Za dużo wtyczek to też ryzyko - jak ocenić co naprawdę jest potrzebne

Jeden z pierwszych kroków, jakie robię przeglądając nową dla mnie stronę na WordPressie, to lista zainstalowanych wtyczek. Bardzo często wygląda to podobnie: trzydzieści, czterdzieści pozycji, z czego kilkanaście oznaczonych jako nieaktywne, kilka z nazwami, które nic nikomu nie mówią, a właściciel strony na pytanie "po co ta wtyczka" odpowiada wzruszeniem ramion. To nie jest wyjątek - to standard.

Skąd się biorą te wtyczki

Strony rzadko rozrastają się w przemyślany sposób. Ktoś instaluje wtyczkę, żeby przetestować jedną funkcję, funkcja się nie przyjęła, ale wtyczka zostaje. Kolejna osoba pracująca przy stronie - inny freelancer, inna agencja - dokłada swoje ulubione narzędzia, nie sprawdzając, czy coś podobnego już nie jest zainstalowane. Do tego dochodzą wtyczki instalowane "na próbę", żeby sprawdzić czy coś zadziała, i po prostu nigdy nieusunięte, gdy się nie sprawdziły.

Efekt jest taki, że po kilku latach strona nosi na sobie warstwy decyzji podejmowanych przez różne osoby w różnym czasie, z których nikt nie miał pełnego obrazu całości. To zupełnie naturalny proces - problem pojawia się dopiero wtedy, kiedy nikt tego nigdy nie porządkuje.

Dlaczego to realny problem, a nie tylko bałagan

W poprzednim wpisie pisałem, że każda wtyczka wymaga aktualizacji, bo aktualizacje łatają luki bezpieczeństwa. Z tego wynika prosta matematyka: im więcej wtyczek, tym więcej potencjalnych luk do przypilnowania, i tym większa szansa, że którejś aktualizacji ktoś nie dopilnuje.

Ale jest jeszcze coś, o czym mniej się mówi - wtyczka, którą oznaczono jako "nieaktywna", wciąż leży na serwerze jako plik. Sam fakt jej wyłączenia w panelu nie sprawia, że przestaje istnieć na dysku ani że przestaje być potencjalnym celem ataku - niektóre luki bezpieczeństwa da się wykorzystać nawet we wtyczce, która formalnie jest wyłączona. Nieaktywna wtyczka to trochę jak niezamknięte, ale zasłonięte firanką okno - z zewnątrz nie widać od razu, że jest otwarte, ale to wciąż otwarte okno.

Do tego dochodzi kwestia szybkości działania strony, o czym szerzej napiszę w kolejnym wpisie - każda dodatkowa wtyczka to dodatkowy kod, który trzeba wczytać przy każdym odwiedzeniu strony. Czterdzieści wtyczek, z czego połowa niepotrzebna, to niepotrzebnie obciążona strona, która ładuje się wolniej niż mogłaby.

Jak ocenić, co zostawić, a co usunąć

Nie trzeba być programistą, żeby zrobić pierwszy, sensowny przegląd. Kilka pytań, które warto sobie zadać przy każdej wtyczce z listy:

• Czy jest aktywna? Jeśli jest oznaczona jako nieaktywna od miesięcy, prawdopodobnie nie jest potrzebna - albo trzeba ją włączyć, albo usunąć, ale zostawianie jej "w zawieszeniu" nie ma sensu.
• Czy pamiętasz, po co ją zainstalowano? Jeśli nazwa nic Ci nie mówi i nikt w firmie nie potrafi powiedzieć, jaką funkcję strony obsługuje, to sygnał ostrzegawczy - warto to sprawdzić, zanim się ją usunie, ale nie warto trzymać jej "na wszelki wypadek" bez wiedzy co robi.
• Kiedy była ostatnio aktualizowana przez twórcę? Wtyczka, która nie miała aktualizacji od dwóch, trzech lat, może być po prostu porzucona przez autora - a to oznacza, że nawet znalezione w niej luki nigdy nie zostaną załatane.
• Czy dwie wtyczki robią to samo? Zdarza się, że strona ma dwie wtyczki do SEO albo dwie do formularzy, bo różne osoby instalowały je w różnym czasie. Zbędny duplikat to czysty balast.

Ważna uwaga: usuwanie wtyczek "na oślep" bez sprawdzenia, jaką funkcję pełnią, potrafi zepsuć działanie strony równie skutecznie, jak ich nieaktualizowanie. To dokładnie ten typ zadania, przy którym warto mieć kogoś, kto najpierw sprawdzi zależności, zrobi kopię zapasową, a dopiero potem zacznie porządkować.

Jak zrobić to bezpiecznie, krok po kroku

Zanim cokolwiek usuniesz, warto trzymać się prostej kolejności, która minimalizuje ryzyko zepsucia czegokolwiek na działającej stronie:

1. Zrób kopię zapasową całej strony zanim zaczniesz cokolwiek zmieniać - to pozwala bez stresu cofnąć każdą decyzję, która okaże się błędna.
2. Zacznij od wtyczek nieaktywnych. Tu ryzyko jest najmniejsze, bo skoro coś jest wyłączone od dawna, jego usunięcie zwykle niczego nie zmienia w wyglądzie ani działaniu strony.
3. Usuwaj po jednej, sprawdzając stronę po każdej zmianie. Usunięcie wszystkiego naraz utrudnia znalezienie przyczyny, jeśli coś jednak przestanie działać.
4. Zostaw na końcu wtyczki, co do których masz wątpliwości. Lepiej dopytać kogoś, kto się zna, niż usunąć coś, co okaże się obsługiwać na przykład system płatności w sklepie.

Mniej znaczy bezpieczniej

Przegląd wtyczek raz na jakiś czas - najlepiej raz na kilka miesięcy - to jedna z tych czynności, które nie widać na pierwszy rzut oka, ale które realnie zmniejszają ryzyko i przyspieszają stronę. Czterdzieści wtyczek, z których faktycznie potrzebnych jest piętnaście, to nie tylko porządek. To piętnaście rzeczy do pilnowania zamiast czterdziestu - i piętnaście, a nie czterdzieści, potencjalnych furtek, którymi ktoś mógłby się zainteresować.