Đòi hỏi một nhiệm vụ rõ ràng và người chủ chịu trách nhiệm
Trước khi tìm kiếm, mô tả kết quả cho khách truy cập hoặc nhân viên trong một câu. Sau đó kiểm tra liệu WordPress, giao diện (theme), công cụ quản trị host, hoặc plugin hiện có đã thực hiện nhiệm vụ đó chưa. Đừng thêm công cụ thứ hai chỉ vì giao diện hoặc danh sách tính năng của nó.
Với mỗi plugin được phê duyệt, ghi lại người chịu trách nhiệm, nơi sử dụng, các cài đặt chính, tài khoản hoặc khóa API liên kết, và điều kiện để gỡ bỏ. Người chịu trách nhiệm theo dõi thông báo và kiểm thử thay đổi. Điều này biến lịch sử cài đặt thành một sổ đăng ký phụ thuộc.
Liệt kê các trang, biểu mẫu, luồng chỉnh sửa, hoặc quy trình hậu trường mà plugin có thể thay đổi.
Tránh trùng lặp analytics, caching, biểu mẫu, pop-up hoặc các chức năng tối ưu hóa trừ khi được ghi nhận.
Rà soát plugin mới và plugin có tác động cao sau khi ra mắt và theo chu kỳ bảo trì định kỳ.
Đánh giá chọn lựa trước khi kích hoạt
Dùng màn hình Add New trong Plugins và Thư mục plugin WordPress (WordPress Plugin Directory) làm điểm bắt đầu. WordPress hiển thị tác giả, đánh giá người dùng, thời điểm cập nhật gần nhất, tương thích và liên kết đến chi tiết. Đọc tài liệu, ghi chú phát hành, tuỳ chọn hỗ trợ và thông tin quyền riêng tư. Áp dụng cùng mức nghiêm túc cho plugin mua hoặc tải xuống từ nơi khác.
Kiểm tra xem người bảo trì có giải thích các phiên bản WordPress và PHP được hỗ trợ, plugin thay đổi những gì, và cách báo lỗi bảo mật hay không. WordPress.org có thể đóng plugin trên thư mục nếu có vấn đề bảo mật, nhưng điều đó không thay thế cho việc đánh giá hoặc trách nhiệm bảo trì của bạn.
Từ chối ứng cử viên nếu core, theme, host, hoặc chức năng hiện có đáp ứng yêu cầu.
So sánh yêu cầu được nêu với môi trường thực tế, theme đang hoạt động và các plugin quan trọng.
Đánh giá có thể tiết lộ xu hướng, nhưng không phải là kiểm toán mã.
Lập bản đồ truy cập, dữ liệu và dịch vụ bên ngoài
Trước khi phê duyệt, mô tả plugin thay đổi gì, thông tin nào nó thu thập hoặc lưu trữ, dữ liệu được gửi đến đâu, ai quản trị tích hợp đó và chuyện gì xảy ra nếu dịch vụ bị thiếu hoặc bị gỡ bỏ. Ghi lại kịch bản trình duyệt, iframe, webhook, khóa API và tài khoản dịch vụ.
Hướng dẫn quyền riêng tư của WordPress yêu cầu tác giả plugin cung cấp đoạn văn bản gợi ý cho chính sách quyền riêng tư khi plugin thu thập, sử dụng, lưu trữ, hoặc chuyển dữ liệu người dùng cho bên thứ ba. Dùng thông tin đó để điều tra lời giải thích của nhà cung cấp, không dùng như sự chấp thuận pháp lý tự động. Với thanh toán, dữ liệu y tế, dữ liệu nhạy cảm hoặc công việc bị điều chỉnh, hãy lấy đánh giá chuyên môn về quyền riêng tư, bảo mật, thanh toán và pháp lý trước khi phát hành.
Chỉ dùng vai trò, tài khoản, phạm vi và khóa cần thiết; thu hồi quyền cũ khi người hoặc công cụ thay đổi.
Ghi lại các loại dữ liệu, người nhận, điều khiển lưu giữ và bước xóa dữ liệu.
