Strona www | Kobieta Koduje

Bezpieczeństwo w wordpress cz. II

kobieta koduje — Wed, 02 Mar 2022 17:04:57 +0000

WordPress nie należy do aplikacji o największym poziomie bezpieczeństwa, i wynika to z kilku historycznych powodów:

Miał być narzędziem do prowadzenia blogów czy też stron wizytówkowych, a nie sklepem internetowym czy czymkolwiek innym co zawierałoby wrażliwe dane o użytkownikach.
Powstał w 2003 roku, a 20 lat w branży IT to jak epoka dla innych dziedzin biznesowych. Internet przeszedł ewolucję w kwestii cyberbezpieczeństwa, i tak jak kiedyś był to jeden wielki znak zapytania, tak teraz zwraca się na to dużo większą (choć nadal niewystarczającą) uwagę.
Posiada rozproszony autorytet, lub jak kto woli – powstał jako open source. Umożliwia nam to rozszerzenie naszej aplikacji o kod zarówno programistów tworzących oprogramowanie komercyjne w sposób w pełni profesjonalny, jak i tych, którzy dopiero się tego uczą.

Przejdźmy przez najpopularniejsze metody ochrony przed poszczególnymi atakami:

Będziemy starać się unikać instalacji dodatkowych wtyczek z racji, że są one potencjalnie możliwymi wektorami ataku.

Bruteforce

Atak typu bruteforce czyli atak słownikowy polegający na odgadywania haseł “losowo”. Jest to najprymitywniejsza forma ataku jakiej może dopuścić się złośliwy użytkownik i jednoczesnie jedna z łatwiejszych do ochrony bo wystarczy… ustawić ponadprzeciętne hasło.

Ma to na celu uczynić próby atakującego nieopłacalnymi w czasie, lecz jeśli jesteś trochę bardziej świadomym programistą to możesz zauważyć pewien problem – ataki typu bruteforce są z natury podobne do ataków typu DDoS, gdyż niezamierzonym efektem ubocznym jest wygenerowanie bardzo dużego ruchu na stronie co skutkuje zaburzeniem pracy serwera.

Ale jak to?

Każdy użytkownik odwiedzający strony WordPressowe niezależnie od tego czy odwiedza stronę ze zdjęciami, swój koszyk, formularz kontaktowy lub dowolny inny adres na naszej stronie “rezewuje” sobie kilkanaście / kilkadziesiąt megabajtów pamięci (w zależności od konfiguracji, ilośći wtyczek, itp.), jakiś procent zużycia procesora, i coś tam przepustowości sieci, w skrócie – zabiera nam zasoby.

Kiedy jeden użytkownik próbuje 100 razy odgadnąć hasło to problem nie nastaje bo robi to synchronicznie (jedna próba za drugą), natomiast w przypadku tego typu ataków możemy spodziewać się symulacji wydarzeń w których serwer otrzymuje żądania od kilkudziesięciu użytkowników jednocześnie co często kończy się spadkiem wydajności strony, albo nawet jej crashem.

Przed klasycznym atakiem DDoS powinien ochronić nas w przypadku serwerów współdzielonych nasz dostawca hostingowy, gdyż ma całkowitą kontrolę nad infrastrukturą, natomiast przed próbą włamania się do panelu administracyjnego musimy już radzić sobie sami.

Metod jest kilka:
Ustawienie hasła dla adresu /wp-admin za pomocą htpasswd

Aplikacja htpasswd pozwala nam wygenerować plik zawierający nazwę użytkownika, oraz hash hasła służącego do autoryzacji pod danym adresem URL. Oznacza to, że zanim dostaniemy możliwość wpisania danych do naszej strony ujrzymy następujący popup na stronie:

I co to zmienia? Użytkownik nadal może zgadywać hasło

Owszem, lecz w tym przypadku nie jest zaangażowany do tego silnik PHP a jedynie serwer Apache co krytycznie zmniejsza ilość pożeranych zasobów przez złośliwe boty odwiedzające naszą stronę. Często sposób w jaki są oskryptowane sprawia, że po otrzymaniu wymagania dodatkowego uwierzytelnienia porzucają dalsze próby włamania się na stronę.

No ok, więc jak to dodać na mojej stronie?

Zarówno na Linuxie jak i Windowsie aplikacja ma nazwę htpasswd i jest dostarczana wraz z serwerem Apache, lub oddzielnie w paczce xxx-utils (linux)

https://httpd.apache.org/docs/2.4/programs/htpasswd.html

Popularne ścieżka w systemie Windows to C:/Xampp/bin/htpasswd.exe

Wywołujemy ten program następująco:

htpasswd.exe -c -B C:\Projects\Wordpress\.htpasswd John

Zostaniemy poproszeni o dwukrotne wpisanie hasła, po czym zostanie utworzony w podanej ścieżce plik .htpasswd zawierający mniej więcej taką zawartość:

John:$apr1$a1iNsTt2$H.MDgnxQ6jafyHmK0R78i1

Gdzie po lewo jest nazwa użytkownika do logowania, a po prawo hash zapisany za pomocą algorytmu bcrypt (-B)

I co z tym plikiem?

Tak gotowy plik wrzucamy do głównego katalogu i instruujemy serwer Apache by chronił nim poszczególne adresy URL

Uwaga: jeżeli mamy taką możliwość to nie przechowujemy tego pliku w katalogu w którym znajduje się nasza strona www. Odpowiednio skonfigurowany serwer Apache powinien ten plik odczytywać z lokacji niedostępnej dla silnika PHP. Niestety w przypadku serwerów współdzielonych zazwyczaj dostajemy FTP i krzyż na drogę więc zostaje nam tylko takie rozwiązanie

No dobra dobra, co z tym instruowaniem Apacha?

Edytujemy treść pliku .htaccess by zawierał następującą treść na początku:

SetEnvIf Request_URI ^/wp-admin require_auth=true

AuthUserFile /var/www/html/.htpasswd
AuthName „Hello there”
AuthType Basic

Order Deny,Allow
Deny from all
Satisfy any
Require valid-user
Allow from env=!require_auth

order allow,deny
deny from all

Ta reguła mówi nam: “Jeśli adres URL zaczyna się od wp-admin, to wymuś autoryzację za pomocą pliku /var/www/html/.htpasswd”, oraz “Zabroń bezpośredniego dostępu do pliku .htaccess” tak by nie można było go podejrzeć manipulując adresem URL

Tutaj ścieżka do pliku .htpasswd będzie prawdopodobnie zupełnie inna dla środowisk w których posiadacie swoje strony. W przypadku, gdy nie zostało to zablokowane to z pomocą Filezilli można kliknąć na dowolnym katalogu i pobrać jego pełną ścieżkę na serwerze. Podanie ścieżki relatywnej odbywa się względem katalogu na którym jest serwer (nie strona), a na hostingu współdzielonym nie powinniśmy mieć do tej lokacji dostępu więc jesteśmy tu skazani na użycie ścieżki absolutnej, o której zmianie warto pamiętać przy migracji na inne serwery.

