Je site mist een contactformulier, een cookiebanner of een betere zoekfunctie, en voor vrijwel elke wens bestaat een plugin. Een WordPress-plugin installeer je via Plugins > Nieuwe plugin toevoegen, waar je de plugin zoekt en op Nu installeren en daarna Activate klikt. Beheren betekent vervolgens dat je plugins regelmatig bijwerkt na een back-up, en plugins die je niet meer gebruikt niet alleen deactiveert maar ook verwijdert.
Een goede plugin kiezen
Een goede plugin herken je aan recente updates, een test met de huidige WordPress-versie, veel actieve installaties en een supportforum waar vragen nog beantwoord worden. In de officiële pluginbibliotheek op wordpress.org mag iedereen publiceren, dus kwaliteit is niet vanzelfsprekend. Al die signalen staan op de pluginpagina, rechts in de kolom met details. Een plugin die al ruim een jaar geen update kreeg, sla ik over, hoe goed de beschrijving ook klinkt. De kans is groot dat de ontwikkelaar ermee gestopt is, en dan worden nieuwe beveiligingslekken niet meer gedicht.
Mijn tweede vuistregel is één plugin per functie. Twee SEO-plugins of twee cachingplugins naast elkaar werken elkaar tegen, en dat soort dubbelingen is een klassieke bron van vage fouten die pas na weken opvallen. Op de shared pakketten van Surver staat LiteSpeed Cache al standaard geïnstalleerd, dus een tweede cachingplugin is daar overbodig. Waarom dat zo werkt, lees je in caching in WordPress uitgelegd.
Het aantal plugins zegt overigens minder dan je zou denken. Een site met twintig goed onderhouden plugins kan sneller en veiliger zijn dan een site met vijf slecht gebouwde. Wat telt, is dat elke plugin een duidelijke taak heeft en dat iemand hem bijhoudt. Het bredere kader, ook voor het kiezen van een thema, staat in de gids Choosing and Managing Plugins and Themes.
Een plugin installeren en activeren
Je installeert een plugin vanuit het dashboard, uit de bibliotheek of als zip-bestand. Zo gaat het in de praktijk.
- Go to Plugins > Nieuwe plugin toevoegen.
- Zoek de plugin op naam en controleer de maker, want namen lijken vaak op elkaar.
- Click on Nu installeren and then on Activate. Heb je een betaalde plugin als zip-bestand, klik dan bovenaan op Plugin uploaden.
- Loop de instellingen van de plugin door. De meeste plugins voegen een eigen menu-onderdeel toe.
- Bekijk de voorkant van je site en test de functie die de plugin moet leveren.
Die laatste stap wordt het vaakst overgeslagen, terwijl je juist daar een conflict met je thema of een andere plugin vroeg ziet. Een betaalde plugin heeft meestal ook een licentiesleutel nodig om updates te ontvangen. Vul die meteen in, anders krijg je ongemerkt een plugin die nooit meer wordt bijgewerkt. Werk je liever op de commandoregel, dan installeer en activeer je een plugin in één keer met wp plugin install contact-form-7 --activate. WP-CLI zit in alle shared pakketten van Surver, net als SSH.
Plugins veilig updaten
Plugins update je het veiligst door eerst een back-up te maken, daarna één voor één bij te werken en direct te controleren of je site nog werkt. Verouderde plugins zijn een van de belangrijkste ingangen voor hackers, dus uitstellen is geen optie. Tegelijk kan een update soms iets breken, meestal door een conflict met je thema, een andere plugin of je PHP-versie. Een back-up maak je zelf in Installatron, en hoe je die terugzet lees je in Restoring a WordPress Backup.
Bij een grote versiesprong lees ik altijd even de changelog, het wijzigingsoverzicht op de pluginpagina. Bij een webshop, een betaalplugin of een pagebuilder test ik de update liever eerst in een staging environment, een kopie van je site die je in Installatron maakt door je installatie te klonen. Na de update controleer je de pagina’s waar de plugin actief is, je formulieren en bij een webshop de checkout. Update liever elke week een paar plugins met deze controle erbij dan elk kwartaal dertig tegelijk. Gaat er bij die grote stapel iets mis, dan is nauwelijks te achterhalen welke plugin het was.
