MeteorGPL stellt sich vor: Premium-WordPress-Plugins als Composer-Pakete

WordPress-Websites nutzen Composer seit Jahren: WordPress selbst, die kostenlosen Plugins von WordPress.org, das eigene Theme, alles fixiert in einer composer.lock. Premium-Plugins waren die Ausnahme. Sie kommen als ZIP-Dateien von der Kontoseite eines Anbieters, werden von Hand hochgeladen oder ins Repository committet, und niemand kann sagen, welche Version wo läuft.

MeteorGPL schließt diese Lücke. Es ist ein privates Composer-Repository für Premium-WordPress-Plugins und -Themes.

Ein Befehl pro Plugin#

Fügen Sie das Repository zu einem Projekt hinzu, hinterlegen Sie ein Token, und Premium-Plugins lassen sich installieren wie jede andere Abhängigkeit:

composer config repositories.meteorgpl composer https://composer.meteorgpl.ddev.site
composer require meteorgpl-plugin/elementor-pro

composer/installers legt jedes Paket dort ab, wo WordPress es erwartet: in wp-content/plugins/<slug> oder, in Bedrock, in web/app/plugins/<slug>. Die Anleitungen Premium-WordPress-Plugins mit Composer installieren und MeteorGPL in einem Bedrock-Projekt verwenden führen Schritt für Schritt hindurch.

Versioniert, fixiert, reproduzierbar#

Jede Version ist ein Semver-Tag in der Historie des Pakets und wird zu einer ZIP-Datei gebaut, deren SHA-256-Prüfsumme auf der Paketseite und in der API angezeigt wird. composer.lock fixiert die Version und die Prüfsumme, sodass jede Umgebung dieselben Bytes installiert. Jede veröffentlichte Version bleibt verfügbar: composer update geht innerhalb Ihrer Versionsbeschränkung vorwärts, und der Weg zurück ist ein einziges composer require.

Vor der Veröffentlichung geprüft#

Bevor eine Version veröffentlicht wird, wird sie bereinigt, mit dem eigenen Lizenzcode des Anbieters verglichen, mit ClamAV und Musterregeln gescannt und gelintet. Eine Version, die diese Prüfungen nicht besteht, wird nicht veröffentlicht, und der Tab Sicherheit jedes Pakets zeigt die Prüfungen. Taucht später ein Problem auf, wird die Version zurückgezogen, wer das Paket beobachtet, wird informiert, und Webhooks werden ausgelöst.

Nichts verändert, Lizenzen intakt#

Plugins und Themes werden unter der GPL weiterverbreitet, die ihre Anbieter angegeben haben, und nichts an ihnen wird verändert: Der Lizenz-, Aktivierungs- und Update-Code des Anbieters wird so ausgeliefert, wie er ist. Sie aktivieren ein Plugin mit dem Lizenzschlüssel, den Sie bei seinem Anbieter gekauft haben, und erhalten damit auch den Support und den Update-Kanal des Anbieters. Die Lizenzseite erklärt die Einzelheiten. Ein Lizenzschlüssel-Tresor bewahrt Ihre Schlüssel verschlüsselt auf und erinnert Sie, bevor sie ablaufen.

Für Teams und Pipelines gebaut#

• Organisationen teilen sich einen Tarif mit Abrechnung pro Platz, Rollen (Inhaber, Admin, Mitglied, Abrechnungsmanager) und einem Auftragsverarbeitungsvertrag für Kundenprojekte.
• Composer-Tokens können persönlich sein oder einer Organisation gehören und lassen sich auf bestimmte Pakete, IP-Bereiche und ein Ablaufdatum beschränken. Composer-Tokens in CI zeigt, wie Sie sie in GitHub Actions und GitLab CI verwenden.
• Webhooks melden neue Versionen, Sicherheitshinweise und Rückzüge als signiertes JSON oder als Slack- und Discord-Nachrichten.

Auf dem neuesten Stand bleiben#

Beobachten Sie ein Paket, und Sie erfahren von seinen neuen Versionen und Sicherheitshinweisen in der App, per Push oder per E-Mail. Laden Sie die composer.lock einer Website in das Abhängigkeits-Dashboard hoch, und es zeigt, welche Pakete veraltet sind. Veröffentlichte Schwachstellen werden mit dem Katalog abgeglichen und erreichen die Personen, die eine betroffene Version einsetzen. Plugins aktuell halten und auf Schwachstellen achten richtet all das ein.

Wer wir sind#

MeteorGPL ist eine Marke von WebbingApps OÜ, einem in Estland eingetragenen Unternehmen, das den Dienst betreibt und die Rechnungen über Stripe ausstellt.

Um loszulegen, erstellen Sie ein Konto, wählen unter Einstellungen → Abrechnung und Tarife einen Tarif und folgen der Dokumentation. Fragen sind über die Kontaktseite willkommen.