Wajibkan tugas terdefinisi dan pemilik yang bertanggung jawab
Sebelum mencari, jelaskan hasil untuk pengunjung atau staf dalam satu kalimat. Lalu periksa apakah WordPress, tema, kontrol host, atau plugin yang ada sudah melakukan tugas itu. Jangan tambahkan alat kedua hanya karena antarmuka atau daftar fiturnya.
Untuk setiap plugin yang disetujui, catat pemiliknya, lokasi penggunaannya, pengaturan kunci, akun terhubung atau kunci API, dan kondisi penghapusan. Pemilik meninjau pemberitahuan dan menguji perubahan. Ini mengubah riwayat instalasi menjadi daftar dependensi.
Daftarkan halaman, formulir, alur editor, atau proses back-office yang dapat diubahnya.
Hindari duplikasi analytics, caching, formulir, pop-up, atau fungsi optimisasi kecuali terdokumentasi.
Tinjau plugin baru dan yang berdampak besar setelah peluncuran dan secara berkala sesuai jadwal pemeliharaan.
Evaluasi kandidat sebelum mengaktifkannya
Gunakan layar Tambah Plugin (Plugins Add New) dan Direktori Plugin WordPress sebagai titik mula. WordPress menunjukkan penulis, peringkat pengguna, informasi terakhir diperbarui, kompatibilitas, dan tautan ke detail. Baca dokumentasi, catatan rilis, opsi dukungan, dan informasi privasi. Terapkan pengawasan yang sama pada plugin yang dibeli atau diunduh di tempat lain.
Periksa bahwa pemelihara menjelaskan versi WordPress dan PHP yang didukung, apa yang diubah plugin, dan cara melaporkan masalah keamanan. WordPress.org dapat menutup plugin di direktori karena masalah keamanan, tetapi itu tidak menggantikan evaluasi atau pemeliharaan Anda sendiri.
Tolak kandidat jika core, tema, host, atau fungsionalitas yang ada sudah memenuhi kebutuhan.
Bandingkan persyaratan yang dinyatakan dengan lingkungan live Anda, tema aktif, dan plugin kritis.
Peringkat mungkin mengungkap pola, tetapi bukan audit kode.
Petakan akses, data, dan layanan eksternal
Sebelum menyetujui, jelaskan apa yang diubah plugin, informasi apa yang dikumpulkan atau disimpan, ke mana informasi itu dikirim, siapa yang mengelola integrasinya, dan apa yang terjadi jika layanannya tidak tersedia atau dihentikan. Catat juga skrip browser, iframe, webhook, kunci API, dan akun layanan.
Panduan privasi WordPress meminta penulis plugin menyertakan teks kebijakan privasi yang disarankan ketika plugin mereka mengumpulkan, menggunakan, menyimpan, atau meneruskan data pengguna ke pihak ketiga. Gunakan itu untuk menyelidiki penjelasan vendor, bukan sebagai pemenuhan kepatuhan hukum otomatis. Untuk pembayaran, data kesehatan, data pribadi sensitif, atau pekerjaan yang diatur, dapatkan tinjauan privasi, keamanan, pembayaran, dan hukum yang berkualifikasi sebelum rilis.
Gunakan hanya peran, akun, scope, dan kunci yang diperlukan; cabut akses lama saat orang atau alat berubah.
Catat kategori data, penerima, kontrol retensi, dan langkah penghapusan.
Uji kompatibilitas di salinan staging yang terlindungi
Staging adalah salinan pengujian terpisah yang digunakan untuk memeriksa perubahan sebelum produksi. Gunakan untuk plugin baru atau perubahan berdampak besar. Lindungi staging, hindari data pelanggan nyata bila memungkinkan, dan cegah email hidup, pembayaran, atau webhook.
Uji alur yang terpengaruh: halaman publik, formulir, masuk, penerbitan, pencarian, dan keranjang atau checkout bila relevan. Kemudian periksa log error dan Site Health. Site Health menunjukkan versi plugin, pembuat, dan pengaturan pembaruan otomatis. Staging tidak dapat mereproduksi setiap kondisi produksi.
Perbarui atau perkenalkan satu plugin berdampak tinggi pada satu waktu agar regresi memiliki area pencarian yang lebih kecil.
Uji sebagai pengunjung dan sebagai editor atau administrator yang menggunakan alur kerja terkait.
Catat versi sebelumnya, perilaku yang diharapkan, error, dan keputusan persetujuan.
Ukur performa dan gunakan kebijakan pembaruan berbasis risiko
Bandingkan halaman representatif sebelum dan sesudah menggunakan metode pengujian yang sama. Inspeksi berat halaman, permintaan jaringan, error browser, dan interaksi yang didukung. WordPress merekomendasikan menonaktifkan plugin secara selektif untuk mengukur performa server bila satu plugin dicurigai. Jangan hanya mengandalkan layar administrasi atau satu skor sintetis.
Google web.dev menyatakan JavaScript pihak ketiga dapat menambah kerja jaringan, menunda rendering, dan memengaruhi privasi, keamanan, dan perilaku halaman. Audit skrip dan vendor yang redundan. WordPress mendukung pembaruan otomatis per-plugin dan mengirim pemberitahuan, tetapi pembaruan terjadwal bergantung pada WordPress Cron. Verifikasi keduanya berfungsi. Pembaruan otomatis yang dikontrol dapat cocok untuk plugin berdampak rendah yang sudah dipahami dengan cadangan dan verifikasi. Stage dan setujui secara eksplisit checkout, otentikasi, persetujuan, atau integrasi kustom. Ini adalah pilihan berbasis risiko, bukan kategori universal.
Tentukan siapa yang membaca pemberitahuan, menilai perubahan keamanan, dan menyetujui pengecualian.
Untuk perubahan berdampak besar, tinjau catatan rilis dan kompatibilitas sebelum pengujian.
Catat alasan penundaan pembaruan, pemiliknya, tindakan pengamanan, dan tanggal tinjau.
Cadangkan, rollback, dan hapus dengan sengaja
Sebelum pembaruan atau penghapusan yang dapat memengaruhi situs, konfirmasi cadangan terkini, lokasinya, otoritas pemulihan, dan tindakan rollback pertama. WordPress menyarankan membuat cadangan sebelum pembaruan dan mengatakan cadangan dapat dikembalikan jika upgrade menyebabkan masalah. Uji pemulihan pada salinan yang aman bila risikonya menuntut.
Ketika plugin tidak lagi diperlukan, pastikan tidak ada alur kerja yang bergantung padanya, simpan catatan yang diperlukan, dan cabut kunci atau webhook yang tersambung. Lalu nonaktifkan dan hapus melalui layar Plugins. Pembersihan berbeda-beda per plugin—ikuti dokumentasinya dan verifikasi hasilnya. Nonaktifkan bukan penghapusan penuh: plugin yang tidak aktif tetap terpasang sampai dihapus.
Ketahui apakah harus menonaktifkannya, mengembalikan versi sebelumnya, memperbaiki pengaturan, atau memulihkan cadangan penuh.
Setelah rollback, uji ulang alur terkait, kredensial, perilaku cache, dan administrasi.