নতুন ওয়ার্ডপ্রেস সাইট বানানোর সময় প্রায় সবাই একই ফাঁদে পা দেন। ইউটিউবে ‘টপ ২০ মাস্ট-হ্যাভ প্লাগইন’ ভিডিও দেখে একদিনেই সবগুলো ইনস্টল করে ফেলা হয়। সাইট লাইভ হওয়ার আগেই ড্যাশবোর্ডে সাতাশটা প্লাগইন, তার মধ্যে দুটো ক্যাশ প্লাগইন একসাথে চলছে, একটা স্লাইডার প্লাগইন যেটা কোথাও ব্যবহার হয়নি, আর একটা ‘হিট কাউন্টার’ যেটা শেষ আপডেট পেয়েছে ২০১৯ সালে।
তারপর যা হওয়ার তাই হয় — সাইট মোবাইলে সাত সেকেন্ডে লোড হয়, ড্যাশবোর্ড কচ্ছপের গতিতে চলে, আর কয়েক মাস পর হোস্টিং কোম্পানি মেইল করে জানায় অ্যাকাউন্ট সাসপেন্ড, কারণ সাইট থেকে স্প্যাম যাচ্ছে। প্রতিটা প্লাগইন আসলে অন্য কারো লেখা কোড, যেটা আপনার সাইটে সর্বোচ্চ ক্ষমতা নিয়ে চলে। তাই প্রশ্নটা কখনোই ‘এটা কি কাজের?’ নয় — প্রশ্নটা হলো ‘এটা না থাকলে ঠিক কী ভাঙবে?’
নিচে এক মাসের একটা বাস্তব পরিকল্পনা। উদ্দেশ্য একটাই: মাস শেষে আপনার সাইটে যত কম প্লাগইন থাকবে, ততই ভালো — কিন্তু যেগুলো থাকবে, তার প্রতিটার পেছনে একটা কারণ থাকবে।
সপ্তাহ ১: যেগুলো ছাড়া সাইট লাইভ করাই উচিত নয়
প্রথম সপ্তাহে মাত্র পাঁচটা জিনিস। এর একটাও ‘ফিচার’ নয় — প্রতিটাই বীমা। এগুলো ইনস্টল না করে সাইট লাইভ করা মানে হেলমেট ছাড়া মোটরসাইকেল চালানো; কিছু না হওয়া পর্যন্ত সবই ঠিক থাকে।
- ব্যাকআপ — UpdraftPlus (ফ্রি)। সেটআপ করে Google Drive বা Dropbox-এ পাঠানোর ব্যবস্থা করুন, সার্ভারে নয়। সার্ভারেই ব্যাকআপ রাখলে সার্ভার গেলে ব্যাকআপও যাবে। হোস্টিং কোম্পানির ব্যাকআপের ওপর ভরসা করবেন না — বাংলাদেশের অনেক শেয়ার্ড হোস্টে ওটা সাপ্তাহিক, আর সাত দিনের কাজ হারানো মানে সাত দিনের কাজই হারানো। সেটআপের পর একটা সংখ্যা মেপে রাখুন: স্টেজিংয়ে সাইটটা পুরোপুরি ফিরিয়ে আনতে ঠিক কত মিনিট লাগে। সত্যিকারের বিপদের দিন ওই সংখ্যাটাই আপনার একমাত্র হাতিয়ার, আর সেদিন প্রথমবার মাপতে বসাটা ভয়াবহ।
- সিকিউরিটি — Wordfence বা Solid Security (ফ্রি ভার্সনই যথেষ্ট)। সবচেয়ে জরুরি তিনটা সেটিং: লগইন চেষ্টার সীমা বেঁধে দিন, ডিফল্ট /wp-admin URL বদলান, আর অ্যাডমিন অ্যাকাউন্টে টু-ফ্যাক্টর চালু করুন। বেশিরভাগ ওয়ার্ডপ্রেস হ্যাক জটিল কোনো হামলা নয় — বট এসে হাজারবার পাসওয়ার্ড অনুমান করে, ব্যস।
- SEO — Rank Math বা Yoast (ফ্রি)। দুটোই ভালো; একটা বেছে নিন, দুটো একসাথে কখনোই নয়। মূল কাজ সাইটম্যাপ তৈরি করা আর প্রতিটা পেজের টাইটেল-ডেসক্রিপশন নিয়ন্ত্রণ করা।
- ক্যাশিং — হোস্টের ওপর নির্ভর করে। বাংলাদেশের বেশিরভাগ শেয়ার্ড হোস্ট (ExonHost, Hostever, IT Nut ধরনের) LiteSpeed সার্ভারে চলে; সেক্ষেত্রে LiteSpeed Cache প্লাগইনটাই সেরা এবং ফ্রি, কারণ ওটা সার্ভার-লেভেলে কাজ করে। হোস্ট Apache বা Nginx হলে WP Super Cache দিয়ে শুরু করুন। cPanel-এ ঢুকে দেখে নিন কোনটা — অনুমানে চলবেন না।
