Modul 5 · 5.3
Deutsch
Plugins auswählen und bewerten
Modul 5: Themes und Plugins · Lesezeit: 9 Minuten
Lernziel: Nach dieser Lektion können Sie ein Plugin bewerten, bevor Sie es installieren, und erkennen die Warnsignale.
Kernbegriffe: Plugin, Hooks (Actions und Filters), zuletzt aktualisiert, getestet bis, erforderliche PHP-Version, aktive Installationen, Bewertungen, Support-Forum, Sicherheitslücke, Freemium, Nulled Plugin, Überschneidung
Was ein Plugin ist, und warum das wichtig ist
Ein Plugin ist ein Stück PHP-Code, das bei jeder Anfrage zusammen mit WordPress geladen wird (Lektion 1.2). WordPress hat überall Hooks: feste Momente, an denen Plugins sich einklinken können. Es gibt zwei Arten:
- Actions: „tu jetzt etwas", zum Beispiel ein Skript zur Seite hinzufügen, eine E-Mail nach einer Bestellung senden;
- Filters: „ändere dies", zum Beispiel den Titel einer Seite anpassen oder den Inhalt eines Beitrags bearbeiten.
Ein Plugin kann damit fast alles an Ihrer Website verändern. Und es läuft mit denselben Rechten wie WordPress selbst: Es kann Ihre Datenbank lesen und beschreiben, Dateien anlegen, E-Mails versenden. Ein Plugin zu installieren bedeutet also, dem Entwickler zu vertrauen. Ein gutes Plugin macht Ihre Website besser; ein schlechtes oder verlassenes Plugin ist der häufigste Einstiegspunkt für Angreifer (Lektion 7.1).
Wo Sie Plugins bekommen
- Das Plugin-Verzeichnis von wordpress.org (auch erreichbar über Plugins > Installieren in Ihrem Dashboard). Jedes Plugin wird bei der Einreichung geprüft, und das Plugin-Verzeichnis entfernt Plugins mit einer ungelösten Sicherheitslücke.
- Die Website eines bekannten Entwicklers, für kostenpflichtige Plugins oder Erweiterungen.
- Niemals von einer Download-Website, die kostenpflichtige Plugins „kostenlos" anbietet. Solche Nulled-Plugins sind oft mit einer Hintertür, Spam-Links oder Code verändert, den Ihre Website später für etwas anderes nutzt. Ausserdem erhalten Sie keine Updates, sodass bekannte Lücken offen bleiben. Das Geld, das Sie sparen, zahlen Sie bei der ersten Wiederherstellung nach einem Hack doppelt zurück.
Die fünf Merkmale auf der Plugin-Seite
Auf jeder Plugin-Seite von wordpress.org stehen rechts dieselben Angaben. Lesen Sie sie in dieser Reihenfolge:
| Merkmal | Was es aussagt | Warnsignal |
|---|---|---|
| Zuletzt aktualisiert | Ob noch daran gearbeitet wird | Mehr als ein Jahr her. Ein Plugin, das lange kein Update erhielt, funktioniert möglicherweise nicht gut mit neuen Versionen von WordPress und PHP |
| Getestet bis (Version von WordPress) | Ob der Entwickler es mit aktuellen Versionen geprüft hat | Eine deutlich ältere Version als die aktuelle. wordpress.org zeigt dann eine Warnung an |
| PHP-Version (erforderlich) | Die minimale PHP-Version | An sich kein Warnsignal, aber prüfen Sie, ob es mit Ihrer (neueren) Version funktioniert |
| Aktive Installationen | Wie viele Websites es nutzen | Sehr wenige Installationen bedeuten wenige Menschen, die Fehler bemerken. Nicht immer schlecht (ein kleines, spezifisches Plugin), aber besonders genau hinschauen |
| Bewertungen und Support | Was Nutzer davon halten und ob der Entwickler Fragen beantwortet | Viele aktuelle Ein-Stern-Bewertungen; bei „Probleme gelöst in den letzten zwei Monaten" eine niedrige Zahl im Verhältnis zur Gesamtzahl |
Lesen Sie bei den Bewertungen vor allem die aktuellen schlechten: Geht es um ein Update, das etwas kaputt gemacht hat, um aggressive Werbung, um Daten, die nach aussen gehen? Und schauen Sie im Support-Forum, ob der Entwickler antwortet.
Ein Plugin, das von wordpress.org entfernt wurde, zeigt beim Öffnen die Meldung, dass es geschlossen ist, oft mit dem Grund (zum Beispiel „Sicherheitsproblem"). Haben Sie ein solches Plugin, ersetzen Sie es.
Über die Plugin-Seite hinausschauen
- Sicherheitslücken: Es gibt öffentliche Datenbanken mit bekannten Lücken in WordPress-Plugins, zum Beispiel die von Patchstack, Wordfence und WPScan. Suchen Sie den Namen des Plugins: Hatte es Lücken, und wie schnell wurden sie behoben? Ein Plugin mit einer Lücke, die schnell repariert wurde, ist kein schlechtes Plugin. Ein Entwickler, der monatelang nichts tut, schon.
- Freemium: Viele Plugins sind kostenlos mit einer kostenpflichtigen Erweiterung. In Ordnung, aber achten Sie auf Meldungen, die Ihr Dashboard zuspammen, oder Funktionen, die Sie nur mit dem kostenpflichtigen Teil nutzen können.
