Plugin removido do diretório de plugins do WordPress.org: o que isso significa?

Você quer instalar aquele plugin de confiança em um site novo, mas a busca no painel já não o encontra. No WordPress.org, no lugar do botão de download, aparece só um aviso curto: “This plugin has been closed”. Enquanto isso, nos seus outros sites, o mesmo plugin continua funcionando normalmente. O que aconteceu? O plugin foi removido do diretório oficial de plugins. Isso pode ser inofensivo. Mas também pode significar que o seu site está agora com uma falha de segurança aberta que ninguém mais vai corrigir. Aqui você descobre o que está por trás de um fechamento como esse, como avaliar o risco e o que vale a pena fazer agora.

O que significa quando um plugin é removido do WordPress.org?

A rigor, o WordPress.org não exclui um plugin. Ele fecha o plugin. A página do plugin passa então a exibir uma frase como “This plugin has been closed as of June 24, 2024 and is not available for download.” Para você, que cuida do site, isso tem consequências bem concretas:

• O plugin não pode mais ser baixado no WordPress.org nem instalado pelo painel.
• Enquanto ele estiver fechado, o WordPress.org não distribui novas versões. Ou seja, não chegam mais atualizações, nem mesmo as de segurança.
• As cópias já instaladas ficam intocadas. O WordPress não desativa nem exclui nada, o plugin simplesmente continua funcionando.
• O código do plugin continua visível para qualquer pessoa no SVN Repository do WordPress.org.

O terceiro ponto é o mais traiçoeiro. Como tudo parece normal no seu site, na maioria das vezes você nem fica sabendo do fechamento. O WordPress não mostra nenhum aviso sobre isso no painel. Um ticket que quer mudar exatamente isso está no WordPress Trac desde 2014. Ele chegou a ser rejeitado e foi reaberto em 2023. Afinal, como alertar os usuários sem espalhar pânico à toa não é uma pergunta tão fácil de responder.

Também não confunda um plugin removido com um plugin desatualizado. Um plugin que não recebe atualização há anos muitas vezes continua listado normalmente no diretório. Nesse caso, o WordPress.org apenas avisa que ele não foi testado com as três últimas versões principais do WordPress. Já um plugin fechado foi retirado de circulação por completo.

Por que plugins são removidos do WordPress.org? Os cinco motivos oficiais

Quem cuida do diretório de plugins é o Plugins Team do WordPress.org. A equipe não fecha plugins por capricho, e sim por um de cinco motivos descritos na documentação oficial para desenvolvedores. São exatamente esses motivos que aparecem mais tarde na página do plugin:

• Security Issue (problema de segurança): O plugin tem uma vulnerabilidade confirmada. Salvo raras exceções, a equipe fecha o plugin na hora. Segundo o manual da equipe, não existe um prazo do tipo “corrija isso em sete dias ou você está fora”.
• Guideline Violation (violação das diretrizes): O plugin não segue as regras do diretório. Casos típicos são rastreamento sem consentimento, código deixado ilegível de propósito ou links para o desenvolvedor que aparecem no seu site sem que ninguém tenha pedido.
• Licensing/Trademark Violation (licença ou marca registrada): O plugin contém código incompatível com a GPL, ou o nome dele se aproveita de uma marca de terceiros.
• Author Request (pedido do autor): O próprio desenvolvedor fechou o plugin. Às vezes falta tempo e pronto, às vezes o plugin passou a existir só como versão paga no site dele.
• Merged Into Core (incorporado ao WordPress): A função agora já vem direto no WordPress. Isso afeta quase só os chamados feature plugins, usados para testar novas funções antes que elas cheguem ao WordPress.

Aliás, boa parte dos problemas de segurança não é descoberta pelo próprio Plugins Team. Muitas vezes são pesquisadores de segurança que levam a falha até a equipe, por exemplo quando o desenvolvedor não responde aos alertas deles.

Por que o motivo do fechamento só aparece depois de 60 dias?

