Scegliere un plugin in sicurezza: cosa guardare prima di installarlo

WordPress deve gran parte della sua forza ai plugin: pacchetti di codice PHP che ne estendono le funzionalità, sviluppati per lo più da terze parti e distribuiti liberamente. Ma questa libertà ha un prezzo: installare un plugin significa dare a codice scritto da qualcun altro accesso diretto al tuo sito. Prima di premere Installa, quattro segnali, tutti visibili nella pagina del plugin prima ancora di scaricarlo, dicono già molto sulla sua affidabilità.

Nella vita reale: installare un plugin è come far entrare in casa un tecnico esterno per un lavoro che non sai fare da solo. Prima di dargli le chiavi, guardi da quanto tempo lavora, se ha referenze recenti, e se conosce bene l'impianto della tua casa. Non serve un'indagine: bastano pochi minuti, ma saltarli del tutto è un azzardo.

1. Data dell'ultimo aggiornamento

Ogni scheda plugin nella directory ufficiale mostra la data dell'ultimo aggiornamento. Un plugin fermo da molti mesi non riceve più patch di sicurezza né correzioni per le versioni recenti di PHP e WordPress: anche se ha funzionato bene per anni, resta un pezzo di codice che nessuno sta più sorvegliando.

Fonte: wordpress.org/documentation: «Manage Plugins»: la pagina di ciascun plugin nella directory mostra le informazioni di compatibilità già dalla schermata Plugin → Aggiungi nuovo, prima ancora dell'installazione.

2. Compatibilità dichiarata: «Richiede» e «Testato fino a»

Ogni plugin dichiara due versioni: quella minima richiesta di WordPress per funzionare, e quella testata fino a, cioè l'ultima versione stabile su cui l'autore ha verificato che tutto funzioni correttamente. Se questo secondo valore è molto più vecchio della versione di WordPress che usi tu, è un segnale che lo sviluppatore potrebbe non seguire più da vicino gli aggiornamenti del core.

Fonte: developer.wordpress.org: Plugin Developer FAQ: il valore «tested up to» indica l'ultima versione stabile di WordPress su cui il plugin è stato verificato, dichiarata dall'autore nel file readme.txt del plugin.

3. Recensioni e numero di installazioni attive

• Recensioni: un numero alto di recensioni, con una valutazione media solida, indica che molte persone hanno già messo alla prova il plugin in condizioni reali.
• Installazioni attive: più siti lo usano oggi, più è probabile che eventuali problemi siano già stati notati e segnalati dalla community, invece di scoprirli per primo sul tuo sito.

Un plugin appena pubblicato, con poche installazioni e nessuna recensione, non è necessariamente pericoloso, ma conviene aspettare che la community lo metta alla prova prima di affidargli un sito già in produzione.

4. Un ultimo controllo: serve davvero un plugin in più?

Ogni plugin installato è codice in più da mantenere aggiornato, e una superficie in più che un malintenzionato può provare ad attaccare. Prima di aggiungerne uno nuovo, vale la pena controllare se un plugin già attivo, o una funzione nativa del tema, non copra già la stessa esigenza. Meno plugin, scelti bene, battono sempre molti plugin sovrapposti.

In sintesi

Nessuno di questi controlli richiede competenze tecniche: sono tutti visibili nella scheda del plugin, prima ancora di scaricarlo. Prendersi due minuti in più prima di installare è, quasi sempre, il modo più semplice per evitare un problema che costerà molto più tempo dopo.