Websites herunterladen, die Shortcodes Ultimate nutzen

Über Shortcodes Ultimate

Die meisten Plugins lassen sich entfernen. Shortcode-Plugins nicht, und dieser Unterschied erklärt fast alles an diesem Bestand.

Ein Shortcode ist keine Einstellung, die irgendwo unsichtbar in einer Datenbanktabelle liegt. Ein Shortcode ist Syntax in eckigen Klammern, die direkt in den Text einer Seite getippt wird, und erst das Plugin macht daraus beim Rendern einen Button, eine Tab-Gruppe, ein Akkordeon oder einen Slider. Wird das Plugin deaktiviert, sind die Klammern kein Code mehr, sondern sichtbarer Text auf einer Live-Seite. Shortcodes Ultimate verhält sich deshalb nicht wie eine Funktion, die ein Websitebetreiber hinzugefügt hat, sondern wie eine Abhängigkeit, die fest im Inhalt steckt. Eine solche Abhängigkeit übersteht Redesigns, Eigentümerwechsel und lange Phasen der Vernachlässigung, weil ihre Entfernung bedeutet, jede Seite zu überarbeiten, die sie jemals genutzt hat.

Der Einsatz des Plugins steht deshalb für Beständigkeit und nicht für eine jüngst getroffene Entscheidung. Das Plugin ist seit 2011 unter der Lizenz GPL v2 verfügbar, in PHP geschrieben und stammt aus der Zeit, in der aufwendige Layouts noch mit Shortcodes statt mit Blöcken gebaut wurden. Eine Website, die noch auf das Plugin setzt, ist in der Regel eine Website, die nie auf blockbasiertes Editieren umgestellt hat, und dieser eine Schluss liefert Alter, Wartungsverhalten und Budget gleich mit.

Die Streuung der Versionen stützt diese Lesart. In freier Wildbahn beobachten wir 75 verschiedene Versionsangaben, und am häufigsten wird Version 7.9.0 gemeldet. Plugins, an denen Inhalte hängen, werden vorsichtiger aktualisiert als kosmetische, denn ein Update, das die Darstellung eines Shortcodes verändert, beschädigt Seiten, die bereits veröffentlicht und indexiert sind. Der Long Tail älterer Releases ist daher weniger Trägheit als Risikoscheu, doch die Folgen für die Sicherheit sind in beiden Fällen dieselben. Ein ungepatchtes Plugin, das bei jedem Seitenaufruf ausgeführt wird, bleibt ein ungepatchtes Plugin, das bei jedem Seitenaufruf ausgeführt wird, ganz gleich, warum es unangetastet blieb.

Die Geografie ist hier eher ein Filter als ein Befund. 4.126 der erkannten Installationen verorten wir in den USA, und bei den Domains liegt die Endung .com vorn, was ungefähr der Verteilung der zugrunde liegenden Plattform selbst entspricht und daher für sich genommen wenig aussagt.

Ihren Wert entfalten die Daten in der Kombination. Migrationsanbieter suchen Websites auf dem klassischen Content-Stack, mit alten Plugin-Releases und genügend Seiten, damit sich ein Angebot lohnt. Agenturen wollen Redesign-Leads mit einem nachweisbaren technischen Grund für einen Wechsel. Sicherheitsteams wollen die exponierte Teilmenge eines bekannten Plugin-Bestands statt einer einzelnen Bestätigung. Jede dieser Anfragen ist ein Filter über den gesamten Bestand, kombiniert mit den übrigen Fingerabdrücken derselben Zeile, und keine davon lässt sich aus Abfragen pro Domain zusammensetzen, ohne vorher das Web zu crawlen.

Der übliche Vorbehalt gilt auch hier, und er gehört ausgesprochen statt versteckt. Die Erkennung liest die eigenen Asset-Pfade und das erzeugte Markup des Plugins. Eine Website, die ihre Frontend-Assets bündelt, minifiziert oder umbenennt oder sie über einen umschreibenden Proxy ausliefert, kann das Plugin daher nutzen, ohne in unserer Zählung aufzutauchen. Der Fehler wirkt nur in eine Richtung. Der Bestand, den wir veröffentlichen, ist real, und gerade die am besten gepflegten Installationen fehlen darin am ehesten.