- SMTP — FluentSMTP বা WP Mail SMTP (ফ্রি)। এটাই সবচেয়ে বেশি অবহেলিত অথচ সবচেয়ে বেশি সমস্যা তৈরি করে। শেয়ার্ড হোস্টের ডিফল্ট PHP মেইল সোজা স্প্যাম ফোল্ডারে যায়, ফলে অর্ডার কনফার্মেশন বা পাসওয়ার্ড রিসেট মেইল কাস্টমার পান না — আর আপনি বুঝতেও পারেন না কেন কাস্টমার ফোন করে বলছেন ‘মেইল তো আসেনি’। Gmail বা Brevo দিয়ে কনফিগার করে টেস্ট মেইল পাঠিয়ে নিশ্চিত হোন।
মনে রাখবেন, ওয়ার্ডপ্রেস সাইট সাধারণত হ্যাকারের বিশেষ নিশানা হয়ে হ্যাক হয় না — ঢালাও স্ক্যানের জালে ধরা পড়ে। আপনার সাইট কারো কাছে বিশেষ কিছু নয়, আর ঠিক সেই কারণেই ঝুঁকিটা বাস্তব।
সপ্তাহ ২: ফর্ম, ছবি আর গতি
দ্বিতীয় সপ্তাহে সাইটটা আসলে কাজে লাগার মতো হয়। ফর্মের জন্য Fluent Forms বা WPForms Lite — প্রসঙ্গত, Fluent Forms বানিয়েছে ঢাকার প্রতিষ্ঠান WPManageNinja, আর ওদের ফ্রি ভার্সনেই বেশিরভাগ ছোট ব্যবসার কাজ চলে যায়। কন্টাক্ট ফর্মের সাথে একটা জিনিস অবশ্যই যোগ করুন: স্প্যাম আটকানোর ব্যবস্থা (reCAPTCHA বা সহজ হানিপট), নইলে দুই সপ্তাহ পর ইনবক্স ভরে যাবে।
ছবি নিয়ে যে ভুলটা সবচেয়ে বেশি হয়, সেটা প্লাগইন দিয়ে ঠিক করা যায় না। ফটোগ্রাফারের দেওয়া ৪ মেগাবাইটের JPG সরাসরি আপলোড করে দিলে ShortPixel বা Converter for Media যতই WebP বানাক, মূল সমস্যা থেকেই যায়। আসল নিয়ম: আপলোডের আগে ছবির প্রস্থ ১৬০০ পিক্সেলের নিচে নামান আর সাইজ ২৫০ কিলোবাইটের মধ্যে রাখুন। তারপর প্লাগইন দিয়ে WebP কনভার্সন চালু করুন — এই দুইয়ে মিলে পেজের ওজন প্রায়ই অর্ধেক হয়ে যায়।
- বাংলাদেশের বড় অংশ ভিজিটর মোবাইল ডেটায় সাইট খোলেন, প্রায়ই দুর্বল নেটওয়ার্কে। এক মেগাবাইটের হোমপেজ আর তিন মেগাবাইটের হোমপেজের পার্থক্য এখানে ‘একটু স্লো’ নয় — পার্থক্যটা ভিজিটর থাকল কি চলে গেল।
- ছবি lazy-load করুন (ওয়ার্ডপ্রেসে এখন বিল্ট-ইন), আর হোমপেজে দশটার বেশি বড় ছবি রাখবেন না।
সপ্তাহ ৩: WooCommerce থাকলে — পেমেন্ট, কুরিয়ার, এসএমএস
সাইটে যদি অনলাইন বিক্রি থাকে, তৃতীয় সপ্তাহটা পুরোপুরি সেই স্তরের জন্য। এখানকার প্লাগইনগুলো ‘জরুরি’ কারণ এগুলো ছাড়া ব্যবসাটা চলেই না — সৌন্দর্যের সাথে কোনো সম্পর্ক নেই।
- পেমেন্ট গেটওয়ে: aamarPay, SSLCommerz বা ShurjoPay-এর অফিসিয়াল WooCommerce প্লাগইন। একটাতেই বিকাশ, নগদ, রকেট আর কার্ড — সব আসে। ফি সাধারণত লেনদেনের ২ থেকে ৩ শতাংশের মধ্যে, তাই প্রাইসিং ঠিক করার সময় এটা হিসাবে ধরুন। মনে রাখবেন, ক্যাশ-অন-ডেলিভারিও চালু রাখতে হবে — এ দেশে অর্ডারের বড় অংশ এখনও COD-তেই আসে।