Automatische updates zet je per plugin aan via de link Automatische updates inschakelen in het pluginoverzicht. Dat doe ik alleen bij kleine, stabiele plugins. Kritieke plugins voor betalingen, formulieren en caching houd ik op handmatig, zodat ik zelf het moment kies. Hoe plugin-updates passen in het onderhoud van core en thema, lees je in WordPress updaten.
Deactiveren, verwijderen en opruimen
Een plugin die je niet meer gebruikt, deactiveer je en verwijder je daarna, omdat een gedeactiveerde plugin nog steeds als code op je server staat. Een inactieve plugin doet niets meer in WordPress, maar bij sommige lekken kan iemand de bestanden toch rechtstreeks aanroepen. Pas na Delete zijn ze echt weg. Twijfel je of een plugin nog ergens voor dient, deactiveer hem dan een week en kijk of je iets mist. Let vooral op shortcodes, de stukjes tekst tussen vierkante haken die een plugin op een pagina vervangt door een formulier of slider. Na het verwijderen staan die ineens als losse tekst op je pagina.
Plan twee keer per jaar een opruimronde. Loop de lijst onder Plugins > Installed plugins door, verwijder wat inactief is en vraag je bij elke actieve plugin af of hij zijn plek nog verdient. Veel plugins laten na het verwijderen instellingen in de database achter. Dat is meestal onschuldig, maar wees voorzichtig met opties als ‘alle gegevens verwijderen bij deïnstallatie’ in formulier- of webshopplugins, want die kunnen inzendingen of orders wissen. Hoe je verlaten en verouderde plugins herkent en vervangt, staat in Clean up outdated plugins.
Als een plugin je site breekt
Breekt je site na een installatie of update, dan deactiveer je als eerste de plugin die je het laatst hebt gewijzigd. Vaak stuurt WordPress dan een mail naar het beheerdersadres met een link naar de herstelmodus, waarmee je ondanks de fout in het dashboard kunt. Zie je de melding ‘Er heeft zich een kritieke fout voorgedaan’ of een volledig witte pagina, dan helpt het artikel over het white screen of death je verder.
Kom je het dashboard helemaal niet meer in, dan open je File Manager in cPanel en hernoem je de map van de plugin in wp-content/plugins, bijvoorbeeld naar plugin-name-off. WordPress schakelt de plugin dan zelf uit. Met WP-CLI doe je hetzelfde met wp plugin deactivate plugin-name. Weet je niet welke plugin de boosdoener is, hernoem dan de hele map plugins en zet ze daarna één voor één terug.
Wat we bij Surver standaard regelen, is dat je hiervoor de gereedschappen hebt, van File Manager tot WP-CLI, met dagelijkse back-ups en malwarescans met Imunify op de achtergrond. Het bijwerken zelf blijft je eigen werk, tenzij je het uitbesteedt. Binnen WordPress maintenance werken wij core, thema’s en plugins maandelijks bij, en bij Enterprise testen we updates eerst op staging. Draai je op Managed WordPress Hosting, dan staat die basis al voor je klaar. Meer over het opsporen van conflicten lees je in Site Down After an Update.
Frequently Asked Questions
Hoeveel plugins mag ik maximaal gebruiken?
Daar bestaat geen vast getal. Het gaat om kwaliteit en onderhoud, niet om het aantal. Gebruik er niet meer dan je nodig hebt, één per functie, en verwijder wat je niet gebruikt.
Zijn gratis plugins veilig?
Gratis plugins uit de officiële bibliotheek zijn prima, zolang ze actief onderhouden worden. Download nooit betaalde plugins gratis via andere sites. Zulke ‘nulled’ plugins bevatten geregeld malware, en is het al misgegaan, dan helpen we je via WordPress hacked.
Werkt Surver mijn plugins bij?
Bij alleen hosting doe je dat zelf. Neem je WordPress onderhoud en beheer af, dan werkt Surver je plugins maandelijks bij, met een controle die per pakket verschilt, en scant het vanaf Business dagelijks op kwetsbaarheden.