Zmiana adresu /wp-admin na inny

A co gdyby tak zmienić adres do logowania się zamiast zakładać na niego dodatkowe hasła, które musimy pamiętać? Da się, aczkolwiek jest to tzw. security by obscurity czyli bezpieczeństwo przez niejawność – szeroko krytykowane jako niewystarczające podejście do tematu cyberbezpieczeństwa. Niemniej warto to zrobić jako uzupełnienie do innych metod ochrony naszej strony.

Użyjemy w tym celu wtyczki WPS Hide Login

Jest ona o tyle prosta w konfiguracji, że wystarczy skonfigurować adres do logowania na inny ja poniżej na zdjęciu:

Klikamy na Zapisz Zmiany i mamy nowy adres URL do logowania się

CROSS-SITE / XSS

foo.baz?message=

Gdyby można było jakoś zgeneralizować czym są ataki typu Cross Site, to prawdopodobnie można by je opisać jako wstrzyknięcie złośliwej treści na stronę.

Powiedzmy, że posiadamy własną domenę. Nie daje to nam w żaden sposób dostępu do ciasteczek użytkownika z domeny innej strony – ciasteczka są zawężone do domeny tak by każda strona wiedziała tylko o swoich ciasteczkach.

Jednak posiadanie własnej domeny pozwala nam podrzucić ofierze link, który stworzy nam pewien obszar ataku.

Powiedzmy, że strona którą chcemy zaatakować jest pod domeną foo.baz i zawiera kod w stylu:

Sklep z bulbultorami”;
echo $_GET[‘message’];
?>

Jeśli wejdziemy na taką stronę poprzez:

foo.baz?message=Czesc

to zobaczymy przyjazną naszym oczom wiadomość, natomiast jeśli użyjemy (uproszczony przykład dla czytelności):


foo.baz?message=

to na serwer atakującego zostaną wysłane dane o naszych ciasteczkach.

Co prawda CMSy takie jak prestashop starają się zabezpieczać ciasteczka wiążąc je z adresem IP użytkownika, lecz w WordPressie tego brak. W ten czy inny sposób dane użytkownika należy chronić.

Ale ja nie wiem czy mój szablon ma takie wady

I tu z pomocą przychodzą nam strony zawierające informacje o tzw. CVE (Common Vulnerabilities and Exposures), czyli publicznych zgłoszeniach o lukach w bezpieczeństwie.

Popularne strony z CVE:

https://cve.mitre.org/
https://www.cvedetails.com/
https://www.cve.org/

Co prawda te strony nie pokazują dokładnie jak wykorzystać daną lukę, ale do większości tych informacji da się dojść bo wraz z publikacją CVE traci ona na wartości.

Dla przykładu możemy dość łatwo znaleźć informacje o ostatniej podatności w WordPressie we wtyczce UpdraftPlus:

https://www.cvedetails.com/cve/CVE-2022-0633/

lub

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0633

Z racji, że numery CVE są ujednolicone, to wszystkie strony powinny je zawierać a różnić się co najwyżej samym działaniem wyszukiwarki, lub innymi udogodnieniami. Gdybyśmy chcieli zainteresować się API odnośnie CVE to najbliżej było by nam do https://nvd.nist.gov/ i projektów jak https://github.com/opencve/opencve

Sugerujemy znaleźć dogodną dla nas metodę śledzenia nowych CVE i w miarę dostępności aktualizowanie wtyczek podatnych na ataki, lub ich wyłączenie na czas dopóki nie pojawi się aktualizacja.

W przypadku, gdy nie chcemy odwiedzać powyższych stron, lecz chcemy mieć mimo wszystko jakiś monitoring, np. z pomocą płatnej wersji https://pl.wordpress.org/plugins/better-wp-security/ , aczkolwiek taki skaner nie jest zbyt skomplikowany do napisania samemu jeśli tylko wejdziemy w posiadanie dostępów do jednego z API CVE.

W tej kwestii to by było wszystko co można powiedzieć o wtyczkach, których sami nie piszemy a jedynie instalujemy.

Zła konfiguracja

Z racji, że w założeniu korzystamy ze środowisk współdzielonych, gdzie dostawca winien jest dołożyć trochę starań o to by serwer WWW był poprawnie skonfigurowany pod względem bezpieczeństwa, zostanie tu stworzona lista lista najpopularniejszych błędów w konfiguracji aplikacji webowych

Jeśli kiedyś rozwiązałeś/aś problem za pomocą nadania pełnych uprawnień każdemu do katalogu (chmod 777), to prawdopodobnie było to złe rozwiązanie
Zazwyczaj dla katalogów ustawia się 755, a dla plików 644, lecz nie jest to złota zasada i dla poszczególnych plików w WP i PS mogą być to inne uprawnienia.

Za każdym razem, gdy w naszym systemie wystąpi błąd to wyświetli się on na ekranie. Stety / niestety potrafi on pokazać więcej informacji niż jest to konieczne, w tym dane dostępowe

W miarę możliwości zawsze staramy się nowe zmiany testować na lokalnym środowisku

Backup powinien być przechowywany na serwerze zewnętrznym, a nie na tym samym co działająca aplikacja

Oddajemy w ten sposób praktycznie dostęp do naszego serwera autorowi wtyczki. Nie znając kodu jaki jest uruchamiany popełniamy zbrodnię na cyberbezpieczeństwie

Bezpieczeństwo w wordpress cz. I

kobieta koduje — Wed, 02 Mar 2022 16:55:21 +0000

Bezpieczeństwo ogółem

Z racji, że temat cyberbezpieczeństwa jest dość rozległym zagadnieniem, to zanim przejdziemy do miejsca w którym znajduje się tu WordPress należy przedstawić nieco szerszy obraz rzeczywistości w jakiej się znajdujemy, w jakim środowisku pracujemy, i co możemy z nim zrobić by zwiększyć bezpieczeństwo naszej strony.

