Je opent je pluginlijst en ziet nog een sliderplugin van je vorige website en een formulierplugin die al jaren niets meer doet. Een plugin is verouderd als hij langer dan een jaar geen update kreeg, niet getest is met de huidige WordPress-versie of uit de officiële repository is verwijderd. Deactiveer en verwijder ongebruikte plugins volledig, want uitschakelen alleen is niet genoeg. Het bredere kader staat in plugins en thema’s kiezen en beheren.
Verouderd, verlaten, gesloten of ongebruikt: wat is het verschil?
Verouderd, verlaten, gesloten en ongebruikt zijn vier verschillende situaties, en elk vraagt een andere actie. In de praktijk worden ze vaak door elkaar gehaald, en dan krijg je adviezen als ‘gewoon even updaten’ voor een plugin die al jaren geen updates meer krijgt. De tabel zet ze naast elkaar.
| Begrip | Wat het is | Hoe herken je het | Risico | Actie |
|---|---|---|---|---|
| Verouderde plugin | Update beschikbaar, niet uitgevoerd | Updatemelding in je pluginlijst | Bekende lekken blijven open | Back-up maken en updaten |
| Verlaten plugin | De ontwikkelaar is ermee gestopt | Ruim een jaar geen update, stil supportforum | Nieuwe lekken worden niet meer gedicht | Vervangen |
| Gesloten plugin | Uit de officiële repository gehaald | Melding op wordpress.org | De reden kan een beveiligingsprobleem zijn | Uitzoeken waarom, meestal vervangen |
| Ongebruikte (inactieve) plugin | Uitgeschakeld maar nog geïnstalleerd | Status inactief | De code staat nog op je server | Verwijderen |
Een verouderde plugin update je dus, een verlaten of gesloten plugin vervang je en een ongebruikte plugin verwijder je. Een verlaten plugin die nog actief op je site draait, wordt ook wel een zombieplugin genoemd. Ik vergelijk het met een huis waarvan de huisbaas niet meer langskomt voor reparaties. Zolang er niets kapotgaat, merk je niets, maar een lekkend dak blijft lekken.
Waarom verouderde plugins een risico zijn
Verouderde plugins zijn een risico omdat bekende fouten in de code blijven zitten, en de bekendste daarvan zijn beveiligingslekken. Hoe die lekken passen in de rest van je beveiliging, lees je in de complete gids voor WordPress-beveiliging. Zodra een lek gepubliceerd is, gaan bots er gericht naar zoeken, en daarom is dit een van de 7 oorzaken van een WordPress-hack. Hoe je lekken in de gaten houdt, lees je in kwetsbaarheden in plugins monitoren. Is een lek al misbruikt, dan heb je het over herstel en niet meer over opruimen. Daarvoor kun je terecht bij WordPress gehackt.
Daar komt nog iets bij. Na een update van WordPress of PHP kan een oude plugin ineens een kritieke fout geven, omdat de compatibiliteit met die nieuwe versie nooit is getest. Ook de snelheid lijdt eronder. Met een plugin als Query Monitor zie je welke plugin je site vertraagt. En soms wordt een plugin verkocht aan een partij met andere bedoelingen, waarna er via een gewone update ongewenste code meekomt.
Een plugin die je niet gebruikt, verwijder je. Uitschakelen voelt veilig, maar de code blijft op je server staan, als een raam dat dicht is maar niet op slot zit. Bij sommige lekken kan een aanvaller de bestanden van een inactieve plugin rechtstreeks aanroepen, ook al doet die plugin in WordPress niets meer. Elke plugin vergroot zo je aanvalsoppervlak, het totaal aan plekken waar iemand binnen kan komen. Niet elk lek werkt op die manier, maar ik zie geen reden om het risico te laten staan.
Zo herken je een verouderde of verlaten plugin
Een verouderde plugin herken je aan een openstaande update, een verlaten plugin aan de combinatie van een stille ontwikkelaar en een verouderde testversie. Begin in Plugins > Geïnstalleerde plugins, waar je per plugin ziet of er een update klaarstaat. Open daarna de pluginpagina op wordpress.org. Daar zie je wanneer de plugin voor het laatst is bijgewerkt, met welke WordPress-versie hij is getest en hoeveel actieve installaties hij heeft. Staat er een gele waarschuwing dat de plugin niet getest is met de laatste 3 grote releases, of meldt de pagina dat de plugin gesloten is, dan weet je genoeg.