- Externe Dienste: Sendet das Plugin Daten Ihrer Besucher an einen Dienst des Entwicklers (einen Spamfilter, einen Statistikdienst, eine Bildkomprimierung in der Cloud)? Das muss in Ihrer Datenschutzerklärung stehen und manchmal in einem Auftragsverarbeitungsvertrag (Lektion 9.3). Gute Plugins erwähnen das in ihrer Beschreibung.
- Was es lädt: Ein Plugin für ein Formular auf Ihrer Kontaktseite muss keine Skripte auf allen anderen Seiten laden. Mit den Entwicklerwerkzeugen Ihres Browsers (Reiter Netzwerk) sehen Sie, was von einem Plugin auf einer Seite geladen wird.
Eine Aufgabe, ein Plugin, und am liebsten keines
Die wichtigste Frage kommt vor der Plugin-Seite: Brauche ich dafür überhaupt ein Plugin?
- Kann WordPress es selbst? Eine einfache Sitemap (Lektion 9.2), Lazy Loading (Lektion 4.4), Spalten, Buttons und Tabellen (Lektion 4.1) sind bereits enthalten.
- Kann das Theme es? Bei einem Block-Theme können Sie vieles mit dem Website-Editor machen.
- Geht es mit ein paar Zeilen Code in einem eigenen kleinen Plugin oder Child-Theme? Dann brauchen Sie kein Paket mit tausenden Zeilen für eine Funktion.
- Habe ich bereits ein Plugin, das das macht? Überschneidung (zwei Cache-Plugins, zwei SEO-Plugins, zwei Sicherheits-Plugins) führt zu Konflikten und doppelter Arbeit.
Eine Website mit zehn gut ausgewählten Plugins ist gesünder als eine Website mit vierzig. Nicht weil die Zahl zählt, sondern weil jedes Plugin gepflegt werden muss, mit den anderen kollidieren kann und eine Lücke haben kann.
Ihre Bewertung festhalten
Notieren Sie für jedes Plugin, das Sie installieren: wofür es ist, warum dieses und nicht ein anderes, wer es pflegt und wann Sie es zuletzt überprüft haben. Das klingt umständlich, ist aber genau das, was Sie beim Aufräumen (Lektion 5.4), bei einem Hack (Lektion 7.5) und wenn jemand anderes Ihre Website übernimmt, brauchen.
Zusammenfassung
- Ein Plugin klinkt sich über Hooks in WordPress ein und läuft mit denselben Rechten; installieren bedeutet, Vertrauen zu schenken.
- Holen Sie Plugins von wordpress.org oder einem bekannten Entwickler, niemals nulled.
- Lesen Sie zuletzt aktualisiert, getestet bis, PHP-Version, aktive Installationen und Bewertungen/Support; suchen Sie nach bekannten Lücken.
- Fragen Sie zuerst, ob Sie ein Plugin brauchen; vermeiden Sie Überschneidung.
- Halten Sie fest, warum Sie ein Plugin nutzen.
Quiz
Aufgabe
Aufgabe A5.3: Lesen Sie eine Plugin-Seite. Wählen Sie ein Plugin aus dem Plugin-Verzeichnis von wordpress.org, das Sie nutzen oder erwägen, und tragen Sie den Slug ein (der letzte Teil der Adresse, zum Beispiel contact-form-7 aus wordpress.org/plugins/contact-form-7/). Tragen Sie auch ein, was auf der Seite bei zuletzt aktualisiert (das Datum), getestet bis und erforderliche PHP-Version steht. Das Programm ruft dieselben Daten über die öffentliche Plugin-API von wordpress.org ab und vergleicht sie.
Aufgabe D5.3: Eine Bewertungskarte für drei Plugins. Wählen Sie einen Bedarf (zum Beispiel ein Kontaktformular, einen Cookie-Hinweis oder ein Backup) und vergleichen Sie drei Plugins. Tragen Sie für jedes Plugin die fünf Merkmale ein, recherchieren Sie, ob es bekannte Lücken gab und wie schnell sie behoben wurden, prüfen Sie, ob es Daten an einen externen Dienst sendet, und wählen Sie eines aus. Erklären Sie in ein paar Sätzen warum, und ob Sie das Plugin eigentlich wirklich brauchen.
Aufgabe D5.3: Eine Bewertungskarte für drei Plugins
Diese Aufgabe machen Sie selbst; niemand prüft sie nach. Haken Sie ab, was Sie erledigt haben, und markieren Sie die Aufgabe als erledigt.
Nennen Sie eine Quelle für Schwachstellen (zum Beispiel die WPScan- oder Patchstack-Datenbank, mit Link) und eine Abwägung, die über "die meisten Installationen" hinausgeht: Pflege, Support, was das Plugin nach aussen sendet, Überschneidung mit dem, was Sie schon haben.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Diese Artikel beschreiben die Schritte in den Panels von WebOké; in anderen Panels funktionieren sie ähnlich.
- Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
- DirectAdmin Anleitung 18.2: Meine Website wurde gehackt: Schritt-für-Schritt-Anleitung
- Plugins auf wordpress.org: https://wordpress.org/plugins/
- Plugins verwalten (wordpress.org, Englisch): https://wordpress.org/documentation/article/manage-plugins/