Wyróżniamy co najmniej cztery najpopularniejsze środowiska na jakich możemy znaleźć strony internetowe:

Serwer VPS – środowisko do którego mamy zazwyczaj dostęp na poziomie superużytkownika, będące najbardziej opłacalne uwzględniając kwestię cena / jakość. Wymaga ono jednak podstawowej wiedzy z zakresu administracji serwerami na poziomie konsoli by móc je w pełni wykorzystać. Plusem środowisk VPS jest uproszczone zarządzanie kopiami zapasowymi dzięki często oferowanym (dodatkowo płatnym) automatycznym kopiom zapasowym.
Serwer dedykowany – kolokwialnie “VPS na sterydach” za odpowiednio wyższą cenę. W odróżnieniu od serwerów VPS jesteśmy w pełni odpowiedzialni za organizację kopii zapasowych. Zyskujemy największą wydajność kosztem obciążenia nas zorganizowaniem częściowych zabezpieczeń infrastruktury
Serwer współdzielony – serwer którego zasoby są współdzielone z innymi użytkownikami. Zazwyczaj oferują możliwość instalacji aplikacji z poziomu panelu administracyjnego metodami “1-click” i otrzymaniu dostępu FTP. Tu podobnie jak w funkcjach VPS możemy liczyć na kopie zapasowe jako element wliczony w cenę. Wybierając tę opcję bezpieczeństwo infrastruktury (nie aplikacji) zrzucamy praktycznie na dostawcę usługi.
Chmura – najczęściej skonteneryzowana sieć serwerów zarówno dedykowanych jak i VPSów. W tym rozproszonym środowisku publiczne CMSy praktycznie nie występują, lub ich obecność tam jest drogą pod górę ponieważ aplikacje w środowiskach chmurowych powinny być odpowiednio zaprojektowane u podstaw czego WordPress z racji powstania zanim chmury zostały spopularyzowane nie spełnia.

W przypadku, gdy nie mamy doświadczenia w konfiguracji środowisk “od zera” jako superużytkownik, to zostaje nam efektywnie wybór środowisk współdzielonych. Praktycznie każda firma hostingowa ma w swojej ofercie takie środowiska i są one w skali roku najtańszym rozwiązaniem spośród wszystkich wyżej wymienionych.

Ważne

Dalsza część artykułu wymaga ode mnie jako autora zawarcia informacji, że treści tu zawarte mają charakter czysto edukacyjny i nie mogą stanowić dla czytelnika źródła wiedzy służącej łamaniu prawa, lub działania na cudzą niekorzyść.

Testując cudzą własność pod kątem cyberbezpieczeństwa musimy uzyskać od tej osoby zgodę na wykonanie tych czynności, w przeciwnym razie następuje łamanie prawa.

Mając tę kwestię za nami, można przejść do kolejnej części.

Wektor ataktu

Popularny buzzword w IT służący do określenia metodyki jaką atakujący stronę użytkownik zamierza zastosować. Na potrzeby wizualizacji popularnych wektorów ataku przygotowałem poniższą ilustrację :

Niektóre z tych słów mówią same za siebie, inne mogą wymagać pewnych wyjaśnień, więc spróbujemy zawęzić je do tych, które są dla nas najbardziej ryzykowne na środowiskach współdzielonych. Dla uproszczenia zamieszczam tę ilustrację ponownie zostawiając to na czym powinniśmy się skupić najbardziej, czyli:

Tak więc zacznijmy od czegoś, co w dzisiejszych czasach jest najbardziej popularnym powodem włamań – człowiek.

Człowiek

I to nie ten, który dokonuje samego włamania – pomylimy przyczynę ze skutkiem. W ramach powiedzenia “lepiej zapobiegać niż leczyć” warto jest przeszkolić osoby mające dostęp administracyjny w taki sposób by były one wyczulone na najpopularniejsze techniki manipulacji w sieci.

Za psychologa się nie uważam, natomiast za kogoś kto dostał dziesiątki maili tego rodzaju już chyba mogę. Jako przykład jednej z ciekawszych prób oszustwa mogłabym przytoczyć historię w której dostałam email informujący mnie o tym, że pewna domena X.pl w której jestem posiadaniu naraża mnie na nieprzyjemności karne związane z tym, że koncern nadawcy zastrzegł sobie prawa do tej nazwy przed tym jak zarejestrowałem daną domenę. Niewiele myśląc odpisałam coś w stylu “no i?” wiedząc, że to za mało by móc wygrać sprawę w sądzie. W odpowiedzi uzyskałem coś bardziej ciekawego bo propozycję wykupienia nazwy pod innymi domenami (eu, dev, biz, etc.) za grosze, co właściwie mogłabym zrobić i bez ich namowy (to dobra praktyka), gdyby to nie była moja strona o niskiej dla mnie wadze. Uświadomiłam sobie, że to nie jest już rozmowa z botem, tylko przydzielono do mnie kogoś kto miał ten angielski na poziomie komunikatywnym. Jak się później okazało po drobnym researchu linki jakie zostały mi podesłane kierowały na serwery w Chinach, a że Chiny są skrajnie na bakier z poszanowaniem praw od razu przestałam sobie zawracać głowę tematem. Uzupełniłam tylko w miarę możliwości swój research i okazało się, że firma rzekomo oferująca te domeny miała skrajnie niesymetryczne umowy obciążają klientów dużymi kwotami.

Jestem skłonna uwierzyć, że dużo osób dało by się przekonać do zakupu większej ilości domen dla zabezpieczenia ich interesu.

Przykładów tego typu podejść można znaleźć mnóstwo, natomiast to co się powtarza w nich regularnie to:

-wywołanie u ofiary wrażenia, że sytuacja jest poważna
-zbudowanie atmosfery w której wierzymy, że osoba z którą piszemy jest po naszej stronie i stara się nam pomóc, lub też znaleźć kompromis
-jeśli możliwe – wywołanie presji czasu, lub stworzenie odpowiedniego momentu, np.
przed godziną 17stą gdy ludzie chcą szybko skończyć prace bo są zmęczeni – zwłaszcza na koniec tygodnia lub na koniec roku, gdzie zazwyczaj panują pewne zawirowania prawne i łatwiej jest wpędzić przedsiębiorców w błąd na podstawie plotek

Gdybym miała wskazać kilka punktów które pomagają znacznie zredukować ryzyko bycia oszukanym:

Nigdy nie pozwalamy, by to ktoś decydował za nas, że coś jest ważne. Atakujący chce nam narzucić narrację, którą niekoniecznie przestudiujemy, i paradoksalnie coś co jest ważne dla niego może dla nas nie mieć znaczenia.
Zawsze w chwilach niepewności podważamy najprostsze założenia – czy osoba, która do nas dzwoni to na pewno osoba, za którą się podaje? Czy adres email z którego do nas piszą to na pewno oficjalny email firmy? Czy adres zawiera jedynie podobny znak do tego z nazwy firmy, etc…
Zawsze w przypadku, gdy ktoś nam grozi musimy do tego podejść od strony prawa a nie emocji. Weryfikujemy prawdomówność takiej osoby na podstawie własnej wiedzy, ewentualnie porady prawniczej. Ogólne domniemanie niewinności wymaga od osoby po drugiej stronie przedstawienia realnych informacji do których jako oszust nie powinien mieć dostępu.
Nigdy nie podajemy danych prywatnych osobom które się z nami kontaktują – jeżeli jest to pracownik banku, to te dane już ma, jeżeli rozmówca prosi o potwierdzenie informacji, do których potencjalnie ma lub powinien mieć dostęp – rozłączamy się. To on wykonuje telefon.

