Wtyczki WordPress — które są naprawdę potrzebne i czego unikać



Pierwsze pytanie, które słyszę przy przejmowaniu strony, brzmi prawie zawsze tak samo: „ile mam wtyczek, czy to nie za dużo?”. Zwykle odpowiadam pytaniem — nie dlatego, że lubię wymijać, tylko dlatego że sama liczba niczego nie mówi.

Widziałem strony z czterdziestoma wtyczkami, które chodziły szybciej niż te z ośmioma. I widziałem jedną wtyczkę, która sama potrafiła położyć sklep na trzy godziny.

Ten tekst jest o tym, jak odróżnić jedno od drugiego. Celowo nie znajdziesz tu listy „dziesięciu najlepszych wtyczek” — takich zestawień jest w sieci kilkaset, zwykle przepisanych ze stron producentów, i starzeją się w pół roku. Kryteria się nie starzeją.

Ile wtyczek to za dużo — i dlaczego to złe pytanie

Liczba wtyczek nie przekłada się wprost na szybkość strony, bo wtyczki nie są równe. Jedna dokłada kilka kilobajtów i wykonuje się raz przy zapisie wpisu. Druga ładuje własny skrypt i arkusz stylów na każdej podstronie, także tam, gdzie jej funkcja w ogóle nie jest używana. Trzecia odpytuje bazę przy każdym wejściu, a przy większym katalogu produktów robi to kilkaset razy.

Dlatego zamiast liczyć, warto zadać trzy inne pytania:

• Czy ta wtyczka działa tam, gdzie jest potrzebna, czy wszędzie? Wtyczka formularza kontaktowego, która ładuje się na stronie głównej i w każdym wpisie na blogu, pracuje na dziewięćdziesięciu procentach stron bez powodu.
• Czy dokłada zapytania do bazy, czy tylko kod do przeglądarki? To drugie da się ucywilizować. To pierwsze jest trudniejsze i droższe.
• Czy ktoś jej jeszcze używa? Nie Ty — odwiedzający. Licznik odwiedzin, galeria sprzed trzech lat, slider na podstronie, do której nie prowadzi żaden link.

W praktyce typowa strona firmowa, którą przejmuję, ma od pięciu do ośmiu wtyczek, bez których naprawdę się nie obejdzie, i kilka takich, o których nikt już nie pamięta, po co zostały zainstalowane. Te drugie są warte przejrzenia nie dlatego, że psują wynik w testach, tylko dlatego że każda zainstalowana wtyczka to kod, który ktoś musi aktualizować. O tym w dalszej części.

Jeśli interesuje Cię sama wydajność i to, co naprawdę spowalnia WordPressa, opisałem to osobno w tekście o przyspieszaniu WordPressa. Tutaj zostaję przy wtyczkach.

Pięć ról, które wtyczki pełnią na stronie firmowej

Zamiast listy nazw — lista zadań. Na zwykłej stronie firmowej wtyczki pokrywają zwykle pięć obszarów i warto wiedzieć, który masz obsłużony, a który nie.

1. Kopie zapasowe

Jedyna kategoria, przy której nie ma dyskusji. Kopia robiona przez hosting to nie to samo co kopia, którą Ty możesz odtworzyć o dwudziestej drugiej w sobotę. Sprawdź dwie rzeczy: czy kopia obejmuje pliki i bazę danych, oraz czy leży poza serwerem, na którym stoi strona. Kopia na tym samym dysku co strona chroni przed Twoim błędem, ale nie przed awarią serwera.

2. Formularz kontaktowy

Na stronie firmowej to najczęściej jedyna droga kontaktu poza telefonem. Dwie rzeczy, które warto sprawdzić, a które sprawdza mało kto: czy wiadomości są zapisywane w bazie, a nie tylko wysyłane mailem, i czy poczta faktycznie dochodzi. Formularz, który od pół roku wysyła w próżnię, bo hosting zmienił zasady wysyłki, wygląda identycznie jak formularz działający.

3. Cache

Przyspiesza stronę przez zapamiętywanie gotowych wersji podstron. Przy stronie wizytówkowej daje zwykle największy efekt za najmniejszy wysiłek. Przy sklepie wymaga ostrożności — koszyk i kasa nie mogą być zapamiętywane, bo klient zobaczy cudzy koszyk. Brzmi teoretycznie, a w praktyce zdarza się częściej, niż powinno.

