Wie viele WordPress-Plugins sind zu viele?

„Unter zehn Plugins" liest man überall und stimmt so nicht. Eine Seite mit fünf schlecht gebauten Plugins steht schlechter da als eine mit zwanzig guten. Die Zahl ist nur ein Ersatz für eine Frage, die selten direkt gestellt wird.

Der eigentliche Test

Für jedes Plugin: Wird es gepflegt, wird es gebraucht, und macht es genau eine Sache? Prüfen Sie das Datum der letzten Aktualisierung, die Zahl der Installationen und ob es mit der aktuellen WordPress-Version getestet wurde. Alles, was seit über einem Jahr unangetastet ist, ist ein Risiko — egal wie gut es heute funktioniert.

Was die meisten Seiten wirklich brauchen

• SEO. Eins — Yoast, Rank Math oder SEOPress. Nicht zwei.
• Caching. Eins, am besten das, was Ihr Hoster empfiehlt.
• Backups. Extern, automatisch, getestet.
• Sicherheit. Eine Firewall oder Login-Härtung.
• Formulare. Eins — so konfiguriert, dass Eingänge auch in der Datenbank landen und nicht nur per E-Mail rausgehen.
• Individuelle Felder. ACF oder Vergleichbares, wenn die Seite strukturierte Inhalte hat.
• Bildoptimierung, falls der Hoster das nicht übernimmt.
• Consent-Management. In der EU Pflicht, sobald irgendetwas von Dritten geladen wird.

Acht — und damit ist sehr viel abgedeckt.

Die Plugins mit dem meisten Ärger

Page Builder, die beim Deaktivieren Shortcodes hinterlassen. „Alles-in-einem"-Suiten, die SEO, Sicherheit, Caching und Social gleichzeitig mittelmäßig erledigen. Slider-Plugins. Alles, dessen Hauptfunktion vier Zeilen CSS wären. Analytics-Plugins für ein Skript, das einmal ins Theme gehört.

Audit in zwanzig Minuten

1. Alle aktiven Plugins mit Aktualisierungsdatum auflisten.
2. Alles markieren, was seit zwölf Monaten kein Update hatte.
3. Alles markieren, dessen Zweck Sie nicht erklären können.
4. Auf einer Staging-Kopie einzeln deaktivieren. Geht nichts kaputt: löschen.

Der Schritt, den fast alle auslassen

Löschen statt deaktivieren. Die Dateien eines deaktivierten Plugins liegen weiterhin auf dem Server und sind weiterhin erreichbar. Mehrere der größten WordPress-Kompromittierungen der letzten Jahre liefen über Plugins, die die Betreiber für ausgeschaltet hielten.