HiJacking

A właściwie to session hijacking, czyli przejęcie danych pozwalających na nawiązanie połączenia z serwerem w Twoim imieniu. Chodzi o login i hasło? Nie. Chodzi o dane, które otrzymujemy po poprawnym zalogowaniu się na stronie. Trzeba tu trochę wspomnieć o tym jak działa protokół HTTP. Dawno dawno temu gdy strony internetowe nie były niczym innym niż jednokierunkowym źródłem informacji, w których odbiorca nie miał możliwości komentowania, w którym nie było takich rzeczy jak wyrafinowane statystyki odwiedzin, a cała strona to mógł być jedynie kod HTML, nie było wtedy sesji – połączenie było tzw. stateless i taki też jest protokół HTTP. Czasy zmieniły się dawno temu i standardem jest, że niemal każda strona internetowa musi mieć jakąś informację związaną z danym użytkownikiem, nawet jeśli nie chodzi o samo logowanie. Poruszając się po stronie możemy zapisywać przeróżne ciasteczka pozwalające nam bez bycia zalogowanym utrzymywać wymianę informacji z serwerem, oraz zapisywać o nas informacje na serwerze. Przykładowo:

Użytkownik za pomocą przeglądarki wchodzi na stronę zajmującą się dostarczaniem żywności pod wskazany adres. Adres użytkownika można przechować na kilka sposobów, lecz najprościej jest zapisać go w sesji tak by większość informacji można było dla użytkownika spersonalizować przy ich wyświetlaniu, i nie pytać go o to co chwilę.

I co to ma do mojego bezpieczeństwa?

Specjalnie pogrubiłam tutaj słowo sesja ponieważ jest ono mylone z samymi ciasteczkami.
Uzupełnię teraz trochę diagram o kilka bloków więcej:

I okazuje się, że ciasteczka to nie jedyne miejsce, gdzie można przechowywać dane użytkownika Trochę się gubię Uprośćmy to do tego, że w większości przypadków w ciasteczkach znajduje się hash naszej sesji, a dopiero sesja przechowuje nasze bardziej prywatne dane. Dzięki temu prywatne dane znajdują się na serwerze w sesjach a nie w ciasteczkach i przeglądarce:

Czyli mając wartość ciasteczka innej osoby można się efektywnie pod nią podszyć?

Tak, jeśli wykradamy ciasteczko zawierające hash naszej sesji z serwerem to jest to wtedy session hijacking i z jego pomocą możemy uzyskać taki efekt jakbyśmy byli danym użytkownikiem.

Ale to nie moja wina, że użytkownikowi ktoś ukradł ciasteczka

Może. Na pewno można utrudnić nieco ten proces przez instalację certyfikatu SSL. Zazwyczaj taki certyfikat sprzedawany jest przez webhosting, chociaż osobiście polecam skorzystać z Let’s Encrypt, lub wtyczki Really Simple SSL.

To takie proste?

Niestety nie do końca. Sposobów na wykradnięcie ciasteczek użytkownika jest bardzo dużo, i często jest to z winy nietechnicznego użytkownika (otwieranie złośliwych linków, lewe wtyczki do przeglądarki, wirusy, etc.). To co my możemy zrobić to upewnić się, że sami nie instalujemy na naszej stronie podatnych wtyczek, czy dziurawych szablonów o czym będzie potem.

Dostawcy trzeci

Dużo się ostatnio mówi o tym, że jakaś strona ma problemy z działaniem bo, np. AWS ma problemy ze swoimi usługami, ale my tutaj skupimy się bardziej na ekosystemie wtyczek.

Czy wiesz, że duża ilość wtyczek nie realizuje swojej funkcjonalności bezpośrednio u Ciebie na serwerze? Ta lista funkcjonalności to nie tylko notyfikowanie użytkownika o nowym CVE dla jednej ze wtyczek na serwerze – to akurat miałoby prawo nie zadziałać, bo na kolejny dzień prawdopodobnie zostałoby naprawione i dla zdecydowanej większości stron nie miało by to znaczenia.

Co jeżeli taka wtyczka jest kluczowa dla działania naszej strony? Np. ReCaptcha?

Ten przykład został wzięty jako pierwszy z brzegu, i w momencie pisania tego artykułu można zaobserwować na stronie https://downdetector.com następujący wykres:

Z jednej strony nie wygląda to jak globalna awaria, lecz z drugiej jeśli spojrzymy w komentarze:

To zobaczymy jak niektórym może to napsuć w życiu. Co gdyby zacytowany wyżej Peter był klientem naszego sklepu? Niezależnie od tego czy sklep nie działa bo ktoś wykonał na nim atak DDoSowy czy nie, to efekt jest ten sam – system leży i nie wstaje.

Bronienie się przed tego rodzaju problemami zazwyczaj składa się z następujących rozwiązań:

Nie instalujemy kodu realizującego usługi przez serwery pośrednika, jeżeli nie ma takiej potrzeby. W przypadku captchy powinniśmy być w stanie znaleźć wystarczająco dobrą alternatywę.
Instalujemy więcej niż jedną wtyczkę realizującą te samą funkcjonalność, tak by w przypadku awarii w, np. InPost móc użyć kuriera UPS/DHL, lub w przypadku awarii Przelewy24 użyć PayU (kolejność wymienionych produktów jest losowa).

Jak przyśpieszyć stronę w wordpress?

kobieta koduje — Mon, 07 Feb 2022 19:58:59 +0000

Uaktualnij do PHP 7.4

Witryny oparte o WooCommerce powinny zawsze działać w szybkiej wersji PHP (w tym momencie stabilną wersją jest PHP 7.4), którą możesz zaktualizować na swoim serwerze. Większość użytkowników WordPressa korzysta z przestarzałych wersji PHP co znacznie obniża prędkość działania strony.

Zoptymalizuj obrazki

Zdjęcia na Twojej stronie powinny być jak najlżejsze. Zważ również na to, że czasem aby logo miało wysoką jakość, ale niską wagę warto zapisać je w formacie svg. Ja do optymalizacji zdjęć używam bezstratnej kompresji optimizilla.com. Czasem jednak warto zoptymalizować zdjęcia dodatkowo. Spróbuj wtyczki Smush.

Usuń nadużywanie WooCommerce

Możesz to zrobić za pomocą wtyczki Disable WooCommerce Bloat wyłącz skrypty i style WooCommerce w treściach innych niż eCommerce, ponieważ nie trzeba ładować ich na każdej stronie, są one potrzebne tylko do obsługi zakupów. Dzięki tej wtyczce wyłączysz też śmieci WooCommerce w administratorze – widżety, analizy, powiadomienia, statusy itp.