4. SEO

Wtyczka SEO nie pozycjonuje strony. Daje Ci miejsce, w którym ustawiasz tytuł i opis widoczne w wynikach wyszukiwania, i pilnuje technicznych drobiazgów — mapy witryny, adresów kanonicznych, danych strukturalnych. To narzędzie, nie usługa. Jeśli ktoś sprzedaje Ci „pozycjonowanie” polegające na zainstalowaniu wtyczki SEO, kupujesz pudełko.

5. Bezpieczeństwo

Tu jest najwięcej nieporozumień, więc powiem wprost: wtyczka bezpieczeństwa nie zastępuje aktualizacji. Zasłania część ataków automatycznych, pokazuje, co się dzieje, i utrudnia zgadywanie hasła. Nie naprawi dziury w nieaktualnej wtyczce. Rozwinąłem ten temat w tekście o zabezpieczaniu WordPressa.

Poza tą piątką wszystko inne jest zależne od tego, co strona robi. Sklep dołoży płatności i wysyłkę, strona z kursami — obsługę kursów, strona lokalna — mapę. Jeśli wtyczka nie mieści się ani w piątce, ani w opisie tego, czym strona się zajmuje, to jest kandydatka do przeglądu.

Czego nie instalować: rzeczy, które już masz

Najczęstsza nadmiarowość nie bierze się ze złych wtyczek, tylko z dublowania czegoś, co już działa.

• Funkcji, które ma motyw. Jeśli motyw ma własną galerię, slider albo sekcję opinii, druga wtyczka od tego samego nie doda nic poza kolejnym zestawem skryptów. Zanim zainstalujesz, sprawdź ustawienia motywu.
• Funkcji, które ma sam WordPress. Wersje robocze, harmonogram publikacji, zarządzanie użytkownikami, obrazki w kilku rozmiarach — to wszystko jest w środku od lat.
• Drugiej wtyczki do tego samego. Dwie wtyczki cache albo dwie wtyczki SEO nie dają podwójnego efektu. Dają konflikt, którego objawy wyglądają jak awaria hostingu: strona raz działa, raz nie, i nikt nie wie dlaczego.
• Wtyczek do jednorazowej operacji. Import danych, masowa zmiana adresów, czyszczenie bazy — to narzędzia, które po wykonaniu zadania należy odinstalować, nie tylko wyłączyć. Wyłączona wtyczka dalej leży na serwerze ze swoim kodem.

Jak sprawdzić, czy wtyczka spowalnia stronę

Nie trzeba do tego narzędzi dla programistów. Wystarczy metoda i cierpliwość.

Zmierz stan wyjściowy. Wybierz dwie podstrony — stronę główną i jedną typową, na przykład ofertę albo kartę produktu. Zmierz czas ładowania trzy razy pod rząd i zapisz wynik. Trzy razy, bo pierwszy pomiar po dłuższej przerwie bywa znacznie gorszy od kolejnych i sam w sobie nic nie znaczy.

Wyłącz jedną wtyczkę. Zmierz ponownie. Jedną, nie trzy — przy trzech naraz nie będziesz wiedzieć, która odpowiada za różnicę.

Powtórz. Jeśli po wyłączeniu nie widać różnicy w kilku pomiarach, ta wtyczka nie jest Twoim problemem, niezależnie od tego, co mówi o niej internet.

Dwie pułapki, w które łatwo wpaść. Pierwsza: mierzenie przy włączonym cache. Wtedy porównujesz zapamiętane kopie, a nie pracę strony — wynik będzie ładny i bezużyteczny. Druga: mierzenie jako zalogowany administrator. Widzisz wtedy inną wersję strony niż odwiedzający, zwykle wolniejszą, bo z paskiem administracyjnym i podglądami.

Jeśli po tym ćwiczeniu okaże się, że żadna pojedyncza wtyczka nie jest winna, a strona i tak jest wolna — przyczyna leży gdzie indziej. Najczęściej w obrazkach, hostingu albo w sposobie, w jaki strona ładuje skrypty zewnętrzne. To znowu temat na osobny tekst o szybkości.

Wtyczki porzucone przez autorów — jak je rozpoznać

To jest ryzyko, które mało kto sprawdza, a które kosztuje najwięcej. Wtyczka porzucona przez autora działa dokładnie tak samo jak wczoraj. Przestaje tylko dostawać poprawki — w tym poprawki bezpieczeństwa.

