Come analizzare i Suoi plugin WordPress in 5 passi

Introduzione: un audit che non finisce con un'eliminazione non è un audit

La maggior parte degli «audit dei plugin» produce una tabella. La tabella viene letta una volta, giudicata interessante, poi archiviata. Sei mesi dopo si rifà la stessa tabella, con le stesse righe e una in più.

Un audit utile ha una proprietà unica e non negoziabile: finisce con eliminazioni datate. Tutto il resto — contare, ordinare, colorare — è solo un mezzo per arrivarci.

Questo protocollo sta in cinque passi e mezza giornata per un sito, meno per sito su un parco. Non richiede alcuno strumento a pagamento. Richiede invece di accettare che la risposta giusta sia spesso «si elimina», anche per un plugin che funziona perfettamente.

Passo 1 — Inventariare, con l'unica colonna che conta

Elenchi tutti i plugin: attivi e inattivi. Un plugin inattivo non è neutro — il suo codice resta sul disco e talvolta resta raggiungibile.

Per ciascuno bastano quattro colonne:

• il nome e la versione installata;
• la data dell'ultimo commit dell'autore, non la data di installazione né la valutazione. È l'unica colonna che predice il futuro: dice se qualcuno correggerà la prossima falla;
• attivo o inattivo;
• chi l'ha installato e perché. Se nessuno lo sa, lo annoti — è un'informazione, non un vuoto.

⚠ La trappola di questo passo è farlo a memoria. Si crede di conoscere il proprio sito; l'inventario dice quasi sempre altro. Faccia l'elenco prima di farsi un'opinione.

Passo 2 — Misurare l'uso reale, non quello presunto

È il passo che tutti saltano, ed è quello che decide.

Per ogni plugin la domanda non è «a cosa serve?» ma «quando ha fatto qualcosa l'ultima volta?». Tre modi di rispondere, in ordine di affidabilità:

1. una traccia — un ordine effettuato, un modulo inviato, una pagina generata. È una prova;
2. una pagina che lo usa visibilmente, trovata sul sito pubblico. È un indizio forte;
3. qualcuno che lo afferma. È un'ipotesi, e si verifica con 1 o 2.

Poi classifichi in soli tre mucchi: usato · mai visto in uso · installato «per sicurezza». Il terzo mucchio è il più grande su quasi tutti i siti, ed è quello che Le costa di più per ciò che rende.

Passo 3 — Misurare quanto costa ciascuno

Tre costi, e il terzo è l'unico che si veda nel tempo.

Il costo di pagina. Un plugin che carica i suoi script su tutte le pagine mentre serve solo su una è un caso frequente e facile da individuare: confronti il peso di una pagina di contenuto semplice con e senza di esso.

Il costo di database. I plugin che scrivono a ogni visita — statistiche, registri, contatori — ingrossano la base in silenzio. Il sintomo non è una pagina lenta, è un backup che si allunga di mese in mese.

Il costo di manutenzione. È quello vero. Ogni plugin aggiunge un aggiornamento da sorvegliare, una compatibilità da verificare, una rottura potenziale dopo ogni salto di versione. Questo costo è lineare nel numero di plugin e non scende mai da solo.

La parte prestazioni è in il nostro audit di sicurezza in 10 minuti, che fa le stesse misure dal lato del rischio.

Passo 4 — Misurare il rischio, in tre domande

È abbandonato? Un ultimo commit di oltre un anno fa, senza risposta alle segnalazioni, è il segnale più forte dell'elenco. Un plugin abbandonato è più pericoloso di uno vulnerabile, perché nessuna correzione arriverà mai.

Cosa può raggiungere? Un plugin che scrive file, esegue attività pianificate, apre un punto d'ingresso pubblico o gestisce pagamenti non ha il profilo di un plugin di visualizzazione. Il numero di installazioni non dice nulla al riguardo.

È un doppione? Due plugin che fanno la stessa cosa sono il doppio della superficie per una sola funzione — e capita sorprendentemente spesso su un sito con qualche anno alle spalle.

Su cosa queste misure proteggano davvero, veda la protezione proattiva contro le minacce zero-day.

Passo 5 — Decidere, ed eseguire in questo ordine

È il passo che trasforma la tabella in un risultato. Tre regole.

Eliminare, non disattivare. Disattivare lascia il codice sul disco, quindi la superficie, quindi l'aggiornamento da seguire. È la comodità di una decisione non presa. Se non se la sente di eliminare, il passo 2 non è finito.

Uno alla volta, con un backup collaudato prima. Un'eliminazione in blocco che rompe qualcosa La lascia senza sapere quale sia stata. Uno per uno è più lento una volta e molto più rapido tutte le successive.

In quest'ordine preciso, perché va dal guadagno certo a quello discutibile:

• gli inattivi — nessun rischio, guadagno immediato su superficie ed elenco aggiornamenti
• gli abbandonati la cui funzione non è più usata
• i doppioni, tenendo quello mantenuto, non quello familiare
• il mucchio «per sicurezza» del passo 2 — qui la discussione è la più difficile e il guadagno il più grande
• gli abbandonati ma ancora usati: questi richiedono prima una sostituzione, non un'eliminazione secca

E poi, solo allora: annoti la data e il numero rimanente. È quella cifra, confrontata tra sei mesi, a dire se l'audit è servito o è stato una tabella in più.

Cosa questo audit non fa

Non giudica la qualità del codice di un plugin — questo richiede lettura, non inventario. Non dice nulla sulla conformità di ciò che raccolgono. E non sostituisce una sorveglianza continua: un audit è una fotografia, e una fotografia scade.

Conclusione

Passare da trenta plugin a quindici dimezza la superficie d'attacco, dimezza il carico di manutenzione e non costa alcun software aggiuntivo. È la misura più redditizia di tutta la gestione di un sito WordPress, e l'unica gratuita.

La difficoltà non è mai tecnica. È nel passo 2: accettare di misurare l'uso reale invece di affidarsi all'intenzione che si aveva installandolo. Un plugin tenuto «per sicurezza» è un costo certo contro un beneficio ipotetico — l'opposto di ciò che sembra fare tenendolo.

Se l'inventario Le ha mostrato uno stack frammentato, il seguito è migrare uno stack WordPress frammentato, e la diagnosi completa è in l'inferno dei plugin. Per sostituire più strumenti con un insieme coerente, veda come il nostro ecosistema automatizza la gestione del sito. I nostri plugin premium sono disponibili con rimborso integrale entro 14 giorni: vedere il catalogo.