Aktuell sind bei mir 8 installiert, 6 aktivert.
Das sagt überhaupt nichts darüber aus, wie stark der Arbeitsspeicher deines Webservers ausgelastet und die Performance durch zusätzliche Datenbankabfragen verschlechtert wird. Plugins können auch vier, fünf Zeilen PHP-Code bestehen oder in sich eine komplexe Webanwendung sein, z.B. bei WooCommerce.
Und alle sind mit der aktuellen WordPress Version getestet.
Hier gibt es auch viele Missverständnisse.
Die Plugins, die du im Plugin-Verzeichnis findest, wurden alle geprüft, bevor sie im Plugin-Verzeichnis veröffentlicht wurden. Für nachfolgende Updates sind die Plugin-Entwickler:innen selber verantwortlich. Da jede noch so kleine Änderung (auch in der Readme-Datei, in der die Angabe der zuletzt getesteten WordPress-Version steht) per Versionskontrollsoftware SVN übermittelt werden muss, scheuen gerade einzelne Programmier:innen, die ein Plugin in ihrer Freizeit erstellt haben, den Aufwand. Das führt dann zu dem Hinweis, dass eine Software „nicht mit deiner WordPress-Version getestet“ wurde, obwohl sie weiterhin tadellos funktioniert. Der Hinweis soll dich eigentlich nur darauf aufmerksam machen, dass an dem Plugin länger keine Änderung mehr vorgenommen wurde, aber für viele Anwender:innen entsteht der Eindruck, dass das Plugin dann nicht mehr funktionieren würde – und das stimmt so einfach nicht.
Wie ist deine Empfehlung?
Kann man das Auto-Update gefahrlos aktiveren?
WordPress ist hat mit Abstand den größten Marktanteil an Content Management Systemen, läuft also auf sehr vielen Webservern. Findet ein Angreifer eine Sicherheitslücke in einem Plugin, ist die Chance groß, dass er damit gleich einige tausend Websites manipulieren kann. Es dauert dann noch eine kurze Zeit, bis sich die Sicherheitslücke „in Fachkreisen“ herumgesprochen hat und Angriffe automatisiert werden. Danach kann dann jeder „Hacker-Azubi“ mit wenigen Mausklicks einen Angriff auf diese Sicherheitslücke starten.
In der Zwischenzeit wird die Sicherheitslücke auch dem Plugin-Entwickler bekannt und meistens erfolgt ein Sicherheitsupdate so schnell, dass zumindest die automatisierten Angriffe abgewehrt werden können – vorausgesetzt, du schaffst es rechtzeitig, auf deiner Website das Plugin zu aktualisieren.
Weil viele Webanwender keine Lust haben, ihre Website zweimal am Tag auf anstehende (und wie wir gerade gesehen haben, unter Umständen dringend notwendige!) Updates zu prüfen, haben die Entwickler die automatische Aktualisierung im WordPress-Core eingeführt.
Häufig wird argumentiert, dass eine automatische Aktualisierung durch Programmierfehler im Update die Website lahmlegen oder zumindest empfindlich stören könnte. Neben der Dringlichkeit für Sicherheitsupdates lässt sich hier entgegenhalten, dass Websites auch mit anderen Webanwendungen (z.B. phpServerMonitor) laufend überwacht werden können. Taucht dann zum Beispiel die Zeile „Stolz präsentiert von WordPress“ im Footer nicht auf (weil ein Update die Website zerschossen hat), geht automatisch eine Mitteilung an den Administrator, der mit Plugins wie WP Rollback ein Downgrade durchführen kann. Der Aufwand ist minimal und steht in keinem Verhältnis dazu, die Website nicht laufend aktuell zu halten.
Eine kurze Frage zu den Plugins. Hast du mehr Vertrauen in den Bezahl-Plugins, oder könntest du dich auch für ein kostenfreies entscheiden?
Ich verwende bis auf ganz wenige Ausnahmen (Cache-Plugin WP Rocket, Advanced Custom Fields, Borlabs Cookies, ggf. Premium-Plugins für Themes wie Astra) keine bezahlten Plugins, weil mir in den meisten Fällen die kostenlos erhältliche Version ausreicht und ich mir den Code direkt anschauen kann. Für gekaufte Plugins kann dir nur der Entwickler Support anbieten, weil nur er den Code kennt. Leider gibt es einen Trend, dass Plugins in der kostenlosen Version immer weniger Funktionalität bereitstellen, weil die Entwickler ihre Arbeit bezahlt haben möchten (was durchaus nachvollziehbar ist). Es gibt aber noch viele kleine und nicht so kleine Helfer-Plugins, die viel Leistung mitbringen ohne einen Cent zu kosten. Ich bin zum Beispiel regelmäßig überrascht, wie viel sich mit dem „alt-bewährten“ Plugin Contact Form 7 machen lässt, wenn man es richtig ausnutzt und vor allem die wirklich gut gemachte Dokumentation liest.
Hier im Supportforum empfehlen wir vor allem kostenlos erhältliche Plugins aus dem WordPress-Plugin-Verzeichnis. Es gibt aber auch Fälle, in denen es sinnvoller ist, 50 Euro für ein Plugin auszugeben, als sich selber über mehrere Tage an einer vermurksten Lösung zu versuchen, wahrscheinlich noch Sicherheitslücken einzubauen und in langen Threads im Supportforum nachzufragen, weil ein paar Euro auszugeben als unsittlich angesehen wird.
Dass die Plugins im Verzeichnis OpenSource sind und sich damit eine Vielzahl an Nutzern jederzeit den Code anschauen können, gibt mir ein größeres Gefühl von Sicherheit, als ein kostenpflichtiges Plugin, dessen Code ich nicht kenne. Gleichzeitig gibt es Entwickler, denen ich soviel Kompetenz zutraue, dass schwerwiegende Sicherheitslücken gar nicht erst auftreten sollten. Bei der Premium-Version von z.B. Advanced Custom Fields mache ich mir weniger Sorgen über mögliche Programmierfehler.