- কুরিয়ার ইন্টিগ্রেশন: Steadfast, Pathao Courier বা RedX-এর প্লাগইন দিয়ে WooCommerce থেকে সরাসরি অর্ডার পুশ করা যায়। দিনে দশটা অর্ডার পর্যন্ত ম্যানুয়ালি এক্সেল ফাইল বানানো চলে; তিরিশ পেরোলে ওটা মানুষের কাজ থাকে না।
- এসএমএস নোটিফিকেশন: বাংলাদেশে কাস্টমার ইমেইল খোলেন না, এসএমএস দেখেন। একটা বাল্ক-এসএমএস গেটওয়ে প্লাগইন লাগিয়ে অর্ডার কনফার্ম আর ডেলিভারির আপডেট এসএমএসে পাঠান — কল রিটার্নের সংখ্যা নাটকীয়ভাবে কমে।
একটা সতর্কতা: গেটওয়ে আর কুরিয়ার প্লাগইন অবশ্যই অফিসিয়াল সোর্স থেকে নিন। এদের কাজ টাকা আর কাস্টমারের ঠিকানা নিয়ে — এখানে ‘ফ্রি ডাউনলোড’ সাইট থেকে নামানো কপি বসানোর ঝুঁকি নেওয়ার কোনো মানে হয় না।
সপ্তাহ ৪: মাপুন, তারপর ছাঁটুন
শেষ সপ্তাহে নতুন কিছু ইনস্টল করবেন না — যা আছে তার দাম মাপবেন। Query Monitor প্লাগইনটা সাময়িকভাবে চালু করুন। এটা প্রতিটা পেজ লোডে কোন প্লাগইন কতগুলো ডেটাবেস কোয়েরি চালাচ্ছে আর কত মিলিসেকেন্ড খাচ্ছে, তা সরাসরি দেখিয়ে দেয়। ফলাফল প্রায়ই চমকে দেওয়ার মতো — একটা নিরীহ ‘রিলেটেড পোস্ট’ প্লাগইন একাই আশিটা কোয়েরি চালাচ্ছে, এমন ঘটনা বিরল নয়।
সাথে GTmetrix বা PageSpeed Insights-এ মোবাইল স্কোর দেখুন, আর একটা করে সন্দেহভাজন প্লাগইন বন্ধ করে আবার মাপুন। যেটা বন্ধ করলে কিছুই ভাঙে না অথচ সাইট দ্রুত হয়ে যায় — সেটা আপনার প্রয়োজন ছিল না। এখন থেকে একটা সহজ নিয়ম চালু করুন: নতুন একটা প্লাগইন ঢুকলে পুরনো একটা বের হবে। সংখ্যা নিজে থেকে খারাপ নয়, কিন্তু বিশ ছাড়ালে থেমে ভাবুন।
যা ইনস্টল করা মানেই ঝুঁকি কেনা
- নাল্ড বা ক্র্যাক করা প্রো প্লাগইন। এটা আমাদের বাজারের সবচেয়ে সাধারণ এবং সবচেয়ে ব্যয়বহুল ভুল। ‘ফ্রি ডাউনলোড’ সাইটের প্রো প্লাগইনে ব্যাকডোর বসানো থাকে — কেউ বিনা কারণে আপনাকে ৫৯ ডলারের জিনিস বিনামূল্যে দিচ্ছে না। ক্লায়েন্টের সাইট হ্যাক হলে খরচটা লাইসেন্সের চেয়ে বহুগুণ বেশি, আর সুনামের ক্ষতিটা টাকায় মাপা যায় না।
- একসাথে দুটো ক্যাশ প্লাগইন বা দুটো SEO প্লাগইন। এরা একে অপরের সাথে যুদ্ধ করে, আর ফলাফল হয় ভাঙা পেজ কিংবা ডুপ্লিকেট মেটা ট্যাগ।
- এক বছরের বেশি আপডেট হয়নি এমন যেকোনো প্লাগইন। রিপোজিটরিতে ‘Last updated’ তারিখটা দেখে নিন — পরিত্যক্ত প্লাগইন মানে অপেক্ষমাণ নিরাপত্তা ঝুঁকি।
- যেটার কাজ থিম বা কোডের চার লাইনেই হয়ে যায়। হিট কাউন্টার, ‘টপ-এ ফিরে যান’ বাটন, কাস্টম CSS প্লাগইন — এগুলোর জন্য আলাদা প্লাগইন লাগে না।
চারটা প্রশ্ন: আপনার স্ট্যাক সুস্থ তো?
