Wymagaj zdefiniowanego zadania i odpowiedzialnego właściciela
Zanim zaczniesz szukać, opisz wynik dla odwiedzającego lub pracownika jednym zdaniem. Następnie sprawdź, czy WordPress, motyw, narzędzia hosta lub istniejąca wtyczka już nie wykonują tego zadania. Nie dodawaj drugiego narzędzia tylko ze względu na jego interfejs lub listę funkcji.
Dla każdej zatwierdzonej wtyczki zapisz właściciela, miejsce użycia, kluczowe ustawienia, powiązane konta lub klucze API oraz warunek usunięcia. Właściciel przegląda powiadomienia i testuje zmiany. Dzięki temu historia instalacji staje się rejestrem zależności.
Wypisz strony, formularze, workflowy edytora lub procesy zaplecza, które wtyczka może zmienić.
Unikaj duplikacji analiz, cachowania, formularzy, wyskakujących okien lub funkcji optymalizacyjnych, chyba że są udokumentowane.
Przeglądaj nowe i wysoko wpływowe wtyczki po uruchomieniu oraz w ramach regularnej konserwacji.
Oceń kandydatów przed aktywacją
Używaj ekranu Dodaj nową wtyczkę (Plugins > Add New) i katalogu wtyczek WordPress (WordPress Plugin Directory) jako punktów wyjścia. WordPress pokazuje autora, ocenę użytkowników, informację o ostatniej aktualizacji, kompatybilność i link do szczegółów. Przeczytaj dokumentację, notatki wydań, opcje wsparcia i informacje o prywatności. Taką samą ostrożność stosuj do wtyczek kupionych lub pobranych gdzie indziej.
Sprawdź, czy opiekun wtyczki wyjaśnia obsługiwane wersje WordPress i PHP, co wtyczka zmienia i jak zgłaszać problem z bezpieczeństwem. WordPress.org może usunąć wpis z katalogu z powodu problemu bezpieczeństwa, ale to nie zastępuje twojej własnej oceny ani utrzymania.
Odrzuć kandydata, jeśli core, motyw, host lub istniejąca funkcjonalność spełnia wymaganie.
Porównaj wymagania deklarowane z twoim środowiskiem produkcyjnym, aktywnym motywem i krytycznymi wtyczkami.
Oceny mogą ujawniać wzorce, ale nie zastąpią audytu kodu.
Zmapuj dostęp, dane i usługi zewnętrzne
Przed zatwierdzeniem opisz, co wtyczka zmienia, jakie informacje zbiera lub przechowuje, dokąd te informacje trafiają, kto zarządza integracją i co się stanie, jeśli usługa zewnętrzna będzie niedostępna lub zostanie usunięta. Zanotuj też skrypty przeglądarkowe, iframe’y, webhooki, klucze API i konta serwisowe.
Wytyczne WordPress dotyczące prywatności zobowiązują autorów wtyczek do dostarczenia proponowanego tekstu do polityki prywatności, gdy ich wtyczka zbiera, używa, przechowuje lub przekazuje dane użytkownika osobom trzecim. Użyj tego jako punktu wyjścia do zbadania wyjaśnień dostawcy, a nie jako automatycznego dowodu zgodności prawnej. Dla płatności, danych zdrowotnych, danych wrażliwych lub prac regulowanych uzyskaj kwalifikowaną ocenę prywatności, bezpieczeństwa, płatności i prawną przed wydaniem.
Używaj tylko ról, kont, zakresów i kluczy niezbędnych; usuwaj stare dostępy, gdy ludzie lub narzędzia się zmieniają.
Zapisz kategorie danych, odbiorców, kontrolę retencji i kroki usuwania.
Testuj kompatybilność na chronionej kopii stagingowej
Staging to odrębna kopia testowa używana do sprawdzenia zmiany przed produkcją. Użyj jej dla nowej wtyczki lub zmian o wysokim wpływie. Chroń ją, unikaj prawdziwych danych klientów tam, gdzie to możliwe, i zablokuj wysyłkę rzeczywistych wiadomości e-mail, płatności lub webhooków.