Kiểm thử tương thích trong bản sao staging được bảo vệ
Staging là một bản sao thử nghiệm riêng được dùng để kiểm tra thay đổi trước production. Dùng nó cho plugin mới hoặc thay đổi có tác động cao. Bảo vệ môi trường staging, tránh dữ liệu khách hàng thật nếu có thể, và ngăn gửi email, thanh toán hoặc webhook thật.
Kiểm thử các hành trình bị ảnh hưởng: trang công khai, biểu mẫu, đăng nhập, xuất bản, tìm kiếm, và giỏ hàng/checkout nếu liên quan. Sau đó kiểm tra log lỗi và Site Health. Site Health hiển thị phiên bản plugin, nhà phát triển và cài đặt tự động cập nhật. Staging không thể tái tạo mọi điều kiện của production.
Cập nhật hoặc đưa vào một plugin có tác động cao mỗi lần để các lỗi hồi quy có phạm vi tìm kiếm nhỏ hơn.
Kiểm thử với tư cách khách và với tư cách editor hoặc administrator dùng luồng công việc liên quan.
Ghi lại phiên bản trước, hành vi mong đợi, lỗi và quyết định phê duyệt.
Đo hiệu năng và áp dụng chính sách cập nhật dựa trên rủi ro
So sánh các trang đại diện trước và sau khi dùng cùng phương pháp kiểm thử. Kiểm tra trọng lượng trang, các yêu cầu mạng, lỗi trình duyệt và tương tác được hỗ trợ. WordPress khuyến nghị tắt plugin có chọn lọc để đo hiệu năng máy chủ khi nghi ngờ một plugin. Đừng chỉ dựa vào màn hình quản trị hoặc một điểm số tổng hợp.
Google web.dev cảnh báo JavaScript bên thứ ba có thể thêm công việc mạng, trì hoãn render và ảnh hưởng đến quyền riêng tư, bảo mật và hành vi trang. Kiểm toán các script và nhà cung cấp trùng lặp. WordPress hỗ trợ tự động cập nhật theo từng plugin và gửi thông báo, nhưng việc cập nhật theo lịch phụ thuộc vào WordPress Cron. Xác minh cả hai đều hoạt động. Tự động cập nhật có kiểm soát có thể phù hợp với plugin ít tác động, dễ hiểu và có backup cùng bước xác minh. Quyết định cần staging và phê duyệt rõ ràng cho checkout, xác thực, consent, hoặc tích hợp tuỳ chỉnh. Đây là lựa chọn dựa trên rủi ro, không phải danh mục phổ quát.
Ghi tên người đọc thông báo, đánh giá thay đổi bảo mật và phê duyệt ngoại lệ.
Với thay đổi tác động cao, xem ghi chú phát hành và mức tương thích trước khi kiểm thử.
Ghi lý do cập nhật bị hoãn, người chịu trách nhiệm, biện pháp bảo vệ và ngày rà soát.
Sao lưu, quay lui và gỡ bỏ có chủ ý
Trước khi cập nhật hoặc gỡ bỏ có thể ảnh hưởng trang, xác nhận một bản sao lưu hiện tại, vị trí lưu, quyền phục hồi và hành động quay lui đầu tiên. WordPress khuyến nghị sao lưu trước khi cập nhật và nói một bản sao lưu có thể được phục hồi nếu nâng cấp gây ra sự cố. Kiểm thử phục hồi trên bản sao an toàn khi cần thiết.
Khi một plugin không còn cần thiết, xác nhận không còn quy trình nào phụ thuộc vào nó, bảo toàn hồ sơ cần thiết và thu hồi các khóa hoặc webhook liên kết. Sau đó tắt và xóa nó qua màn hình Plugins. Việc dọn dẹp khác nhau theo plugin, vì vậy làm theo tài liệu của nó và xác minh kết quả. Vô hiệu hoá không phải là gỡ cài đặt hoàn toàn: plugin không hoạt động vẫn còn được cài đặt cho đến khi bị xóa.
Biết cần vô hiệu hoá plugin, phục hồi phiên bản trước, sửa cài đặt hay khôi phục toàn bộ backup.
Sau khi quay lui, kiểm thử lại các hành trình, thông tin đăng nhập, hành vi cache và quản trị.