Skonfiguruj wtyczkę do czyszczenia pamięci podręcznej

Istnieje wiele wtyczek które wyczyszczą podręczną pamięć zapisaną w Twojej witrynie:
WP Rocket
WP Fastest Cache
WP-Optimize
WP Super Cache
W3 Total Cache
Ja polecam tę ostatnią ponieważ pozwala ona również na konfigurację innych opcji, które mają bardzo duży wpływ na prędkość wczytywania się Twojej strony internetowej. Warto pamiętać aby zmiany wprowadzać sukcesywnie i bardzo ostrożnie. Ja po każdej wykonanej zmianie sprawdzam prędkość w przeglądarce (zakładka network) i w Gtmetrix, tak więc proszę pamietaj o tym aby zmian dokonywać krok po kroku, gdyż niektóre zmiany mogą skutkować nawet zwolnieniem Twojej witryny. Zdjęcia ekranu konkretnych ustawień po kolei znajdziesz klikając tutaj.

Usuń śmieci ze swojej bazy danych - WP Clean Up

Prawdopodobnie na Twojej stronie znajdujących się niepotrzebne, przeterminowane treści. Jeśli dodano jakąś stronę, wpis, grafikę lub wtyczkę, a potem ją usunięto, zapis o niej w bazie danych nadal tam jest. Możesz więc usunąć te wszystkie zbędne dane, komentarze, osierocone pliki meta, postmeta i inne.

Blokuj złe boty

Złe boty potrafią uprzykrzyć nam życie. Mogą tworzyć fałszywe konta, dodawać spamerskie komentarze i generalnie zakłócać wszystkie funkcjonalności Twojej witryny na WordPress. Mają wpływ na wolne wczytywanie się strony, a sam wordpress jest oprogramowaniem podatnym na tego typu ataki.

Aby ochronić się przed złymi botami polecam wtyczkę iThemes Security, która pozwala chronić Twoją tożsamość i powstrzymuje złośliwe zachowania. Po odpowiedniej konfiguracji tej wtyczki dostaniesz ostrzeżenie przy wykryciu kolejnej aktywności dot. naruszenia.

Wyłącz bicie serca

WordPress co 15-60 sekund generuje żądania i wyświetla powiadomienia o wtyczkach w czasie rzeczywistym, dostarcza on informacji o edytowanych postach przez innych użytkowników. Aby wyłączyć bicie serca, dodaj ten kod do plicu functions.php w swoim szablonie:

add_action( 'init', 'stop_heartbeat', 1 );
function stop_heartbeat() {
wp_deregister_script('heartbeat');
}

Zoptymalizuj czcionki Google

Istnieje kilka sposobów na optymalizację czcionek. Zwróć uwagę na to by ograniczyć liczbę czcionek, grubości i ikon wczytywanych w Twojej witrynie. Najlepiej hostuj je lokalnie i upewnij, się że tekst pozostaje widoczny podczas ładowania czcionek internetowych za pomocą WP Rocket lub wtyczki Swap Google Fonts Display.

Zmniejsz TTFB dzięki szybszemu hostingowi

Aby zmniejszyć czas odpowiedzi serwera zastanów się nad migracją na szybszy, bardziej wydajny hosting – np.z szybszym łączem o mocniejszym CPU i większej ilości RAMu. Pamiętaj, że lokalizacja geograficzna serwera powinna być najbliżej Twoich docelowych użytkowników – warto przy tym zadbać aby serwer HTTP, Back-End i bazy danych były umieszczone w tym samym centrum danych. Aby zbadać TTFB w opcjach przeglądarki internetowej wybierz zakładkę Netwotk (w przeglądarce Chrome – klawisz F12).

Unikaj instalowania wtyczek

Zbyt duża ilość wtyczek powoduje wolne randerowanie się strony. Spowodowane jest to faktem, że każdy dodatkowy moduł ładuje swoje dodatkowe skrypty i zwiększa używanie zasobów serwera.Dodatkowo wzmagasz w ten sposób potencjał ataków na Twoją witrynę, ponieważ, każda dodatkow wtyczka, która nie jest aktualizowana, może stanowić zagrożenie dla Twojej witryny.

Zmień adres logowania się do swojej witryny

Złe boty będą próbowały uzyskać dostęp do Twojego panelu logowania wp – powoduje to niepotrzebne zjadanie zasobów serwera. Aby zabezpieczyć się przed niechcianym obciążeniem dodaj i skonfiguruj wtyczkę Hide My WP.

Jak zainstalować środowisko lokalne

kobieta koduje — Mon, 08 Nov 2021 20:08:43 +0000

Tutorial o tym jak skonfigurować środowisko serwera, bazę danych oraz jak zainstalować wordpressa na dysku Twojego komputera znajduje się poniżej:

Jeśli chcesz uruchomić na środowisku lokalnym kopię strony którą ściągnęłaś właśnie z serwera i z jakiejś przyczyny, nie umiesz zalogować się do wordpressa lokalnie, być może musisz zmienić adres strony internetowej. W tym celu zaloguj się do phpmyadmin i sprawdź zakładkę „wp_options” w pola siteurl i home wpisz: http://localhost/TwojKatalogZeStrona.

Warto też sprawdzić plik wp_config.php który znajduje się w folderze htdocs, sprawdź czy w adresie bazy danych nie znajduje się jej stary adres, powinno być tam „localhost”.

Przycisk „wróć” w wordpress

kobieta koduje — Tue, 17 Aug 2021 07:48:04 +0000

Jeśli zastanawiasz się jak stworzyć przycisk powracający do poprzedniej strony (historia przeglądarki) w aplikacji wordpress, to trafiłaś/eś w odpowiednie miejsce. Wystarczy że w stopce swojej strony internetowej dodasz poniższy skrypt:

A w miejscu gdzie ma wyświetlać się przycisk:

Następnie możesz przejść do edycji styłów css dla klasy .wroc i gotowe

Super funkcje Elementor za darmo

kobieta koduje — Wed, 06 Jan 2021 16:38:03 +0000

Tak! To możliwe! Może nie będziesz mieć wszystkich możliwych funkcji pro, ale możesz znacznie roszerzyć funkcjonalności podstawowego elementora. Jakie wtyczki należy doinstalować? Informacje znajdziesz poniżej:

Chcesz utworzyć galerię typu masonry w elementor za darmo?

Wystarczy, że do strony dodasz podstawową galerię, użyjesz 1 kolumny zdjęć, ustawić miniaturki na min. 300px i dodasz custom code do swojego pliku css lub w wygląd -> dostosuj.

