. Powinna ona jednak znajdować się w katalogu WordPress.org i spełniać te same kryteria co każdy inny kandydat.
Jak bezpiecznie wymienić starą wtyczkę na nową?
Wymiana przebiega bez niespodzianek, gdy jest najpierw przećwiczona poza działającą stroną. Wiele firm hostingowych udostępnia w panelu funkcję tworzenia kopii testowej, a jeżeli jej nie ma, taką kopię można przygotować samodzielnie. Sposób opisałem w tekście o tym, jak utworzyć kopię testową strony na WordPressie. Na kopii widać od razu, co dzieje się z treścią po wyłączeniu starej wtyczki i czy nowa poprawnie przejmuje jej zadania. Dopiero sprawdzony przebieg powtarza się na właściwej stronie, najlepiej w porze najmniejszego ruchu.
Poniższa kolejność sprawdza się zarówno na kopii testowej, jak i na stronie produkcyjnej.
- Wykonanie kopii zapasowej Należy zapisać kopię bazy danych i plików oraz upewnić się, że obie części są kompletne i dostępne poza serwerem.
- Spisanie ustawień i miejsc użycia Trzeba zanotować ustawienia starej wtyczki, najlepiej ze zrzutami ekranu, oraz listę podstron, na których jest używana. Jeżeli wtyczka ma własną funkcję eksportu, należy z niej skorzystać.
- Instalacja następcy Na ekranie „Dodaj wtyczkę” przy wybranej pozycji należy kliknąć „Zainstaluj”, a potem „Włącz”. Na tym etapie obie wtyczki mogą być zainstalowane jednocześnie, o ile nie wykonują tej samej czynności w tym samym miejscu strony.
- Odtworzenie ustawień i przeniesienie danych W nowej wtyczce odtwarza się ustawienia z notatek albo uruchamia import, jeżeli autor go przewidział. Elementy osadzone w treści, na przykład formularze, wstawia się na podstronach od nowa.
- Wyłączenie starej wtyczki Na ekranie „Zainstalowane wtyczki” przy starej wtyczce należy kliknąć „Wyłącz”. Pliki i dane wtyczki pozostają na razie na serwerze, więc w razie potrzeby można ją włączyć ponownie.
- Sprawdzenie strony Trzeba przejść przez wszystkie podstrony z listy, wysłać próbny formularz, złożyć próbne zamówienie i obejrzeć stronę na telefonie. Wynik warto porównać z notatkami z drugiego kroku.
- Usunięcie starej wtyczki Po kilku dniach bez problemów przy wyłączonej wtyczce należy kliknąć „Usuń” i potwierdzić pytanie o usunięcie wtyczki wraz z danymi.
Ostatni krok jest nieodwracalny i wymaga chwili uwagi. WordPress pyta przy usuwaniu, czy na pewno usunąć wtyczkę „wraz z danymi”, ponieważ rozszerzenie może przy tej okazji skasować własne ustawienia i tabele z bazy. Jeżeli stara wtyczka przechowywała coś wartościowego, na przykład zapisane zgłoszenia z formularza, trzeba to wcześniej wyeksportować albo przepisać. Z drugiej strony nie każda wtyczka sprząta po sobie, więc po usunięciu w bazie mogą pozostać jej wpisy. Zwykle nie szkodzą one działaniu strony, a ręczne czyszczenie bazy bez kopii i bez doświadczenia jest ryzykowne, dlatego lepiej zostawić je w spokoju albo zlecić to osobie, która zna strukturę bazy.
Zdarza się, że kokpit nie pozwala usunąć wtyczki, na przykład z powodu ograniczeń serwera. Dokumentacja WordPressa opisuje wtedy drogę ręczną: po wyłączeniu wtyczki należy połączyć się z serwerem przez menedżer plików, przejść do katalogu wp-content/plugins i usunąć folder tej wtyczki. Trzeba przy tym zachować ostrożność i usunąć wyłącznie właściwy folder, ponieważ w tym samym katalogu znajdują się wszystkie pozostałe wtyczki. Ręczne usunięcie folderu nie uruchamia sprzątania danych w bazie, co w tym wypadku oznacza jedynie tyle, że ustawienia starej wtyczki w niej pozostaną.
