So auditieren Sie Ihre WordPress-Erweiterungen in 5 Schritten

Einleitung: Ein Audit, das nicht mit einer Löschung endet, ist kein Audit

Die meisten „Erweiterungs-Audits" erzeugen eine Tabelle. Die Tabelle wird einmal gelesen, für interessant befunden und abgelegt. Sechs Monate später baut man dieselbe Tabelle erneut, mit denselben Zeilen und einer mehr.

Ein nützliches Audit hat eine einzige, nicht verhandelbare Eigenschaft: Es endet mit datierten Löschungen. Alles andere — das Zählen, das Sortieren, das Einfärben — ist nur ein Weg dorthin.

Dieses Protokoll umfasst fünf Schritte und einen halben Tag für eine Website, weniger je Website bei einem Park. Es braucht kein kostenpflichtiges Werkzeug. Was es braucht, ist die Bereitschaft zu akzeptieren, dass die richtige Antwort oft „entfernen" lautet — auch bei einer Erweiterung, die einwandfrei funktioniert.

Schritt 1 — Inventarisieren, mit der einzigen Spalte, die zählt

Listen Sie alle Erweiterungen auf: aktive und inaktive. Eine inaktive Erweiterung ist nicht neutral — ihr Code bleibt auf der Festplatte und bleibt mitunter erreichbar.

Vier Spalten genügen je Eintrag:

• der Name und die installierte Version;
• das Datum des letzten Commits des Autors, nicht das Installationsdatum und nicht die Bewertung. Das ist die einzige Spalte, die die Zukunft vorhersagt: Sie sagt, ob jemand die nächste Lücke schließen wird;
• aktiv oder inaktiv;
• wer sie installiert hat und warum. Weiß es niemand, schreiben Sie das hin — es ist eine Information, keine Leerstelle.

⚠ Die Falle hier ist, das aus dem Gedächtnis zu tun. Man glaubt, seine Website zu kennen; das Inventar sagt fast immer etwas anderes. Erstellen Sie die Liste, bevor Sie sich eine Meinung bilden.

Schritt 2 — Die tatsächliche Nutzung messen, nicht die vermutete

Das ist der Schritt, den alle überspringen, und der, der entscheidet.

Bei jeder Erweiterung lautet die Frage nicht „wozu dient sie?", sondern „wann hat sie zuletzt etwas getan?". Drei Wege zur Antwort, nach Verlässlichkeit geordnet:

1. eine Spur — eine aufgegebene Bestellung, ein abgesendetes Formular, eine erzeugte Seite. Das ist ein Beweis;
2. eine Seite, die sie sichtbar nutzt, auf der öffentlichen Website gefunden. Das ist ein starkes Indiz;
3. jemand, der es behauptet. Das ist eine Hypothese, und sie wird durch 1 oder 2 überprüft.

Sortieren Sie danach in nur drei Stapel: genutzt · nie im Einsatz gesehen · „für alle Fälle" installiert. Der dritte Stapel ist auf fast jeder Website der größte, und er kostet Sie am meisten für das, was er einbringt.

Schritt 3 — Messen, was jede einzelne kostet

Drei Kosten, und die dritte ist die einzige, die auf Dauer sichtbar wird.

Die Seitenkosten. Eine Erweiterung, die ihre Skripte auf allen Seiten lädt, obwohl sie nur auf einer gebraucht wird, ist ein häufiger und leicht erkennbarer Fall: Vergleichen Sie das Gewicht einer einfachen Inhaltsseite mit und ohne sie.

Die Datenbankkosten. Erweiterungen, die bei jedem Besuch schreiben — Statistiken, Protokolle, Zähler — lassen die Datenbank still wachsen. Das Symptom ist keine langsame Seite, sondern eine Sicherung, die Monat für Monat länger dauert.

Die Wartungskosten. Das sind die echten. Jede Erweiterung fügt ein zu beobachtendes Update hinzu, eine zu prüfende Kompatibilität, einen möglichen Bruch nach jeder Versionserhöhung. Diese Kosten sind linear in der Zahl der Erweiterungen und sinken nie von selbst.