.gallery-icon img{
    width: 100%;
}
@media (min-width: 1024px) {
    #gallery-1 {
      column-count: 4;
      column-gap: 0px;
    }
}
@media (min-width:361px) and (max-width:1024px) {
    #gallery-1 {
      column-count: 3;
      column-gap: 0px;      
    }  
}
@media (max-width:360px) {
    #gallery-1 {
      column-count: 3;
      column-gap: 0px;      
    }  
}

Recepty na divi

kobieta koduje — Thu, 03 Oct 2019 14:07:13 +0000

Wielu początkujących blogerów korzysta z divi. Jest to dość fajne narzędzie do tworzenia stron internetowych i blogów bez znajomości programowania, czasem się jednak bez tego nie obejdzie. Poniżej zdradzę wam kilka odnośników do artykułów, które pomogą wam przebrnąć przez batalie błędów divi i pomogą wam dostosować stronę do waszych wymagań.

Jak zadbać o to aby artykuły na blogu miały taką samą wysokość zajawki?
Na pewno nie raz zdarzyło wam się, że wysokości zajawek w jednym wierszu obejmującym np. trzy ostatnie wpisy blogowe były różne:

I zapewne chcielibyście żeby wyglądały one w ten sposób:

Wystarczy w zaawansowanych ustawieniach modułu blog dodać klasę css o nazwie „bloggrid”, a następnie dodać poniższy kod do custom style, możesz zrobić to w ustawieniach divi w zakładce „opcje szablonów graficznych”:


/*Equalize Blog Columns*/
.bloggrid .et_pb_salvattore_content {
display: -webkit-box;
display: -ms-flexbox;
display: flex;
}

.bloggrid article {
margin-bottom: 20px !important;
-webkit-box-flex: 1;
-ms-flex: 1 0 auto;
flex: 1 0 auto;
display: -webkit-box;
display: -ms-flexbox;
display: flex;
-webkit-box-orient: vertical;
-webkit-box-direction: normal;
-ms-flex-direction: column;
flex-direction: column;
}

.bloggrid .post-content {
-webkit-box-flex: 1;
-ms-flex: 1 0 auto;
flex: 1 0 auto;
display: -webkit-box;
display: -ms-flexbox;
display: flex;
-webkit-box-orient: vertical;
-webkit-box-direction: normal;
-ms-flex-direction: column;
flex-direction: column;
-webkit-box-pack: justify;
-ms-flex-pack: justify;
justify-content: space-between;
}

.bloggrid .column {
margin-bottom: 20px !important;
display: -webkit-box;
display: -ms-flexbox;
display: flex;
-webkit-box-orient: vertical;
-webkit-box-direction: normal;
-ms-flex-direction: column;
flex-direction: column;
}

Niestety recepta ta nie działa w blogach z 3-kolumnami, wtedy trzeba zastosować jquery. Co dokładnie trzeba zrobić? Do modułu naszego bloga w ustawieniach zaawansowanych dodajemy nową klasę CSS "sensei-grid", a następnie dodajemy do skryptu w ustawieniach divi (integracje) poniższy kod javascript w klamerkach < script> i (bez spacji):


(function ($) {
$(document).ready(function () {

$( window ).resize(function() {
$(".sensei-grid").each(function(){
equalise_articles($(this));
});
});

$(".sensei-grid").each(function(){
var blog = $(this);
equalise_articles($(this));

var observer = new MutationObserver(function (mutations) {
equalise_articles(blog);
});

var config = { subtree: true, childList: true };
observer.observe(blog[0], config);
});

function equalise_articles(blog){
var articles = blog.find("article");

var heights = [];

articles.each(function(){
var height = 0;
//height += $(this).outerHeight() - $(this).height();
height += $(this).find(".et_pb_image_container").outerHeight(true);
height += $(this).find(".entry-title").outerHeight(true);
height += $(this).find(".post-meta").outerHeight(true);
height += $(this).find(".post-content").outerHeight(true);
heights.push(height);
});

var max_height = Math.max.apply(Math,heights);

articles.each(function(){
$(this).height(max_height);
});
}

$(document).ajaxComplete(function(){
$(".sensei-grid").imagesLoaded().then(function(){
console.log("images loaded");
$(".sensei-grid").each(function(){
equalise_articles($(this));
});
});
});

$.fn.imagesLoaded = function () {
var $imgs = this.find('img[src!=""]');
if (!$imgs.length) {return $.Deferred().resolve().promise();}
var dfds = [];
$imgs.each(function(){
var dfd = $.Deferred();
dfds.push(dfd);
var img = new Image();
img.onload = function(){dfd.resolve();}
img.onerror = function(){dfd.resolve();}
img.src = this.src;

});
return $.when.apply($,dfds);
}

});
})(jQuery);

Cały artykuł na ten temat dostępny tutaj.

2. Podobnie zapewne bywa z ustawieniem modułu produktów ze sklepu internetowego.
Chcesz dowiedzieć się jak zrobić aby produkty woocomerce były w jednej linii i sprawiały wrażenie wysokiej estetyki? Aby tego dokonać należy w pierwszym wierszu poprzedzającym moduł z produktami dodać klasę „flex-row-wrapper”, a następnie dodać do custom code w ustawieniach divi poniższe parametry:

.flex-row-wrapper { display: flex; }

.flex-row-wrapper .et_pb_column {
display: flex;
flex-direction: column;
padding: 20px;
justify-content: space-between;
}
@media screen and (max-width: 981px) {
.flex-row-wrapper {
flex-direction:column;
}
}

SSL i wdrożenie go na stronę z wordpress’em

kobieta koduje — Mon, 10 Jun 2019 08:50:08 +0000

SSL to certyfikat bezpieczeństwa, który można uruchomić dla swojej domeny celem poświadczenia jej wiarygodności i bezpieczeństwa szyfrowania danych. Taki certyfikat powinien znaleźć się na każdej stronie gdzie użytkownicy podają swoje dane personalne: imię nazwisko, adres, email oraz tam gdzie są wszelkie płatności online. Wykupienie go i zainstalowanie go w swojej domenie nie jest niczym trudnym. Firma hostingowa na pewno udzieli Ci wszelkich instrukcji jak się do tego zabrać. Problem pojawia się jeśli Twoja strona istnieje już na serwerze i po jakimś czasie wykupujesz ten o to certyfikat. Wszystkie adresy stron na Twoim serwisie dotąd miały przedrostek http :// teraz nastąpi zmiana na https://. W każdym linku, zdjęciu, stylu strony należy zmienić te adresy. Jest z tym trochę pracy, ale na szczęście są na to wygodne rozwiązania.

Zaczynamy!