Po czym poznać, że wymiana się udała, i co zrobić, gdy coś przestało działać?
O powodzeniu świadczy kilka prostych obserwacji. Wszystkie podstrony z przygotowanej listy wyglądają tak jak przed zmianą i nie widać na nich znaczników w nawiasach kwadratowych pozostawionych przez starą wtyczkę. Próbne zgłoszenie z formularza dociera na skrzynkę, a próbne zamówienie przechodzi do końca. Na ekranie „Stan witryny” nie przybyło problemów krytycznych, a po usunięciu starej wtyczki zniknęło zalecenie dotyczące wyłączonych wtyczek. Na liście „Zainstalowane wtyczki” nie ma już pozycji, przy której katalog wyświetla żółtą lub czerwoną ramkę. Kontrolę warto powtórzyć po kilku dniach, bo część funkcji, na przykład zaplanowane wysyłki, ujawnia błędy z opóźnieniem.
Jeżeli po wyłączeniu starej wtyczki część strony przestała działać, najprostszym wyjściem jest ponowne jej włączenie i spokojne ustalenie, czego zabrakło. Zwykle chodzi o element osadzony w treści, którego nowa wtyczka nie rozpoznaje, albo o ustawienie, które nie zostało odtworzone. Gdy problem pojawił się po włączeniu nowej wtyczki, dokumentacja WordPressa podpowiada sprawdzoną metodę: wyłączać wtyczki po jednej, aż błąd ustąpi, co pozwala wskazać parę rozszerzeń, które sobie przeszkadzają. Jeśli strona przestała się w ogóle wyświetlać, WordPress wysyła na adres administratora wiadomość z odnośnikiem do trybu odzyskiwania, a w ostateczności pozostaje odtworzenie kopii wykonanej przed zmianą.
Najczęstsze błędy przy tej operacji powtarzają się od lat i wszystkie da się ominąć. Pierwszym jest usunięcie starej wtyczki przed sprawdzeniem, co przechowuje, przez co giną zapisane zgłoszenia lub konfiguracja. Drugim jest wymiana bez kopii zapasowej albo z kopią samych plików, bez bazy danych. Trzecim jest pozostawienie starej wtyczki w stanie wyłączonym na stałe. Czwartym jest uruchomienie dwóch wtyczek do tego samego zadania i pozostawienie obu włączonych, co prowadzi do podwójnych wiadomości, podwójnych znaczników lub konfliktów. Piątym jest potraktowanie sprawy jako jednorazowej: przegląd listy wtyczek radzę powtarzać po każdej większej aktualizacji WordPressa, bo to wtedy ostrzeżenia w katalogu pojawiają się przy kolejnych rozszerzeniach.
Najczęstsze pytania
Czy wtyczka bez aktualizacji od dwóch lat zawsze jest niebezpieczna?
Nie zawsze. Mała wtyczka wykonująca jedno proste zadanie może przez długi czas nie wymagać zmian. O ryzyku decyduje to, co wtyczka robi, czy autor odpowiada na zgłoszenia i czy w katalogu WordPress.org nie pojawiło się przy niej ostrzeżenie. Wtyczka obsługująca formularze, logowanie, płatności albo wgrywanie plików, przy której nikt nie reaguje na zgłoszenia, wymaga wymiany znacznie pilniej niż dodatek zmieniający wygląd jednego elementu.
Co oznacza żółte ostrzeżenie o braku testów z trzema ostatnimi wydaniami WordPressa?
Oznacza, że autor nie potwierdził zgodności wtyczki z trzema ostatnimi głównymi wydaniami WordPressa. Ostrzeżenie opiera się na wartości pola „Testowano do”, a nie na dacie ostatniej aktualizacji. Autor może je usunąć samą zmianą deklaracji w pliku opisu, bez wydawania nowej wersji. Komunikat nie dowodzi, że wtyczka jest wadliwa, ale jest wyraźnym powodem, żeby sprawdzić kartę „Wsparcie” i ocenić ryzyko.
