間違いだらけのテーマ・プラグイン選び

先月、『非公認のマーケットプレイスを避けるべき理由』というタイトルで、ThemeForest や CodeCanyon など WordPress.org が公認していないマーケットプレイスからテーマやプラグインを入手することの危険性について書いたんですが、今思うとやや語弊のある書き方をしてしまったなと反省しております。というのも、1) WordPress.org のディレクトリから配布していないテーマやプラグインにも安全で良いものが多数あるし、2) WordPress.org のディレクトリにあればすべて安全で問題がないかというとそんなことはないからです。このあたりについてすこし補足するとともに、よいものとそうでないものの見分け方について僕なりの考えを述べたいと思います。

ThemeForest や CodeCanyon で売られているテーマやプラグインのリスクについてはあらためて説明しません。それらは論外として、それら以外のサイトで配布または販売されているテーマやプラグインについても一律に避けたほうがよいかというと、そんなことはないと思います。また、僕自身は WordPress プラグインの有償販売はしないポリシーで徹底していますが、だからといって商用のテーマやプラグインが全部悪いというつもりはなく、ある要件を満たしていれば商用のものでも人に薦めたりすることがあります。

ポイントは何かというと、そのテーマ・プラグインの開発プロセスに高い透明性が確保されているかどうか、です。具体的に言えば GitHub のパブリックリポジトリのような一般公開のサイトでソースコードを誰でも無償で閲覧できるようにしているかどうか。なぜこれが重要かというと、ソースコードすら気軽に閲覧できない状態ではセキュリティ研究者による調査にも支障をきたすからです。脆弱性が実際には存在するのに誰も調査できないから発見されず長年放置される、なんてことになりかねません。

ソースコードを公開するということは金を払わずにコピーすることもできてしまうので、有償販売をしている開発者の中にはこれを嫌がる人もいますが、開発プロセスの透明性はユーザーや外部からの信用に直結するでしょうから、長期的な視点に立てばすべてをさらけ出すのが賢明だというのは疑いようがありません。

あとはライセンスですね。100% GPL。これ一択です。ライセンスについて何かモゴモゴ言っているテーマやプラグインは避けましょう。

他方、WordPress.org のディレクトリから配布されているテーマやプラグインならどれでも安全か。すべて無償で、ソースコードが旧バージョンまで含めて全部公開されており、脆弱性が修正されずに放置されていればディレクトリ運営チームがクローズなどの対応を迅速にとってくれるので、一定の安全性が確保されていることは間違いありません。最も信頼できる入手先です。とはいえ、テーマやプラグインの作者はさまざまなので、玉もあれば石もあります。

ひとつ、個人的な偏見にまみれた「よいテーマ・プラグインを選ぶポイント」を挙げるとすれば、フリーミアムは避けたほうがよいでしょう。多くの場合、フリーミアムのプレミアム版には開発プロセスの透明性がなく、透明性が低い製品の品質が極めて高いというようなことは普通あり得ず、またフリー版はプレミアム版の単純な機能縮小版であり、そもそもがプレミアム版の販売に繋げるための試供品という位置付けなのでサポートに力を入れるようなこともなく、ダッシュボードはプレミアム版の売り口上に専有されます。フリーミアムを選ぶくらいなら最初からプレミアム版だけを提供している潔い製品にお金を払うことを勧めます。WPForms よりも Gravity Forms を薦めます。