Logo após o fechamento, a página do plugin mostra apenas a data. O WordPress.org só acrescenta o motivo 60 dias depois, e mesmo assim apenas como uma categoria genérica da lista acima. O que aconteceu exatamente fica restrito aos desenvolvedores com permissão de escrita no plugin e à equipe de segurança. Os detalhes só se tornam públicos em casos excepcionais.

À primeira vista, isso parece pouco transparente, mas a lógica é fácil de entender. Se “Security Issue” aparecesse na página já no dia do fechamento, os atacantes saberiam na hora onde procurar, enquanto milhares de sites ainda usam o plugin sem nenhuma proteção. Esse prazo dá ao desenvolvedor a chance de corrigir a falha antes que a notícia se espalhe.

Leia também a frase logo abaixo do aviso. “This closure is temporary, pending a full review” significa que o fechamento é provisório e que o plugin está passando por uma análise mais detalhada. “This closure is permanent” quer dizer que o fechamento deve ser definitivo. Na página do KingComposer, um page builder que já foi muito popular, consta por exemplo “Reason: Security Issue” desde fevereiro de 2022.

Um plugin removido do WordPress.org é perigoso?

Resposta sincera: depende. Um fechamento por si só não prova que existe uma falha de segurança. Se o desenvolvedor simplesmente abandonou o plugin, talvez ele continue funcionando sem problemas por anos.

Mesmo assim, vale encarar todo plugin removido como um sinal de alerta sério:

• No começo, você não sabe o motivo. Nos primeiros 60 dias, por trás do fechamento pode haver uma falha crítica ou um erro formal sem importância. Olhando de fora, não dá para ver a diferença.
• As atualizações de segurança param de chegar. Se uma falha vier a público, ela continua aberta. É justamente por isso que plugins fechados interessam aos atacantes: eles sabem que muitos sites ainda vão usar esses plugins por muito tempo.
• A compatibilidade vai se desgastando. A cada nova versão do WordPress e do PHP, aumenta o risco de o plugin gerar erros ou, no pior caso, derrubar o seu site.

Junho de 2024 mostrou como um fechamento pode virar um problema real bem rápido. Usando senhas de vazamentos de dados antigos, atacantes conseguiram acessar contas de desenvolvedores no WordPress.org e inseriram um backdoor em vários plugins, como a Wordfence relatou na época. Entre os afetados estavam o Social Warfare e o Blaze Widget. O Social Warfare ganhou rapidamente uma versão limpa. Já o Blaze Widget está fechado de forma permanente desde 24 de junho de 2024, motivo: Security Issue. Quem tinha instalado a versão manipulada não via nada disso no painel.

Plugin removido do WordPress.org: o que fazer agora?

Não precisa entrar em pânico. Mas também não vale deixar o assunto para depois. O melhor caminho é este:

1. Leia o aviso na página do plugin. Você encontra a página em wordpress.org/plugins/ seguido do slug do plugin. O slug é o nome da pasta dele em wp-content/plugins. Observe a data, se aparece temporary ou permanent e, depois que os 60 dias tiverem passado, o motivo.
2. Verifique se existe uma vulnerabilidade conhecida. Procure o plugin em um dos grandes bancos de dados de vulnerabilidades, como Wordfence Intelligence, Patchstack ou WPScan. Se houver uma falha registrada para a versão que você tem instalada, não há dúvida: desative o plugin imediatamente. Se o seu site depende dele, você vai precisar rapidamente de uma solução provisória (falamos disso logo abaixo).
3. Descubra se o desenvolvedor continua com o projeto. Alguns plugins só mudam de endereço, por exemplo para o GitHub ou para uma loja própria do desenvolvedor, ou passam a existir só na versão paga. Uma olhada no site dele costuma esclarecer tudo rapidinho. Só que, nesse caso, as atualizações não chegam mais automaticamente pelo WordPress.org, e sim pelo caminho que o desenvolvedor definir.
4. Avalie com sinceridade se você ainda precisa do plugin. Principalmente em sites mais antigos, é comum encontrar plugins que alguém instalou um dia para uma única finalidade e depois esqueceu. Se você não lembra mais para que ele serve, desative o plugin em um ambiente de testes e veja se alguma coisa faz falta.
5. Procure uma alternativa com manutenção ativa. O que importa é a data da última atualização, o número de instalações ativas, a última versão do WordPress com a qual o plugin foi testado e se alguém de fato responde no fórum de suporte. Um plugin com uma grande base de usuários e uma equipe ativa costuma ser uma escolha mais segura do que uma solução de nicho mantida por uma única pessoa nas horas vagas.
6. Substitua o plugin do jeito certo. Antes de tudo, faça um backup, teste a troca em um ambiente de testes e transfira configurações e conteúdos. Pense também nos shortcodes, que depois da exclusão acabariam aparecendo como texto puro nas suas páginas. Por fim, exclua o plugin antigo por completo. Só desativar não é suficiente: em algumas falhas, os atacantes só precisam que os arquivos continuem no servidor e possam ser acessados diretamente.