Czy zamknięta wtyczka przestaje działać na stronie?
Nie. Zamknięcie w katalogu oznacza, że wtyczki nie można już pobrać ani zainstalować z kokpitu, ale na witrynach, na których jest zainstalowana, działa dalej. Nie będzie jednak otrzymywać aktualizacji, dopóki pozostaje zamknięta. Według dokumentacji katalogu po sześćdziesięciu dniach przy komunikacie pojawia się ogólny powód zamknięcia. Jeżeli jest nim problem bezpieczeństwa, wtyczkę należy wyłączyć i zastąpić w pierwszej kolejności.
Czy wystarczy wyłączyć starą wtyczkę, bez jej usuwania?
Na krótko tak, na stałe nie. Wyłączenie zatrzymuje działanie wtyczki, ale jej pliki pozostają na serwerze. WordPress na ekranie „Stan witryny” wprost zaleca usuwanie wyłączonych wtyczek, których nie planuje się używać, ponieważ mogą stać się celem ataku. Rozsądne jest pozostawienie starej wtyczki w stanie wyłączonym na kilka dni testów po wymianie, a następnie usunięcie jej poleceniem „Usuń” na ekranie „Zainstalowane wtyczki”.
Czy po usunięciu wtyczki znikają jej dane z bazy?
To zależy od wtyczki. WordPress przy usuwaniu pyta o potwierdzenie usunięcia wtyczki „wraz z danymi”, ponieważ rozszerzenie może wtedy skasować własne ustawienia i tabele. Część wtyczek tego nie robi i pozostawia wpisy w bazie. Dlatego przed usunięciem trzeba wyeksportować wszystko, co ma wartość, a po usunięciu nie należy czyścić bazy ręcznie bez kopii zapasowej i bez pewności, do czego dany wpis służy.
Skąd wiadomo, że nowa wtyczka nie zostanie porzucona za rok?
Pewności nie daje nic, ale ryzyko da się wyraźnie ograniczyć. Warto wybierać wtyczki z aktualną wartością pola „Testowano do”, z autorem odpowiadającym na karcie „Wsparcie” i z dużą liczbą włączonych instalacji. Dobrze jest też unikać rozwiązań, które zapisują treść w formacie niemożliwym do przeniesienia. Im prościej da się wyeksportować dane z wtyczki, tym mniej bolesna będzie ewentualna kolejna wymiana.
Źródła
- Alerts and Warnings – Plugin Handbook, Developer.WordPress.org
- Plugin Developer FAQ – Plugin Handbook, Developer.WordPress.org
- Reporting Plugin Security Issues – Plugin Handbook, Developer.WordPress.org
- Manage Plugins – Documentation, WordPress.org
- Plugins Add New screen – Documentation, WordPress.org
- Site Health screen – Documentation, WordPress.org
- Backups – Advanced Administration Handbook, Developer.WordPress.org
- Importer WordPressa – Wtyczka WordPress, WordPress.org Polska
Brak czasu albo ochoty, żeby zająć się tym samodzielnie?
Przegląd wtyczek nie jest trudny, ale wymaga spokoju, kopii zapasowej i kilku godzin, których w prowadzeniu firmy często brakuje. Mogę zrobić to w całości: sprawdzę każdą wtyczkę na stronie w katalogu i u producenta, oznaczę te, które są porzucone lub zamknięte, i ocenię, które z nich stanowią realne zagrożenie. Następnie dobiorę następców, przećwiczę wymianę na kopii testowej, przeniosę ustawienia i dane, a po zmianie sprawdzę działanie formularzy, zamówień i wszystkich podstron.
Po zakończeniu pracy przekazuję krótką listę: co zostało wymienione, co usunięte, co może zostać i kiedy warto wrócić do kolejnego przeglądu. Wystarczy zadzwonić pod numer 533 525 168 albo napisać na adres info@lukaszwudyka.pl i podać adres strony. Odpowiem, od czego warto zacząć i ile pracy to oznacza.