Przetestuj dotknięte ścieżki: publiczne strony, formularze, logowanie, publikowanie, wyszukiwanie oraz koszyk lub finalizację zamówienia tam, gdzie ma to znaczenie. Następnie sprawdź logi błędów i Site Health. Site Health pokazuje wersje wtyczek, autorów i ustawienia automatycznych aktualizacji. Staging nie odtworzy jednak wszystkich warunków produkcyjnych.
Aktualizuj lub wprowadzaj jedną wtyczkę o wysokim wpływie na raz, aby regresje miały mniejszy obszar poszukiwań.
Testuj jako odwiedzający oraz jako redaktor lub administrator korzystający z danego workflowu.
Zapisz poprzednią wersję, oczekiwane zachowanie, błędy i decyzję o zatwierdzeniu.
Mierz wydajność i stosuj politykę aktualizacji opartą na ryzyku
Porównaj reprezentatywne strony przed i po, używając tej samej metody testowej. Sprawdź wagę strony, żądania sieciowe, błędy w przeglądarce i obsługiwane interakcje. WordPress zaleca selektywne wyłączanie wtyczek, aby zmierzyć wydajność serwera, gdy podejrzewa się jedną z nich. Nie polegaj wyłącznie na ekranie administracyjnym lub jednym syntetycznym wyniku.
Google web.dev mówi, że skrypty JavaScript stron trzecich mogą dodać pracę sieciową, opóźnić renderowanie i wpłynąć na prywatność, bezpieczeństwo i zachowanie strony. Audytuj redundantne skrypty i dostawców. WordPress obsługuje automatyczne aktualizacje per-wtyczka i wysyła powiadomienia, ale zaplanowane aktualizacje zależą od WordPress Cron. Zweryfikuj, czy oba mechanizmy działają. Kontrolowane automatyczne aktualizacje mogą pasować do wtyczek niskiego ryzyka, z backupami i weryfikacją. Etapuj i jawnie zatwierdzaj zmiany dotyczące finalizacji zamówień, uwierzytelniania, zgody lub integracji niestandardowych. To decyzje oparte na ryzyku, nie uniwersalne kategorie.
Nazwij, kto czyta powiadomienia, ocenia zmiany bezpieczeństwa i zatwierdza wyjątki.
Dla zmian o wysokim wpływie przejrzyj notatki wydań i kompatybilność przed testowaniem.
Zapisz, dlaczego aktualizacja została odroczona, jej właściciela, zabezpieczenia i datę przeglądu.
Twórz backupy, wycofuj i usuwaj świadomie
Przed aktualizacją lub usunięciem, które mogą wpłynąć na witrynę, potwierdź aktualny backup, jego lokalizację, uprawnienia do przywrócenia i pierwsze działanie przy wycofywaniu. WordPress zaleca tworzenie kopii zapasowej przed aktualizacjami i mówi, że kopię można przywrócić, jeśli aktualizacja powoduje problemy. Testuj przywracanie na bezpiecznej kopii, gdy występuje ryzyko.
Gdy wtyczka nie jest już potrzebna, potwierdź, że żaden workflow od niej nie zależy, zachowaj wymagane rekordy i odwołaj powiązane klucze lub webhooki. Następnie dezaktywuj i usuń ją przez ekran Wtyczki. Czyszczenie zależy od wtyczki, więc postępuj zgodnie z dokumentacją i zweryfikuj wynik. Dezaktywacja to nie pełne usunięcie: nieaktywne wtyczki pozostają zainstalowane, dopóki ich nie usuniesz.
Wiedz, czy należy ją wyłączyć, przywrócić poprzednią wersję, poprawić ustawienie czy przywrócić pełny backup.
Po wycofaniu ponownie przetestuj dotknięte ścieżki, poświadczenia, zachowanie cache i administrację.