Cztery sygnały, każdy widoczny bez wchodzenia w kod:

• Data ostatniej aktualizacji. Powyżej roku to sygnał ostrzegawczy. Powyżej dwóch lat traktuję wtyczkę jako porzuconą, chyba że robi coś bardzo prostego.
• Informacja o zgodności z wersją WordPressa. Jeśli autor deklaruje zgodność z wersją sprzed kilku wydań, to znaczy, że przestał testować.
• Nieodpowiedziane zgłoszenia na forum wsparcia. Nie liczba zgłoszeń — liczba takich bez odpowiedzi. Każda popularna wtyczka ma problemy; dobra ma na nie reakcję.
• Zmiana właściciela. Zdarza się, że popularna darmowa wtyczka zostaje odkupiona, a nowy właściciel dokłada do niej funkcje, których nikt nie zamawiał. To nie zawsze jest złe, ale zawsze warte sprawdzenia.

Co zrobić, gdy wtyczka jest porzucona: nie usuwać w panice. Najpierw sprawdź, czy jej funkcję przejął motyw albo nowsza wersja WordPressa, bo w kilku przypadkach tak właśnie było. Potem poszukaj następcy i przenieś dane. Usunięcie bez zastąpienia zwykle kończy się tym, że coś na stronie przestaje działać, a nikt nie wie co — bo zauważa się to dopiero po tygodniach.

Darmowa, płatna i ta trzecia kategoria

Wtyczki dzielą się nie na dwie grupy, tylko na trzy, i o tej trzeciej mówi się najmniej.

Darmowe z oficjalnego katalogu WordPressa. Przechodzą podstawowy przegląd przed publikacją, aktualizują się same z serwerów WordPressa i widzisz przy nich datę ostatniej zmiany oraz forum wsparcia. To domyślny i najbezpieczniejszy wybór.

Płatne, z licencją. Tu warto rozumieć, za co się właściwie płaci. WordPress i jego wtyczki są na licencji, która nie pozwala zabronić Ci używania programu. Kupując, płacisz w praktyce za dostęp do aktualizacji i do wsparcia, nie za prawo do uruchomienia. Dlatego po wygaśnięciu licencji wtyczka działa dalej — tylko przestaje się aktualizować. I po kilku miesiącach masz dokładnie ten sam problem, co przy wtyczce porzuconej przez autora, z tą różnicą, że tym razem sam go sobie zafundowałeś.

Dwie rzeczy warto wiedzieć przed zakupem: ile kosztuje odnowienie, a nie pierwszy rok — bo bywa dwukrotnie droższe — i na ilu stronach wolno używać jednej licencji. Przy jednej stronie firmowej najtańszy pakiet zwykle wystarcza, ale sprawdź w tabeli porównania funkcji, a nie na kolorowej karcie z ceną. Zdarza się, że karta wymienia funkcje, których w tańszym pakiecie nie ma.

Trzecia kategoria: kopie z nieoficjalnych źródeł. Płatne wtyczki krążą w sieci jako „paczki GPL” albo w serwisach, które za ułamek ceny udostępniają komplet. Formalnie bywa to legalne, bo licencja pozwala rozpowszechniać kod. Praktycznie jest to zły pomysł z dwóch powodów, które widuję u przejmowanych stron.

Po pierwsze, taka kopia nie aktualizuje się z serwera producenta, tylko z adresu osoby, która ją udostępniła. To znaczy, że ktoś obcy ma otwarty kanał do wgrywania kodu na stronę, która przyjmuje płatności i przechowuje dane klientów. Po drugie, w takich paczkach trafiają się dodatki, których w oryginale nie było — od reklam po fragmenty pozwalające sterować stroną z zewnątrz.

Jak sprawdzić, co masz u siebie, bez znajomości kodu: wejdź w ustawienia wtyczki i poszukaj pola na klucz licencyjny. Jeśli wtyczka jest płatna, a pola nie ma albo jest puste, a mimo to wyświetla status „aktywna” — to sygnał. Drugi sygnał: WordPress nie proponuje dla niej aktualizacji mimo że producent wydał nowe wersje.

Rozwiązanie jest nudne i skuteczne: kupić licencję albo znaleźć darmowy odpowiednik. Jedno i drugie jest tańsze niż usuwanie skutków.