মাস শেষে নিজেকে চারটা প্রশ্ন করুন। স্টেজিংয়ে ব্যাকআপ ফিরিয়ে আনতে কত মিনিট লাগে, সেটা কি আপনি জানেন? মোবাইল ডেটায় হোমপেজ তিন সেকেন্ডের ভেতর লোড হচ্ছে কি? ওয়ার্ডপ্রেস আপডেটের নোটিফিকেশন দেখলে বুক ধড়ফড় করে, নাকি নির্ভয়ে ক্লিক করতে পারেন? আর ড্যাশবোর্ডের প্রতিটা প্লাগইনের নাম দেখে কি বলতে পারেন এটা ঠিক কী কারণে আছে? চারটার উত্তর হ্যাঁ হলে আপনার সেটআপ সুস্থ — সংখ্যা নয়, নয়টাই হোক বা উনিশটা।
এই ৩০ দিনের প্ল্যান নিয়ে যেসব প্রশ্ন ওঠে
চার সপ্তাহ কেন? একদিনে সব ইনস্টল করে ফেললে সমস্যা কোথায়? সমস্যা হলো, একসাথে বিশটা প্লাগইন বসিয়ে সাইট ভাঙলে বা স্লো হলে আপনি জানবেন না কোনটার দোষ। ধাপে ধাপে বসানোর আসল উদ্দেশ্য শৃঙ্খলা নয় — কারণ চিহ্নিত করতে পারা। প্রতিটা সংযোজনের পর সাইট আগের মতোই দ্রুত আছে কি না দেখে নিলে দোষী খুঁজতে পরে দুই দিন নষ্ট হয় না।
সাইট কালকেই লাইভ করতে হবে, চার সপ্তাহ সময় নেই — কী কাটব? প্রথম সপ্তাহের পাঁচটা কোনোভাবেই কাটবেন না; ওগুলো ছাড়া লাইভ করা মানে বিনা বীমায় ঝুঁকি নেওয়া। বাকি সব পিছিয়ে দেওয়া যায়। ফর্ম, ছবি অপটিমাইজেশন, এমনকি এসএমএস নোটিফিকেশন — এগুলো লাইভ হওয়ার পরের সপ্তাহেও যোগ করা যায়, কেউ টেরও পাবে না।
ক্লায়েন্টের পুরনো সাইট হাতে পেলে এই প্ল্যান কীভাবে খাটাবেন? উল্টো দিক থেকে। আগে ব্যাকআপ আর সিকিউরিটি নিশ্চিত করুন, তারপর সপ্তাহ ৪-এর মাপার ধাপটা আগে চালান — Query Monitor দিয়ে দেখুন কে কত খাচ্ছে। যা নিষ্ক্রিয় অবস্থায় পড়ে আছে সেগুলো আগে মুছুন, কারণ ওগুলো কোনো উপকার না করেই ঝুঁকি বাড়াচ্ছে। তারপর একটা করে বন্ধ করে দেখুন কী ভাঙে।
এই মাস শেষে নতুন প্লাগইন আর যোগ করা যাবে না? যাবে, তবে একটা শর্তে — নতুন একটা ঢুকলে পুরনো একটা বের হবে, অথবা লিখে রাখতে হবে এটা ছাড়া ঠিক কী ভাঙত। নিয়মটা কঠোর শোনায়, কিন্তু এটাই একমাত্র জিনিস যা দুই বছর পর আপনার সাইটকে আবার সাতাশটা প্লাগইনের ভারে ডুবে যাওয়া থেকে বাঁচায়।
প্লাগইন বাছাই আসলে একটা ঝুঁকি ব্যবস্থাপনার কাজ, ফিচার সংগ্রহের নয়। Stack Alix ক্লায়েন্টদের ওয়ার্ডপ্রেস সাইট সেটআপ ও রক্ষণাবেক্ষণ করে — হালকা প্লাগইন স্ট্যাক, নিয়মিত ব্যাকআপ আর নিরাপদ আপডেটসহ। আপনার সাইটটা যদি ধীরে ধীরে ভারী হয়ে উঠছে বলে মনে হয়, একবার অডিট করিয়ে নিতে পারেন।