WordPress-plugins kiezen, beoordelen en opruimen

Een plugin draait met dezelfde rechten als WordPress zelf: hij kan je database lezen en wijzigen, bestanden maken en mail versturen. Een plugin installeren is dus vertrouwen geven aan de maker. Verouderde en slecht onderhouden plugins zijn een veelgebruikte ingang voor inbrekers. Hier lees je hoe je een plugin beoordeelt voordat je hem installeert, en hoe je opruimt wat je niet meer nodig hebt.

Eerst: heb je er wel een plugin voor nodig?

Kan WordPress het zelf? Kolommen, knoppen, tabellen, een eenvoudige sitemap en lazy loading van afbeeldingen zitten er al in.
Kan je thema het? Bij een blokthema regel je veel in de Site-editor.
Heb je al een plugin die dit doet? Twee plugins voor hetzelfde, zoals twee cacheplugins, twee SEO-plugins of twee beveiligingsplugins, zitten elkaar in de weg en geven fouten.

Er is geen vast maximum. Maar elke plugin moet je bijhouden, kan botsen met de andere en kan een lek hebben. Een site met weinig, goed gekozen plugins is makkelijker gezond te houden.

Waar haal je plugins?

Uit de pluginmap van wordpress.org, ook te bereiken via Plugins > Plugin toevoegen in je beheer.
Van de website van een bekende maker, voor betaalde plugins en uitbreidingen.
Nooit van sites die betaalde plugins gratis aanbieden. Zulke nulled plugins bevatten vaak een achterdeur of spamlinks, en ze krijgen geen updates.

Rode vlaggen op de pluginpagina

Kenmerk	Rode vlag
Laatst bijgewerkt	Meer dan een jaar geleden. Dan werkt hij misschien niet goed meer met nieuwe versies van WordPress en PHP.
Getest tot (versie van WordPress)	Een veel oudere versie dan de huidige. Op wordpress.org staat dan een waarschuwing op de pagina.
Vereiste PHP-versie	Geen rode vlag op zich, maar kijk of hij past bij de PHP-versie van je pakket.
Actieve installaties	Heel weinig: dan zijn er weinig mensen die fouten opmerken. Niet altijd slecht, wel extra goed kijken.
Beoordelingen en ondersteuning	Veel recente slechte beoordelingen, of vragen in het forum waar de maker niet op reageert.
Gesloten plugin	De pagina meldt dat de plugin is gesloten, soms met de reden, zoals een beveiligingsprobleem. Vervang hem.

Kijk daarnaast in een openbare database met bekende lekken in WordPress-plugins, zoals die van Patchstack, Wordfence of WPScan. Een lek dat snel werd opgelost, is geen probleem. Een maker die maanden niets doet, wel. Let ook op wat de plugin met gegevens van je bezoekers doet: stuurt hij die naar een dienst van de maker, dan hoort dat in je privacyverklaring.

Deactiveren of verwijderen?

	Deactiveren	Verwijderen
Wat gebeurt er?	WordPress laadt de plugin niet meer. De bestanden blijven staan in `wp-content/plugins`.	De bestanden gaan weg. Sommige plugins ruimen ook hun instellingen en tabellen in de database op, andere laten die staan.
Risico	Een lek in een los bestand van de plugin blijft bereikbaar. Inbrekers zoeken naar bekende kwetsbare bestanden, niet naar actieve plugins.	Weg is weg. Je instellingen ben je mogelijk kwijt.
Wanneer?	Alleen tijdelijk, bijvoorbeeld als je een probleem zoekt.	Als je de plugin niet meer gebruikt.

Dat geldt ook voor thema's die je niet gebruikt. Verwijder een plugin bij Plugins: eerst Deactiveren, daarna Verwijderen.

Opruimen: een vaste ronde

Loop je plugins bijvoorbeeld elk kwartaal langs en stel per plugin vier vragen:

Waarvoor is hij? Weet je het niet meer, zoek het uit.
Wordt hij nog gebruikt? Een sliderplugin terwijl er nergens een slider staat, kan weg.
Kan het zonder, omdat WordPress, het thema of een andere plugin het al doet?
Wordt hij nog onderhouden? Kijk naar de rode vlaggen hierboven.

Maak eerst een back-up of werk op een kopie, zie WordPress-stagingomgeving aanmaken. Verwijder één plugin tegelijk en kijk daarna of je site nog werkt. Let op shortcodes: verwijder je een plugin die bijvoorbeeld [formulier id="2"] leverde, dan staat die tekst daarna letterlijk op je pagina.

Staat je site in de Website Manager van Mijn WebOké, dan zie je bij Beheer > Plugins & thema's al je plugins en thema's met hun versie, en werk je ze daar bij. Zie Kan dit ook in Mijn WebOké? De Website Manager.

Een plugin uitzetten als het beheer niet werkt

Geeft een plugin een kritieke fout of een witte pagina, dan kun je hem uitzetten door zijn map in wp-content/plugins te hernoemen. WordPress stuurt bij zo'n fout vaak ook een mail met een link naar de herstelmodus. Hoe dat stap voor stap gaat, lees je in Fout 500 of "kritieke fout" op je website (ook na een WordPress-update). Houdt een beveiligingsplugin je buiten, zie dan Ik kan niet inloggen in WordPress: wat nu?