Jeśli masz już wykupiony i zainstalowany certyfikat, należy zrobić kopię zapasową plików z serwera i bazy danych. Następnie możemy zalogować się do panelu wordpress’a i przejść do ustawień ogólnych i zmienić adres witryny z http://twojanazwa.pl na https://twojanazwa.pl tak jak w przykładzie poniżej:

To ustawienie spowoduje, że wszystkie adresy stworzonych przez Ciebie stron i postów zmienią adres na ten z przedrostkiem https:// ale nadal część adresów stron zagnieżdżonych w zdjęciach lub stylach mogły zostać z http:// w tym celu instalujemy wtyczkę Really Simple SSL oraz WP Migrate DB. Po zainstalowaniu obu wtyczek włączam pierwszą z nich i w ustawieniach wprowadzamy takie konfiguracje jak poniżej i zapisujemy:

Uzyskany efekt powinien być taki:

Jak widzimy w jednym miejscu mamy błąd, może to być spowodowane ciągle tym, że jeszcze gdzieś zostały za indeksowane linki z protokołem http:// , aby to zmienić włączamy WP Migrate DB. W menu wordpressa odnajdujemy Narzędzia -> Migrate DB

Teraz po wejściu na adres strony w nowej zakładce powinna wyświetlić się zielona kłódka przy adresie www, jeśli natomiast tak się nie dzieje, a nadal znajduje się tam taka informacja:

sygnalizuje to, że widocznie nadal jakiś z adresów nie został zmodernizowany. W takim wypadku polecamy skorzystać z narzędzi developerskich danej przeglądarki i sprawdzenie consoli z błędami. Zostanie tam wskazany najprawdopodobniej problem pt.: “The mixed content” oraz linijka w której dany protokół nie został podmieniony w adresie.

W przypadku jakichkolwiek problemów lub trudności w skonfigurowaniu certyfikatu SSL na swojej stronie prosimy o kontakt mailowy – nasz zespół służy wszelką pomocą oraz instrukcją.

Jak dbać o swoją stronę www?

kobieta koduje — Mon, 03 Jun 2019 06:41:03 +0000

W dobie dzisiejszego świata IT włamanie się na stronę www nie jest niczym trudnym. Dla wprawionych hakerów komputerowym wykradzenie hasła do Twojej strony nie stanowi większego problemu jeśli niedostatecznie dbasz o jej bezpieczeństwo. Dziś pokażę Ci kilka prostych zabiegów, które poprawią jakość zabezpieczeń w Twoim wordpressie.

1. Primo ultimo

Zadbaj o jakość i różnorodność haseł do wszystkich kont online. Wybór tego samego hasła do większości kont, które używasz to stanowczo zła decyzja i czas ją zmienić! Nie dopuść do tego by Twoje konto email miało takie samo hasło jak jakiekolwiek inne Twoje konto np. hasło do wordpress’a lub facebook’a. Najlepsze hasła to te, które nie są zbyt krótkie, zawierają małe i duże litery, cyfry, a także znaki specjalne. Idealne hasło powinno mieć około 20/30 znaków,warto również zainteresować się u2f, który można kupić lub skorzystać z gotowego narzędzia google – google authenticator. Ważnym zabiegiem jest również częstotliwość zmieniania hasła. Tak – hasło należy zmieniać co jakiś czas. Trudno określić konkretny okres, według mnie comiesięczna zmiana hasła, zapewnia dużo lepsze poczucie bezpieczeństwa. Pamiętaj też, aby nigdy nikomu nie podawać swojego hasła oraz aby nie korzystać z automatycznego generowania haseł – lepiej wymyślać własne, które są skomplikowane.

2. Secondo – aktualizuj, aktualizuj, aktualizuj

I jeszcze raz aktualizuj! Aby być gotowym na stanięcie oko w oko z atakiem hakerskim musisz mieć zaktualizowane oprogramowanie jakiego używasz. Zadbaj o to aby Twój wordpress był zawsze w najbardziej aktualnej wersji i jego wtyczki również. Musisz dbać aby wszystkie widgety jakich używasz były zawsze zaktualizowane. Pamiętaj jednak o tym, że jeśli wprowadzasz jakieś zmiany ręcznie w kodzie wtyczki (np. jej wygląd) zostaną one nadpisane przez aktualizację, tak więc nieodwracalnie je utracisz. Dlatego warto robić sobie notatki co i gdzie zmieniasz, a także mieć kopię zapasową tych zmian. Trzeba również wspomnieć, że jeśli nie używasz jakiś wtyczek bądź motywów na swoim wordpressie to warto je z niego usunąć. Wyłączenie wtyczki niestety nie załatwia sprawy – należy ją skasować.

3. Login administratora

Najczęściej używana nazwa użytkowników wordpressa? Odpowiedź brzmi – admin. Starajmy się nie używać tej nazwy, w ten sposób otwieramy pierwsze drzwi na atak naszej witryny, teraz dla hakera zostało wykraść lub rozszyfrować hasło i gotowe, będzie miał pewnie dostęp do Twojej poczty, facebook’a i konta bankowego jeżeli używasz tego samego hasła.

4. Używaj certyfikatu SSL

O certyfikatach SSL było już w poprzednim poście. Dodamy tylko, że nie musisz koniecznie używać płatnych rozwiązań, na rynku dostępne są również darmowe certyfikaty SSL, które również pomagają chronić się przed szkodliwym oprogramowaniem. Ważne jest natomiast aby ten certyfikat w ogóle posiadać.

5. Zainstaluj Disable WP REST API widget

Wtyczka ta odpowiada za wyłączenie WP REST API dla gości, którzy nie są zalogowani w WordPress. Nie wymaga żadnej dodatkowej konfiguracji, instalujesz, aktywujesz i gotowe! Pojawia się pewnie pytanie czymże jest to REST API, a wiec wyjaśniam: API – Interfejs programistyczny, który określa sposób komunikacji pomiędzy różnymi elementami programowania, natomiast REST to standard określający zasady projektowania API, tak wiem, że to wydaje się być skomplikowane dlatego dla bardziej zainteresowanych tematem polecam to video. REST API może pobierać listę wszystkich aktywnych użytkowników naszej strony. Jeśli chcemy zabezpieczyć się przed tą i innymi kradzieżami lepiej zainstalować wtyczkę, która nam tą opcję wyłączy, gdyż włączona jest ona domyślnie w każdej aplikacji wordpress.

6. Wyłącz listowania plików

Częstym błędem jest nie wyłączenie listowania plików. Co to znaczy? To oznacza że po wpisaniu w pasek przeglądarki adresu twojanazwa.pl/wp-includes/ można zobaczyć zawartość Twoich plików i bez problemu je przechwycić. Jak wyłączyć listowanie? To proste! Wystarczy w pliku .htaccess dodać poniższy zapis: Options -Indexes

7. Zatrudnij inspektora

Dodatkowo możesz zainstalować w swoim wordpressie taką wtyczkę jak Plugin Inspector. Jest to fajne rozwiązanie, które złoży Ci dokładny raport na temat zainstalowanych przez Ciebie wtyczek, a także poinformuje Cie czy są dla Ciebie bezpieczne.

