Detetar e substituir plugins do WordPress sem manutenção

O facto de o WordPress não mostrar atualizações pendentes não significa que todos os seus componentes continuem a ser mantidos. Um plugin abandonado pode ficar na sua última versão mesmo que surjam falhas de segurança ou incompatibilidades.

O que rever em cada componente

Em Plugins, abra Ver detalhes quando estiver disponível e consulte a publicação oficial. Verifique em conjunto:

• Data e conteúdo das últimas versões.
• Compatibilidade declarada com o WordPress e o PHP.
• Atividade de suporte e resposta a problemas de segurança.
• Proveniência do pacote e quem publica as suas atualizações.
• Avisos que afetem a versão instalada.

Não há um prazo fixo que prove o abandono. «Não testado com a sua versão» também não demonstra uma vulnerabilidade. Um plugin comercial ou privado pode ser atualizado fora do WordPress.org; reveja a sua licença e o canal de distribuição antes de concluir que não recebe manutenção.

Decidir o que fazer

Se não precisar dele, prepare a sua remoção e verifique se guarda dados, gera shortcodes ou deixa tarefas. Estar desativado não elimina os seus ficheiros do servidor.

Se for necessário e confirmar que não recebe correções, procure uma alternativa ou uma adaptação mantida. Teste a substituição em staging: formulários, conteúdo, pagamentos, tarefas e dados históricos podem depender dele. Não elimine primeiro o plugin se o seu desinstalador puder apagar informação que precisa de migrar.

Guarde uma cópia dos ficheiros e da base de dados e registe o que substitui e porquê. Perante uma vulnerabilidade ativa, limite a função exposta enquanto prepara a correção; não espere indefinidamente por uma atualização sem responsável.

Revê-lo periodicamente

Mantenha um pequeno inventário de componentes, função, responsável e canal de atualização. Reveja também os temas inativos e as extensões privadas. A antiguidade ajuda a definir prioridades, mas não permite, por si só, atribuir um incidente.

Se já houver alterações não autorizadas, siga a limpeza do WordPress: substituir o plugin suspeito não demonstra que toda a persistência tenha sido eliminada.