Plugins gaan zelden met een knal kapot. Ze verdwijnen langzaam. De maker stopt ermee, verkoopt het project of heeft er simpelweg geen tijd meer voor. De plugin blijft draaien, uw site blijft werken, en niemand merkt iets. Tot het moment dat er een kwetsbaarheid in wordt gevonden en er nooit meer een update komt om die te dichten.

Een verlaten plugin in WordPress is daarom een van die risico’s die zich pas laat melden, en dan meestal hard. Het goede nieuws: u kunt het ruim van tevoren zien aankomen. Er zijn een paar signalen die vrijwel altijd kloppen, en u heeft er geen technische kennis voor nodig. In dit artikel loopt u ze langs, en leest u wat u doet als er eentje op uw site staat.

Zeven signalen dat een plugin is opgegeven

Ga naar Plugins in uw WordPress-beheerscherm en klik bij een plugin op Details bekijken. In dat venster, en op de pagina van de plugin op wordpress.org, staat vrijwel alles wat u nodig heeft.

  1. Laatste update meer dan een jaar geleden. Het duidelijkste signaal. Bij zes maanden gaat de wenkbrauw omhoog, bij twaalf maanden neemt u actie. Kleine, heel simpele plugins vormen soms een uitzondering, maar alleen als de rest van de signalen goed is.
  2. De waarschuwing op wordpress.org. WordPress zet bij plugins die meer dan twee grote versies achterlopen een gele melding: “Deze plugin is niet getest met de laatste 3 hoofdversies van WordPress.” Dat is een expliciete hint.
  3. Onbeantwoorde supportvragen. Op het supporttabblad ziet u hoeveel vragen er in de laatste twee maanden zijn opgelost. Staat daar “0 van de 14 opgelost”, dan is er niemand meer die meeleest.
  4. Recente reviews die klagen over stilte. Lees de nieuwste beoordelingen, niet het gemiddelde. Zinnen als “reageert al maanden niet” zeggen meer dan vier sterren uit 2019.
  5. Dalend aantal actieve installaties. Op de plugin-pagina staat een grafiek. Een gestage daling betekent dat andere beheerders al zijn overgestapt.
  6. De website of het changelog van de maker is dood. Een link naar een domein dat niet meer bestaat of een blog waarvan het laatste bericht uit 2021 komt, is veelzeggend.
  7. Een premium plugin waarvan de licentie niet meer te verlengen is. Krijgt u geen factuur meer en werkt de licentiepagina niet, dan krijgt u ook geen updates meer, ook al lijkt alles normaal.

Eén signaal is nog geen bewijs. Twee of drie tegelijk is dat wel. In de praktijk is de combinatie “meer dan een jaar geen update” plus “onbeantwoorde supportvragen” genoeg om te handelen.

Waarom oud niet hetzelfde is als kapot, en toch riskant

Een verlaten plugin doet het meestal gewoon. Dat is precies het probleem: er is geen alarm. Het risico ontstaat op drie manieren.

Ten eerste beveiliging. Wordt er een lek gevonden in een plugin die nog wordt onderhouden, dan komt er binnen dagen een update. Bij een verlaten plugin komt die nooit, terwijl het lek wel openbaar wordt gemaakt en dus voor iedereen te vinden is. Geautomatiseerde scans zoeken gericht naar juist die versies.

Ten tweede compatibiliteit. WordPress en PHP schuiven door. Een plugin die in 2020 is geschreven, gebruikt soms functies die inmiddels zijn verwijderd. Bij de sprong naar een nieuwere PHP-versie levert dat foutmeldingen op of een wit scherm. Dat de plugin al jaren werkte, zegt niets over morgen.

Ten derde afhankelijkheid. Hoe langer een verlaten plugin blijft staan, hoe meer content en instellingen eraan vast komen te zitten. Een sliderplugin met veertig sliders vervangen is een middagje werk; met vierhonderd is het een project. Vervangen wordt duurder naarmate u wacht.

Wat u doet als u er een vindt

Niet elke verlaten plugin hoeft er meteen uit. Bepaal eerst hoe belangrijk hij is en hoeveel hij aanraakt.

  • Doet hij niets meer? Verwijderen. Veel sites hebben plugins staan voor een functie die jaren geleden is vervallen. Deactiveren is niet genoeg: de bestanden blijven op de server staan en blijven daarmee benaderbaar. Verwijder ze echt.
  • Doet hij iets kleins? Kijk of een actief onderhouden alternatief het overneemt, of dat de functie inmiddels in WordPress of uw thema zelf zit. Denk aan galerijen, accordeons of het aanpassen van de inlogpagina.
  • Doet hij iets groots en centraals? Denk aan formulieren, een boekingssysteem of de webshopkoppeling. Neem hier de tijd voor en test op een testomgeving. De aanpak staat in het artikel over een plugin veilig vervangen.
  • Bestaat er geen alternatief? Dat komt voor bij hele specifieke koppelingen. Beperk dan het risico: zet de plugin alleen aan waar hij nodig is, en laat een ontwikkelaar beoordelen of de code veilig is.

Maak in alle gevallen eerst een verse back-up. En doe niet alles op één avond: verwijder of vervang per keer één plugin, zodat u weet welke wijziging iets veroorzaakt als er iets misgaat.

Een praktijkvoorbeeld

Een fysiotherapiepraktijk in Zwolle gebruikte een afsprakenplugin die in 2019 voor het laatst was bijgewerkt. Hij werkte prima. Bij een controle bleek dat de supportforums al twee jaar stil waren en dat de maker zijn website offline had gehaald. Er was op dat moment niets aan de hand.

De praktijk koos ervoor om niet te wachten. In een testomgeving werd een actief onderhouden alternatief ingericht, de bestaande afspraken werden geëxporteerd en de oude plugin ging eruit. Het kostte een halve dag en er is geen enkele afspraak misgelopen. Een jaar later werd in precies die oude plugin een lek gepubliceerd waarmee bezoekers gegevens van patiënten konden opvragen. Dat is het verschil tussen zelf het moment kiezen en het moment opgelegd krijgen.

Houd het bij, twee keer per jaar

Het bijhouden van pluginstatus is geen maandelijkse klus. Twee keer per jaar een halfuur is genoeg. Loop de lijst langs, noteer per plugin de datum van de laatste update, en markeer alles boven de negen maanden als “in de gaten houden”. Zo houdt u overzicht en heeft u nooit meer dan een of twee plugins tegelijk te vervangen. Een goed moment om dit te combineren is de opruimronde die in het artikel over plugins opruimen staat beschreven.

Heeft u er de tijd of de zin niet voor, dan is dit een van de vaste onderdelen van professioneel websiteonderhoud: de beheerder ziet in het maandoverzicht welke plugins achterblijven en meldt het voordat het een probleem wordt. Bij WebMaintor staat het standaard in de maandelijkse controle.

Begin vandaag klein: open uw pluginlijst, sorteer op laatste update en kijk of er iets bij zit van meer dan een jaar oud. Dat kwartiertje vertelt u precies waar uw eerstvolgende aandacht naartoe moet.