Najlepsze wtyczki wordpress

kobieta koduje — Mon, 13 May 2019 15:43:49 +0000

Na początek

Really Simple SSL – jeśli z jakiegoś powodu nie masz dostępu do pliku htaccess, teraz w łatwy sposób możesz aktywować certyfikat bezpieczeństwa na swojej stronie internetowej.
Edytor klasyczny – najnowsza wersja wordpressa wygląda nieco inaczej niż wcześniejsze, jeśli masz trudność z edycją zawartości strony polecam tę wtyczkę, sprawi że wszystko stanie się łatwiejsze.
WP Super Cache – jeśli z jakiegoś powodu nie widać zmian na Twojej stronie mimo włączonego trybu incognito, być może jest to problem związany z odświeżaniem pamięci podręcznej. Wp super cache to znakomite narzędzie do jej usuwania.
TinyMCE Advanced – chcesz zmienić czcionkę, wyrównanie lub wybrać funkcję edycji tekstu, która domyślnie nie jest dostępna? TinyMCE daje możliwość dodatkoej edycji tekstu.
Buttonizer – Smart Floating Action Button – jest to narzędzie do tworzenia customowych przycisków, które mogą odsyłać użytkowników do naszych mediów społecznościowych lub zewnętrznych adresów url np. takich jak allegro.
Formidable Forms i Contact Form 7 – wtyczki do tworzenia i zarządzania formularzami kontaktowymi.
The posts grid lub Posts Grid – wtyczki służące do zaciągania wszystkich wpisów dodanych na bloga na jedną stronę.

SEO, optymalizacja i pozycjonowanie

Yoast SEO – umożliwia dodanie metatagów, słow kluczowych, podpiąć social media i wygenerować mapę strony, umożliwia dodanie tagów do kategorii, nie ma jednak możliwości zarządzania bezpośrednio zdjęciem przypasowanym do danego wpisu lub strony,
All in One SEO Pack – wtyczka działająca identycznie jak Yoast, nie posiada jednak możliwości dodawania tagów do kategorii w wersji podstawowej, dużym jej atutem jest możliwość wgrania dowolnego zdjęcia do wpisu, które zostanie zaciągnięte przy udostępnianiu w social media.
Redirection – sprawnie utworzy przekierowania 301 i rozwiąże problemy z błędem 404,
Smush Image – zmienia rozmiar, optymalizuj i kompresuj wszystkie obrazy, w ten sposób możesz zoptymalizować i przyśpieszyć działanie swojej strony www,
Google Analytics Dashboard for WP (GADWP) – ułatwia podłączenie kodu śledzącego analytics
Insert Headers and Footers – wtyczka umożliwiająca dodanie dowolnego skryptu do sekcji nagłówka i stopki. Znakomicie sprawdza się przy podpięciu kodu śledzącego analytics, pixel facebook itp.
Hotjar– tworzy mapy ciepła, umożliwia nagrywanie ruch użytkownika po Twojej stronie.

Prawne

Informacja o ciasteczkach – w prosty sposób stworzysz informację o plikach cookies oraz dodasz odnośnik do swojej polityki prywatności.

Ułatwiające pracę

Sticky Menu on Scroll, Sticky Header, Sticky Welcome Bar for Any Theme – myStickymenu – wtyczka umożliwia zaprojektowanie custom menu w wersji przyklejonej do góry strony.
Elementor – wtyczka ułatwiająca projektowanie wyglądu stron i wpisów bez potrzeby posiadania umiejętności programistycznych, dość mocno okrojona w wersji podstawowej, natomiast w wersji rozszerzonej daje genialne możliwości zaprojektowania strony internetowej wg. swoich potrzeb. (Jeśli jesteś zainteresowana/y nabyciem wtyczki, skontaktuj się ze mną – przy większej ilości osób zainteresowanych można uzyskać całkiem fajną cenę.)
Divi – kolejna wtyczka ułatwiająca projektowanie wyglądu stronu bez umiejętności programistycznych. Całkiem przyjemny design i łatwość obsługi sprawiają, że praca przy stronie internetowej staje się naprawdę łatwa. Posiada bardzo dużo możliwości i darmowych gotowych szablonów do wykorzystania w swojej stronie internetowej. (Podobnie jak elementor oferują bardzo atrakcyjną cenę przy większym zamówieniu – zbiorowym).
Loco Translate – wtyczka umożliwiająca przetłumaczenie pojedynczych słów w motywie lub innych wtyczkach.
Safe SVG i SVG Support– umożliwiają wgrywanie zdjęć i grafik w formacie .svg.

Bezpieczeństwo

Akismet Anti-Spam – zapewnia ochronę przed spamem, niechcianymi komentarzami i wiadomościami wysyłanymi przez roboty internetowe, należy pamiętać o aktywacji API.
UpdraftPlus – umożliwia tworzenie kopii zapasowej Twoich plików i bazy danych.
WP Tryb Konserwacji i Coming Soon Page, Under Construction & Maintenance Mode by SeedProd – wtyczki odpowiedzialne za stworzenie zaślepki informującej użytkowników o tym że strona jest w budowie lub konserwacji. Warto włączyć tryb konserwacji na czas aktualizacji wordpressa, wtyczek, motywów i wszelkich prac które mogą zagrażać pełnej sprawności i użyteczności dla użytkowników.
Health Check Troubleshooting – genialna wtyczka wykrywająca problemy związane z wtyczkami i ogólnymi błędami WordPress, pozwala zidentyikować co powoduje problemy.

Social media

Social Media and Share Icons (Ultimate Social Media)– wtyczka umożliwiająca udostępnianie postów w social mediach.
Instagram Feed Gallery – umożliwia umieszczenie na stronie ramki z instagrama z najnowszymi zdjęciami, które zaciągają się automatycznie.
Sticky Side Buttons – Umożliwia stworzenie przyklejonych przycisków kierujących do social media lub na dowolny adres url.
Widgets for Social Reviews & Recommendations – w ultra prosty i szybki sposób można zaciągnąć opinie z facebooka i wyświetlić je w bardzo łądnym designie.
WP Review Slider – dzięki niej możemy zaciągnąć opinie z naszego facebooka na stronę internetową.
Disqus – system komentowania z dodatkową wierzytelnością osób komentującyc.
Meks Instagram Settings – genialna wtyczka do zaciagania feedu z instagrama

Newsletter

MC4WP: Mailchimp for WordPress – Umożliwia podłączenie naszej strony do zewnętrznej platformy Mailchimp, łączy nam listy subskrybentów i umożliwia zapis do listy.
Hustle – służy do tworzenia okienek typu pop up, embed oraz innych, znakomicie łączy się z aplikacjami do wysyłania newsleterów, umożliwia tworzenie oryginalnych formularzy do zapisu.
GetResponse for WordPress – aplikacja umożliwiająca podłączenie pod zewnętrzną aplikację Getresponse do rozsyłania newslettera.

Ecommerce

Perfect WooCommerce Brands – Umożliwia dodanie siedbara z filtrami do naszego sklepu. Możemy filtrować po marce, cenie i atrybutach.