Fundacja Linux wprowadziła nową inicjatywę o nazwie Menedżer pakietów targowych (FPM) – wspólne, otwarte przedsięwzięcie mające na celu poprawę bezpieczeństwa, stabilności i zarządzania ekosystemami wtyczek CMS, takimi jak WordPress, Joomla, Drupal oraz Typo3.
Czym jest Fair Package Manager?
Fair Package Manager (FPM) to zdecentralizowany rejestr i struktura zarządzania stworzona w celu zapewnienia większej przejrzystości i kontroli nad sposobem zarządzania i dystrybucji wtyczek i motywów CMS.
Mówiąc prościej, pomaga deweloperom, dostawcom usług hostingowych i właścicielom witryn lepiej śledzić, zarządzać i ufać pakietom oprogramowania, których używają do obsługi swoich witryn.
Dlaczego Matters to
Systemy zarządzania treścią, takie jak WordPress, Joomla i Drupal wzmocniły miliony stron internetowych, ułatwiając rozszerzanie funkcjonalności za pomocą wtyczek i motywów innych firm. Jednak ta elastyczność wiąże się z poważnymi ryzykami, zwłaszcza jeśli chodzi o konserwacja oprogramowania oraz bezpieczeństwo łańcucha dostaw.
Wiele popularnych wtyczek CMS jest rozwijanych przez indywidualnych współpracowników lub małe zespoły. Z czasem niektóre z tych wtyczek stają się nieaktywne, zaniedbane lub, co gorsza: sprzedane lub przejęte przez złych aktorów. Po naruszeniu wtyczka może wprowadzić złośliwy kod do tysięcy, a nawet milionów witryn za pośrednictwem automatycznych aktualizacji. Te ataki często pozostają niezauważone, dopóki nie zostaną wyrządzone znaczne szkody, w tym naruszenia danych, wstrzyknięcia spamu SEO lub całkowite przejęcie witryny.
Fair Package Manager rozwiązuje te ryzyka, wprowadzając nowy model zarządzania. Oddziela własność wtyczki od jej kontroli i dystrybucji, utrudniając złośliwym podmiotom wykorzystywanie porzuconych projektów. Dodaje również warstwy odpowiedzialności, wykorzystując weryfikowalne poświadczenia i przejrzyste metadane, pomagając zarówno deweloperom, jak i użytkownikom końcowym zrozumieć pełną historię wtyczki i bieżący status zarządzania.
Dla właścicieli witryn, deweloperów i dostawców hostingu oznacza to mniej niespodzianek i bezpieczniejsze ekosystemy wtyczek. To proaktywny krok w kierunku naprawy rozdrobnionego sposobu, w jaki obecnie zarządza się wtyczkami, i stanowi podstawę lepszej współpracy między społecznościami CMS, dostawcami infrastruktury i użytkownikami końcowymi.
Kto stoi za projektem?
FPM jest rozwijany pod nadzorem Linux Foundation i wspierany przez zróżnicowaną grupę interesariuszy CMS:
- Susy Buytaert (Założyciel Drupala)
- Matt Mullenweg (Współzałożyciel WordPress i CEO Automattic)
- Kwestie Open Source (Organizacja wspierająca Joomla)
- Stowarzyszenie Typo3
- Dostawcy usług hostingowych i DevOps, tacy jak Panteon, Netlifikuj, Platforma.sh, Działania obywatelskie, Amazee.io
Wczesny udział założycieli CMS i dostawców infrastruktury daje projektowi duże szanse na szerokie przyjęcie.
W jaki sposób projekt pomaga użytkownikom hostingu
Dla właścicieli witryn i klientów hostingu FPM może stać się krytyczną warstwą bezpieczeństwa. Zamiast ślepo ufać aktualizacjom wtyczek lub polegać na przestarzałych repozytoriach, skorzystasz z frameworka, który:
- Zapobiega nieuczciwym aktualizacjom i przejęcia wtyczek.
- Poprawia widoczność kto utrzymuje wtyczkę i jak jest ona zarządzana.
- Promuje zdrowe ekosystemy wtyczek ze wspólną odpowiedzialnością.
Może to mieć szczególnie silny wpływ na WordPress użytkownicy, z których wielu polega na bezpłatnych wtyczkach z oficjalnego repozytorium, ale nie mają kontroli nad tym, w jaki sposób i kiedy te wtyczki są przenoszone lub aktualizowane.
Patrząc w przyszłość
Menedżer pakietów targowych nie ogranicza się do WordPress. Został zaprojektowany do obsługi wielu platform CMS i może ostatecznie przekształcić się w społeczny standard bezpieczeństwa wtyczek w całej sieci.
Dzięki wczesnemu wsparciu ze strony społeczności programistów i hostingodawców, FPM może okazać się długo wyczekiwanym rozwiązaniem jednego z najpoważniejszych zagrożeń w środowisku open source: nieuregulowanych cyklów życia wtyczek.
Aby dowiedzieć się więcej lub zaangażować się, Odwiedź Strona ogłoszenia Linux Foundation.
