Op een dag ziet u in uw beheerscherm een grijs balkje: deze plugin is niet getest met de laatste drie hoofdversies van WordPress. Of u zoekt hem op en de pagina is verdwenen. Een plugin die niet meer ondersteund wordt, is een van de vervelendste situaties in websitebeheer, omdat er niets kapot is. Alles werkt. Alleen komt er nooit meer een reparatie.

Dat maakt het lastig om er tijd voor vrij te maken, want er is geen storing die om aandacht schreeuwt. Hieronder staan de drie routes die u heeft, met daarbij wat ze kosten en wanneer welke route de verstandige is.

Eerst: hoe erg is het?

Niet elke stilgevallen uitbreiding is een probleem. Bepaal eerst de ernst met deze vragen.

  1. Wat doet hij precies? Een plugin die alleen een knopje toevoegt aan de editor is iets anders dan een plugin die uw bestellingen verwerkt.
  2. Raakt hij gegevens van bezoekers? Formulieren, accounts, betalingen en uploadmogelijkheden zijn de plekken waar een lek daadwerkelijk schade oplevert.
  3. Hoe oud is de laatste versie? Twee jaar stilte is anders dan zes maanden.
  4. Staat hij in de kwetsbaarhedenlijsten? Is er een gemeld lek zonder oplossing, dan is uw beslissing al genomen: eruit, deze week.
  5. Hoeveel sites gebruiken hem nog? Bij tienduizenden gebruikers is de kans op een overname of een afsplitsing reëel.

De meeste stilgevallen uitbreidingen zitten in de milde categorie: ze doen iets kleins en ze doen dat gewoon nog. De aanpak om ze op te sporen staat in het artikel over het herkennen van stilgevallen uitbreidingen.

Route 1: laten staan en bewaken

Verdedigbaar als de plugin geen gegevens verwerkt en niets aan uw omzet raakt. Denk aan een uitbreiding die uw openingstijden in een tabelletje zet, of die de titels in het menu een ander lettertype geeft.

Wat u dan afspreekt met uzelf:

  • Zet de naam op een lijstje met een datum van herbeoordeling, bijvoorbeeld elk kwartaal.
  • Laat uw beveiligingsplugin meldingen geven over bekende kwetsbaarheden.
  • Test na elke grotere WordPress-update of dit onderdeel nog werkt.
  • Weet vooraf wat u doet als hij morgen breekt: uitzetten en de functie tijdelijk missen, of direct vervangen?

Kosten: bijna niets, maar wel doorlopende aandacht. Het risico is niet nul en het groeit langzaam. Deze route is uitstel, geen oplossing, en dat is prima zolang u dat weet.

Route 2: vervangen door een alternatief

Meestal de beste keuze. Er is bijna altijd een actief onderhouden uitbreiding die hetzelfde doet, soms met een net andere werkwijze.

Zo pakt u het aan zonder ongelukken:

  1. Zoek uit waar de gegevens staan. Sommige plugins bewaren hun gegevens in eigen tabellen, andere in de standaardvelden van WordPress. Dat bepaalt of overzetten makkelijk of bewerkelijk is.
  2. Exporteer alles wat u kunt exporteren voordat u iets uitschakelt. Formulierinzendingen, adressen, instellingen.
  3. Installeer het alternatief op een kopie en zet het naast het oude in plaats van eroverheen.
  4. Controleer of de zichtbare uitkomst gelijk is, ook op mobiel. Vaak verandert er iets kleins aan de opmaak.
  5. Zet daarna pas het oude uit, en verwijder het pas een week later als alles goed blijft gaan.
  6. Ruim de restanten op. Veel plugins laten tabellen en instellingen achter. Die kunt u opruimen, maar pas als u zeker weet dat u niet terug hoeft.

Kosten: voor een eenvoudige uitbreiding een uur. Voor iets met opgeslagen gegevens, zoals een formulierplugin met jaren aan inzendingen, een halve tot hele dag. Het meeste werk zit in het controleren, niet in het installeren; zie ook de werkwijze om een uitbreiding veilig te vervangen.

Route 3: de functie anders oplossen of laten overnemen

De minst bekende route, en soms de slimste. Vraag u af of u die functie eigenlijk nog nodig heeft. Wij komen regelmatig uitbreidingen tegen die iets doen wat WordPress zelf inmiddels ingebouwd heeft, of iets tonen waar al drie jaar niemand meer naar kijkt. Weghalen is dan gratis en levert een lichtere site op.

Is de functie wel nodig maar bestaat er geen goed alternatief, dan kunt u de code laten overnemen. Bij een openbaar beschikbare plugin mag een ontwikkelaar hem in principe onderhouden voor uw eigen site: PHP-uitbreidingen voor WordPress vallen doorgaans onder een licentie die dat toestaat, maar laat dat per geval nakijken, want wij zijn geen juristen. Praktisch betekent het dat een ontwikkelaar de plugin geschikt houdt voor nieuwe PHP-versies en de bekende zwakke plekken dichtzet.

Kosten: reken op een dagdeel per jaar, en op meer als er echt iets breekt. Dit is alleen verdedigbaar als de functie voor uw bedrijf onmisbaar is en vervangen tienduizenden euro’s zou kosten, bijvoorbeeld bij een ledenadministratie of een koppeling met uw eigen systeem.

Wat u niet moet doen

Niet: de plugin uitschakelen en laten staan. Een uitgeschakelde plugin is nog steeds een map met bestanden die via het web bereikbaar zijn, en bij een aantal bekende lekken maakte het niet uit of de plugin actief was. Verwijderen, niet uitzetten.

Ook niet: zoeken naar een gedownloade kopie van een nieuwere versie op een willekeurige site. Dat is precies de weg waarlangs besmette bestanden binnenkomen.

En niet: het probleem opsparen tot de jaarlijkse grote schoonmaak. Bij één stilgevallen uitbreiding is dat te overzien. Bij zeven tegelijk wordt het een project, en dan gebeurt het niet.

Hoe wij het aanpakken

Wij houden per site bij welke uitbreidingen wanneer voor het laatst zijn bijgewerkt, en zetten daar een kleurcode achter. Groen blijft staan, oranje krijgt een vervangplanning, rood gaat er dezelfde week uit. Dat is geen ingewikkeld systeem, maar het zorgt ervoor dat er niet ineens vijf tegelijk rood staan. Die bewaking is bij ons onderdeel van het vaste maandelijkse nalopen van elke site.

Concrete volgende stap: filter in uw pluginoverzicht op de uitbreidingen met een waarschuwing over compatibiliteit. Staan daar er meer dan twee, dan is dit geen kwartaalklus maar een agendapunt voor deze maand.