E se você não puder substituir o plugin logo? Então pelo menos proteja o plugin. Um Web Application Firewall, por exemplo da Wordfence, da Patchstack ou da sua hospedagem, pode barrar ataques conhecidos contra o plugin até a troca ser concluída. Agências com desenvolvedores próprios ainda têm outra opção: os plugins do WordPress.org são distribuídos sob a GPL ou uma licença compatível. Ou seja, você pode assumir o código e continuar a manutenção por conta própria. Mas aí as atualizações de segurança passam a ser inteiramente responsabilidade sua.

Para saber mais sobre a manutenção contínua dos seus plugins, veja o nosso guia Como manter os plugins do WordPress atualizados e seguros.

Como saber se um plugin instalado foi fechado?

Fazer isso à mão dá trabalho. Você teria que abrir a página correspondente no WordPress.org para cada plugin. Com cinco plugins ainda dá, mas com 30 plugins espalhados por vários sites de clientes, nem tanto.

É mais rápido usar a Plugin API do WordPress.org. Para um plugin fechado, em vez dos dados de sempre, ela retorna uma mensagem de erro com o valor closed:

curl -sg "https://api.wordpress.org/plugins/info/1.2/?action=plugin_information&request[slug]=SLUG"

Substitua SLUG pelo nome da pasta do plugin. Se a resposta trouxer "closed":true, o plugin está fechado. Ali você também encontra a data do fechamento e, assim que ele for publicado, o motivo. A opção -g faz com que o curl não interprete os colchetes do endereço como curingas.

Se você usa o Wordfence: a verificação dele também compara os seus plugins com o WordPress.org e aponta plugins removidos como problema crítico. Nada é excluído nesse processo, a decisão continua sendo sua.

Para você não levar um susto à toa: nem todo plugin que você não encontra no WordPress.org foi removido. Plugins premium como WP Rocket ou Gravity Forms nunca estiveram lá. Eles recebem as atualizações diretamente do fornecedor.

Como o InspectWP detecta plugins removidos no seu site

O InspectWP faz essa verificação por você. O relatório identifica os plugins do seu site pelos rastros que eles deixam no código da página e compara cada um deles com o WordPress.org. Se um plugin estiver fechado, isso aparece direto no card dele, e a verificação de plugins removidos fica vermelha. Se o WordPress.org liberar o plugin de novo mais tarde, a marcação some no próximo relatório. Plugins que não recebem atualização há mais de um ano são marcados à parte como desatualizados. Plugins premium que nunca estiveram no diretório não contam como removidos.

Nos planos Premium e Agency, você vê também as versões instaladas e as vulnerabilidades conhecidas dos seus plugins. Com o InspectWP WordPress Connector, o InspectWP registra ainda todos os plugins instalados, inclusive os que não deixam nenhum rastro na parte pública do site. No PDF de auditoria para os seus clientes, um plugin removido aparece como ponto urgente, com uma recomendação clara. Como um plugin que hoje recebe manutenção pode estar fechado no mês que vem, os relatórios automáticos valem a pena: o InspectWP passa a verificar os seus projetos regularmente e, se você quiser, manda uma notificação. Um relatório gratuito mostra em pouco tempo se há um plugin removido rodando no seu site agora.