Co robić, gdy aktualizacja wtyczki psuje stronę

Prędzej czy później to się wydarzy. Kolejność ma tu większe znaczenie niż szybkość.

Zanim zaktualizujesz: zrób kopię plików i bazy. Nie „mam kopię z zeszłego tygodnia”, tylko kopię sprzed tej konkretnej zmiany. I nie aktualizuj wszystkiego naraz — przy dziesięciu wtyczkach naraz i białym ekranie zostajesz z dziesięcioma podejrzanymi.

Gdy strona przestała działać: jeśli masz biały ekran i nie wchodzisz do panelu, wtyczki da się wyłączyć bez panelu — przez zmianę nazwy katalogu wtyczki na serwerze. WordPress ją wtedy pominie. To nie jest eleganckie, ale działa i nie niszczy danych.

Gdy wszystko wróciło: nie zostawiaj tego tak. Wtyczka, której nie można zaktualizować, to odłożony problem, nie rozwiązany. Albo znajdź przyczynę konfliktu, albo zaplanuj zastąpienie jej czymś innym.

Jedna rzecz, o której warto wiedzieć, zanim zdarzy się po raz pierwszy: aktualizacji nie robi się w piątek wieczorem. Nie dlatego, że piątek jest pechowy — dlatego, że jeśli coś pójdzie nie tak, masz przed sobą dwa dni, w których nikt tego nie zauważy poza Twoimi klientami.

Jeżeli nie chcesz tego pilnować samodzielnie, to jest dokładnie ta część pracy, którą obejmuje opieka nad stroną: kopia przed każdą zmianą, aktualizacje partiami, test ścieżki zakupu po każdej większej. A jeśli strona już została zainfekowana przez lukę w nieaktualnej wtyczce — to osobna, pilniejsza sprawa, opisana przy odwirusowaniu strony.

Kiedy wtyczka to zły pomysł

Są sytuacje, w których instalowanie kolejnej wtyczki jest najdroższym z możliwych rozwiązań.

Gdy potrzebujesz jednej funkcji z pięćdziesięciu. Rozbudowana wtyczka dokłada cały swój ciężar, także tych czterdziestu dziewięciu funkcji, których nie użyjesz. Kilkanaście linijek kodu w motywie potrafi zrobić to samo bez reszty bagażu.

Gdy funkcja jest specyficzna dla Twojej firmy. Nietypowy sposób liczenia dostawy, własny układ karty produktu, integracja z programem magazynowym. Wtyczka ogólnego przeznaczenia będzie to robić „prawie tak, jak trzeba”, a to „prawie” zostaje z Tobą na lata.

Gdy wtyczka ma rozwiązać problem organizacyjny. Nie ma wtyczki na to, że nikt nie odpisuje na zapytania z formularza.

Różnica w kosztach bywa myląca. Wtyczka wygląda na tańszą, bo płacisz raz. Kod wygląda na droższy, bo płacisz za godziny. Ale wtyczka ma koszt, którego nie widać w cenniku: trzeba ją aktualizować, może zostać porzucona, może wejść w konflikt z inną, a przy zmianie właściciela może zacząć robić coś, czego nie zamawiałeś.

Jeśli masz to sprawdzić u siebie

Najprostsza wersja przeglądu, do zrobienia w godzinę:

• Wypisz wszystkie wtyczki i przy każdej dopisz jednym zdaniem, co konkretnie robi na Twojej stronie. Te, przy których nie potrafisz tego napisać, są pierwsze do przejrzenia.
• Sprawdź daty ostatniej aktualizacji. Wszystko powyżej roku — na osobną listę.
• Sprawdź, czy masz działającą kopię zapasową i czy wiesz, jak ją odtworzyć. Nie „czy jest włączona” — czy wiesz jak.
• Wyślij testową wiadomość przez własny formularz kontaktowy i sprawdź, czy przyszła.

Ten ostatni punkt wygląda najbanalniej, a wykrywa najwięcej. Przy przejmowaniu stron zdarza mi się to regularnie: formularz wyświetla komunikat „dziękujemy za wiadomość”, a wiadomość nie dociera nigdzie.

Osobna sprawa to jak aktualizować wtyczki, żeby niczego nie zepsuć — bo kliknięcie „aktualizuj wszystko” to najczęstsza przyczyna awarii, jakie naprawiam. Procedurę krok po kroku opisałem w tekście o tym, co i jak często aktualizować.