Die Leistungsseite behandelt unser Sicherheitsaudit in 10 Minuten, das dieselben Messungen aus der Risikoperspektive durchführt.

Schritt 4 — Das Risiko messen, in drei Fragen

Ist sie verwaist? Ein letzter Commit, der mehr als ein Jahr zurückliegt, ohne Reaktion auf Meldungen, ist das stärkste Signal der Liste. Eine verwaiste Erweiterung ist gefährlicher als eine verwundbare, denn eine Korrektur wird nie kommen.

Was kann sie erreichen? Eine Erweiterung, die Dateien schreibt, geplante Aufgaben ausführt, einen öffentlichen Endpunkt öffnet oder Zahlungen verarbeitet, hat nicht das Profil einer Anzeige-Erweiterung. Die Installationszahl sagt darüber nichts.

Gibt es sie doppelt? Zwei Erweiterungen, die dasselbe tun, bedeuten doppelte Fläche für eine Funktion — und das kommt auf einer Website mit einigen Jahren erstaunlich oft vor.

Wozu diese Messungen tatsächlich schützen, siehe proaktiver Schutz vor Zero-Day-Bedrohungen.

Schritt 5 — Entscheiden und in dieser Reihenfolge ausführen

Der Schritt, der aus der Tabelle ein Ergebnis macht. Drei Regeln.

Löschen, nicht deaktivieren. Deaktivieren lässt den Code auf der Festplatte, also die Fläche, also das nachzuverfolgende Update. Das ist der Komfort einer nicht getroffenen Entscheidung. Wenn Sie sich nicht zu löschen trauen, ist Schritt 2 nicht abgeschlossen.

Eine nach der anderen, mit einer erprobten Sicherung davor. Eine Sammellöschung, die etwas zerstört, lässt Sie im Unklaren, welche es war. Einzeln ist einmal langsamer und danach jedes Mal viel schneller.

In genau dieser Reihenfolge, denn sie geht vom sicheren zum strittigen Gewinn:

• die inaktiven — kein Risiko, sofortiger Gewinn bei Fläche und Update-Liste
• die verwaisten, deren Funktion nicht mehr genutzt wird
• die Doppelungen, wobei Sie die gepflegte behalten, nicht die vertraute
• der „für alle Fälle"-Stapel aus Schritt 2 — hier ist die Diskussion am schwersten und der Gewinn am größten
• die verwaisten, aber noch genutzten: Diese brauchen zuerst einen Ersatz, keine bloße Löschung

Und dann, erst dann: Datum und verbleibende Zahl notieren. Diese Zahl, in sechs Monaten verglichen, sagt Ihnen, ob das Audit gedient hat oder eine Tabelle mehr war.

Was dieses Audit nicht leistet

Es beurteilt nicht die Codequalität einer Erweiterung — das erfordert Lesen, nicht Inventarisieren. Es sagt nichts über die Rechtmäßigkeit dessen, was sie erheben. Und es ersetzt keine laufende Überwachung: Ein Audit ist eine Momentaufnahme, und eine Momentaufnahme veraltet.

Fazit

Von dreißig Erweiterungen auf fünfzehn zu gehen, halbiert die Angriffsfläche, halbiert die Wartungslast und kostet keine zusätzliche Software. Es ist die ertragreichste Maßnahme der gesamten WordPress-Verwaltung und die einzige kostenlose.

Die Schwierigkeit ist nie technisch. Sie liegt in Schritt 2: zu akzeptieren, die tatsächliche Nutzung zu messen, statt sich auf die Absicht bei der Installation zu verlassen. Eine „für alle Fälle" behaltene Erweiterung ist ein sicherer Aufwand gegen einen hypothetischen Nutzen — das Gegenteil dessen, wonach es sich beim Behalten anfühlt.

Zeigt das Inventar einen zersplitterten Stack, folgt einen fragmentierten WordPress-Stack migrieren, und die vollständige Diagnose steht in der Erweiterungshölle. Um mehrere Werkzeuge durch ein zusammenhängendes Ganzes zu ersetzen, siehe wie unser Ökosystem die Site-Verwaltung automatisiert. Unsere Premium-Erweiterungen mit voller Rückerstattung innerhalb von 14 Tagen: zum Katalog.