Como Verificar a Integridade de Plugins GPL no WordPress sem Ferramentas Pagas

Plugins GPL são uma faca de dois gumes: oferecem liberdade de uso, mas exigem que você mesmo garanta que o código não foi adulterado. A maioria dos tutoriais ensina a instalar ou confiar em vendedores, mas e se o plugin vier com backdoor? Vou te mostrar como verificar a integridade de plugins GPL manualmente, sem gastar um centavo.

Por que você não pode confiar em qualquer fonte GPL

Mesmo em sites reputados, plugins GPL podem ser modificados para incluir código malicioso, como injeção de links, coleta de dados ou criação de usuários admin. O repositório oficial do WordPress é seguro, mas plugins vendidos em marketplaces GPL não passam por revisão de código. A responsabilidade é sua.

Ferramentas gratuitas para verificação

Você não precisa de scanners caros. Use:

Terminal com diff: Compare o plugin baixado com uma versão limpa do repositório oficial usando diff -rq.
hashes MD5: Calcule o hash de cada arquivo com md5sum e compare com o hash oficial disponível no site do desenvolvedor (se fornecido).
grep para padrões suspeitos: Busque por funções perigosas como base64_decode, eval, preg_replace com modificador /e, ou wp_remote_get para domínios externos.

Passo a passo para verificar um plugin GPL

1. Baixe o plugin original do repositório oficial (se existir)

Mesmo que o plugin seja premium, muitos estão listados no .org com versão gratuita limitada. Baixe essa versão como referência.

2. Compare as versões

Execute no terminal: diff -rq plugin_referencia plugin_baixado. Isso mostra arquivos diferentes ou ausentes. Se houver diferenças suspeitas, analise manualmente.

3. Verifique a assinatura digital

Alguns desenvolvedores usam GPG para assinar releases. Se disponível, importe a chave pública e verifique a assinatura com gpg --verify arquivo.tar.gz.asc. Isso garante que o arquivo não foi alterado desde a assinatura.

O que procurar no código

Procure por:

Requisições para IPs desconhecidos (use grep -rn 'http[s]*://' plugin/).
Uso de obfuscated ou str_rot13.
Funções que permitem execução remota de comandos.

Se encontrar algo, desconfie. Não instale.

Teste em ambiente isolado

Sempre teste plugins suspeitos em um staging server ou localhost. Monitore requisições de rede com tcpdump ou Wireshark para detectar comunicações ocultas. Após instalar, verifique se há novos usuários ou alterações em opções do banco de dados.

Conclusão

Segurança não é cara, é trabalhosa. Um plugin GPL malicioso pode destruir seu site em minutos. Use as técnicas acima para verificar cada plugin antes de colocar em produção. Lembre-se: no mundo GPL, você é o único auditor do seu código. Não negligencie.

Agora, vá verificar seus plugins. O tempo que você gasta lendo isso é o tempo que um invasor precisa para achar uma brecha.