قالب رایگان وردپرس خطرناک نیست؛ ۹۰۰ قالب را سنجیدیم

چه چیزی را اندازه گرفتیم

مخزن رسمی قالب های وردپرس یک رابط برنامه نویسی عمومی دارد که تاریخ آخرین به روزرسانی هر قالب را می دهد. در ۲۶ مرداد ۱۴۰۵ کل مخزن ۸۴۳۰ قالب داشت که در ۸۵ صفحه فهرست می شود. ما یک در میان از هر ده صفحه نمونه برداشتیم، ۱۰۰ قالب از هر صفحه، جمعا ۹۰۰ قالب یعنی نزدیک به یازده درصد کل مخزن.

میانه فاصله تا آخرین به روزرسانی ۷۹ روز بود. کمتر از سه ماه.

یک تذکر درباره روش، چون بدون آن این عدد را نباید باور کرد: نمونه ما بر اساس ترتیب محبوبیت گرفته شده، و ترتیب محبوبیت طبیعتا به سمت قالب های زنده تر متمایل است. صفحه ۸۱ از ۸۵ هم در نمونه بود و همان الگو را داشت، ولی ادعای ما این است که در بخش قابل توجهی از مخزن نگهداری جاری است، نه این که هیچ قالب متروکی در کل دنیا وجود ندارد.

عددی که واقعا نگران کننده بود

چیز دیگری در همان داده بود که انتظارش را نداشتیم. هر قالب حداقل نسخه PHP مورد نیازش را اعلام می کند و این اعلام ها عقب مانده اند.

۶۱۰ قالب از ۹۰۰، یعنی حدود ۶۸ درصد، حداقل نسخه شان PHP 7.0 یا قدیمی تر است. فقط ۲۱ تا از ۹۰۰ عدد ۸.۰ یا بالاتر را اعلام کرده اند.

اینجا باید دقیق حرف زد، چون خیلی ها این عدد را اشتباه می خوانند. این رقم کف پشتیبانی است، نه نسخه ای که قالب رویش اجرا می شود. قالبی که می گوید روی PHP 5.6 هم کار می کند، لزوما آسیب پذیر نیست و روی PHP 8.3 شما هم درست اجرا می شود. چیزی که این عدد نشان می دهد این است که کد برای دنیای قدیم نوشته شده و کسی زحمت به روز کردن آن سطح را نکشیده. این یک نشانه است، نه یک حکم.

پس خطر کجاست

خطر در فایلی است که از سایت واسطه دانلود می کنید. مخزن رسمی هر قالب را قبل از انتشار بازبینی می کند و فهرست الزامات آن بازبینی عمومی است. سایتی که قالب تجاری چند میلیون تومانی را «رایگان» می دهد، هیچ کدام از این مراحل را طی نکرده و انگیزه اش هم روشن است: چیزی داخل آن فایل هست که ارزش پخش رایگانش را دارد.

در سایت هایی که برای پاک سازی تحویل گرفته ایم، الگوی تکرارشونده همین بوده. قالب دانلودی از یک سایت فارسی، لینک های مخفی در فوتر، و یک فایل که با هر به روزرسانی برمی گردد چون در پوشه قالب نشسته و نه در افزونه. صاحب سایت معمولا خبر ندارد و اولین نشانه هم افت رتبه است، نه پیام هشدار.

قاعده ای که به مشتری هایمان می گوییم

قالب رایگان از مخزن رسمی وردپرس: بدون نگرانی. قالب پولی خریداری شده از فروشنده اصلی: بدون نگرانی. قالب پولی که رایگان جایی گذاشته شده: هرگز، تحت هیچ شرایطی، حتی برای سایت آزمایشی.

و یک قاعده که کمتر گفته می شود: قبل از نصب هر قالبی، تاریخ آخرین به روزرسانی و تعداد نصب فعالش را در صفحه همان قالب در مخزن رسمی ببینید. سی ثانیه وقت می برد و بیشتر تصمیم های بد را همان جا می گیرد.

کجا این توصیه کار نمی کند

اگر سایتتان فروشگاه است و گردش مالی دارد، قالب رایگان تصمیم درستی نیست، ولی نه به دلیل امنیت. به دلیل این که قالب عمومی برای سناریوی شما نوشته نشده و شما آخرش با ده افزونه جبرانش می کنید، و همان ده افزونه است که خروجی صفحه را سنگین می کند. آن وقت هزینه ای که در قالب صرفه جویی کردید را به شکل نرخ تبدیل پس می دهید.

اگر شک دارید سایت فعلیتان چیزی داخل قالبش دارد یا نه، نشانه های هک شدن سایت را یک بار مرور کنید؛ اگر تطابق داشت، بازرسی فایل های قالب و افزونه کاری است که ما انجام می دهیم. و اگر تازه اول کار هستید، ساخت سایت روی قالب اختصاصی این کل بحث را از دستور کار خارج می کند.

سوال هایی که واقعا پرسیده می شود

قالب رایگان روی سئو اثر بد دارد؟

خود رایگان بودن نه. کیفیت کد اثر دارد و بین قالب های رایگان مخزن رسمی هم این کیفیت خیلی متفاوت است. معیار عملی، سرعت و ساختار خروجی است، نه برچسب قیمت.

از کجا بفهمم قالب فعلی ام نال شده است؟

اگر قالب تجاری است و شما پولش را نداده اید، نال شده است. راه فنی اش هم مقایسه فایل ها با نسخه اصلی و گشتن دنبال کد رمزگذاری شده است، ولی اگر جواب سوال اول بله بود، نیازی به راه فنی نیست.

چند وقت یک بار قالب را به روز کنم؟

هر وقت به روزرسانی منتشر شد، بعد از گرفتن نسخه پشتیبان. تاخیر در به روزرسانی قالب، برخلاف افزونه، کمتر باعث خرابی می شود و بیشتر باعث جا ماندن از وصله های امنیتی.