Het tweede wat ik check, is het supportforum. Worden vragen daar nog beantwoord, dan leeft de plugin meestal nog. Zoek tot slot in WPScan of Patchstack of er een bekende kwetsbaarheid is. Ook Extra > Sitediagnose geeft een aanbeveling als er inactieve plugins op je site staan. Werk je met WP-CLI, dan toont wp plugin list in één overzicht de status, de versie en of er een update beschikbaar is. Voor premium plugins buiten de repository kijk je in de changelog en de licentie bij de verkoper. Een jaar zonder update is onze vuistregel, maar kijk naar de combinatie van signalen. Een kleine, eenvoudige plugin kan lang stabiel zijn zonder dat er iets aan hoeft te gebeuren.
Ongebruikte plugins veilig verwijderen
Ongebruikte plugins verwijder je één voor één, zodat je bij een probleem precies weet welke plugin het veroorzaakte. Dit is de volgorde die ik aanhoud.
- Maak een back-up, zodat je terug kunt naar de vorige staat (zie back-up terugzetten).
- Ga na waar de plugin gebruikt wordt, in shortcodes, blokken, widgets of formulieren.
- Test het verwijderen bij twijfel eerst in een staging-omgeving.
- Deactiveer de plugin en controleer of je site nog goed werkt.
- Verwijder de plugin via Plugins > Geïnstalleerde plugins > Verwijderen.
- Leeg de cache en test je belangrijkste pagina’s en, bij een webshop, de checkout.
Stap 2 wordt het vaakst overgeslagen, en dan staan er na het verwijderen ineens losse shortcodes tussen vierkante haken op je pagina’s. Werkt het dashboard niet mee, dan kun je de pluginmap in wp-content/plugins ook verwijderen via File Manager in cPanel. Ruim meteen je ongebruikte thema’s op en houd naast je actieve thema hooguit één standaardthema als reserve.
Veel plugins laten na het verwijderen instellingen en tabellen in de database achter. Dat is meestal onschuldig en soms zelfs bewust, zodat je instellingen terugkomen als je de plugin opnieuw installeert. Wil je dat opruimen, lees dan WordPress-database opschonen. Pas wel op met opties als ‘alle data verwijderen bij deïnstallatie’ in WooCommerce of formulierplugins, want die kunnen orders of inzendingen wissen.
Een verlaten plugin vervangen
Een verlaten plugin vervang je door een actief onderhouden alternatief, en je verwijdert de oude pas als de nieuwe werkt. Test de vervanger op staging, zet de instellingen over en controleer of alles wat de oude plugin deed ook echt werkt. Bij een betaal- of verzendplugin plaats je altijd een testbestelling. Voor een webshop hoort dat werk bij WooCommerce beheer. Soms is er geen goed alternatief. Houd de plugin dan extra in de gaten, of laat de functie als maatwerk bouwen via onze webmasterservice.
Wat je bij Surver zelf kunt doen op managed WordPress hosting, is vóór het opruimen een eigen back-up maken in Installatron en je installatie daar klonen als staging-omgeving. Op Surver Cloud zetten we de staging-omgeving voor je op. Met WP-CLI, dat in alle shared pakketten zit, zie je in één opdracht welke plugins achterlopen. Heb je geen zin om dit zelf bij te houden, dan werken we binnen WordPress beheer core, thema’s en plugins maandelijks bij. Bij Enterprise testen we updates eerst op staging, en een inhaalslag bij een verwaarloosde site valt er ook onder. Doe je het zelf, plan dan elk kwartaal een plugin-audit en lees hoe je plugins installeren, beheren en updaten.
Veelgestelde vragen
Kan ik plugins automatisch laten updaten?
Ja, dat zet je per plugin aan via Plugins > Geïnstalleerde plugins. Doe het alleen voor betrouwbare, eenvoudige plugins en niet voor betaal-, verzend- of pagebuilderplugins, en zorg dat er altijd een recente back-up is.
Hoe vaak moet ik mijn plugins controleren?
Updates loop je wekelijks na. Een volledige audit, waarin je ook kijkt welke plugins je nog gebruikt en welke verlaten zijn, doe je elk kwartaal.
Controleert Surver mijn plugins?
Binnen WordPress onderhoud en beheer wel. Surver werkt je plugins maandelijks bij, met een controle die per pakket verschilt, en scant vanaf Business dagelijks op kwetsbaarheden. Zelf opruimen kan veilig met een back-up en een staging-kloon in Installatron.
