Cómo elegir, evaluar y depurar plugins de WordPress
Un plugin se ejecuta con los mismos permisos que el propio WordPress: puede leer y modificar su base de datos, crear archivos y enviar correos. Por lo tanto, instalar un plugin supone confiar en su autor. Los plugins desactualizados y mal mantenidos son una vía de entrada muy utilizada por los intrusos. Aquí puede leer cómo evaluar un plugin antes de instalarlo y cómo eliminar lo que ya no necesita.
Primero: ¿realmente necesita un plugin para ello?
- ¿Puede hacerlo WordPress por sí mismo? Columnas, botones, tablas, un sitemap sencillo y la carga diferida (lazy loading) de imágenes ya vienen incluidos.
- ¿Puede hacerlo su tema? Con un tema de bloques puede configurar muchas cosas en el Editor del sitio.
- ¿Ya tiene un plugin que hace esto? Dos plugins para lo mismo, como dos plugins de caché, dos plugins de SEO o dos plugins de seguridad, se estorban entre sí y provocan errores.
No existe un máximo fijo. Pero cada plugin debe mantenerse actualizado, puede entrar en conflicto con los demás y puede tener una vulnerabilidad. Un sitio con pocos plugins bien elegidos es más fácil de mantener en buen estado.
¿Dónde conseguir plugins?
- En el directorio de plugins de wordpress.org, al que también puede acceder desde Plugins > Añadir nuevo plugin en su panel de administración.
- En la web de un desarrollador conocido, para plugins de pago y extensiones.
- Nunca en sitios que ofrecen gratis plugins de pago. Estos plugins nulled suelen contener una puerta trasera o enlaces de spam, y no reciben actualizaciones.
Señales de alarma en la página del plugin
| Característica | Señal de alarma |
|---|---|
| Última actualización | Hace más de un año. En ese caso, puede que ya no funcione bien con las nuevas versiones de WordPress y PHP. |
| Probado hasta (versión de WordPress) | Una versión mucho más antigua que la actual. En wordpress.org aparece entonces una advertencia en la página. |
| Versión de PHP requerida | No es una señal de alarma en sí, pero compruebe si es compatible con la versión de PHP de su plan. |
| Instalaciones activas | Muy pocas: en ese caso, hay pocas personas que detecten errores. No siempre es malo, pero conviene revisarlo con más atención. |
| Valoraciones y soporte | Muchas valoraciones negativas recientes, o preguntas en el foro a las que el autor no responde. |
| Plugin cerrado | La página indica que el plugin se ha cerrado, a veces con el motivo, como un problema de seguridad. Sustitúyalo. |
Además, consulte una base de datos pública de vulnerabilidades conocidas en plugins de WordPress, como las de Patchstack, Wordfence o WPScan. Una vulnerabilidad que se corrigió rápidamente no es un problema. Un autor que pasa meses sin hacer nada, sí lo es. Fíjese también en qué hace el plugin con los datos de sus visitantes: si los envía a un servicio del autor, debe indicarlo en su política de privacidad.
¿Desactivar o borrar?
| Desactivar | Borrar | |
|---|---|---|
| ¿Qué ocurre? | WordPress deja de cargar el plugin. Los archivos permanecen en wp-content/plugins. | Los archivos se eliminan. Algunos plugins también eliminan sus ajustes y tablas de la base de datos; otros los dejan. |
| Riesgo | Una vulnerabilidad en un archivo suelto del plugin sigue siendo accesible. Los intrusos buscan archivos vulnerables conocidos, no plugins activos. | Lo que se borra, se pierde. Es posible que pierda sus ajustes. |
| ¿Cuándo? | Solo de forma temporal, por ejemplo, cuando está buscando el origen de un problema. | Cuando ya no utiliza el plugin. |
Lo mismo se aplica a los temas que no utiliza. Borre un plugin en Plugins: primero Desactivar y después Borrar.
Limpieza: una revisión periódica
Revise sus plugins, por ejemplo, cada trimestre y hágase cuatro preguntas sobre cada uno:
- ¿Para qué sirve? Si ya no lo recuerda, averígüelo.
- ¿Se sigue utilizando? Un plugin de sliders cuando no hay ningún slider en el sitio se puede eliminar.
- ¿Se puede prescindir de él porque WordPress, el tema u otro plugin ya lo hacen?
- ¿Se sigue manteniendo? Revise las señales de alarma anteriores.
Haga primero una copia de seguridad o trabaje en una copia; consulte Crear un entorno de staging de WordPress. Borre los plugins de uno en uno y compruebe después si su sitio sigue funcionando. Tenga cuidado con los shortcodes: si borra un plugin que proporcionaba, por ejemplo, [formulier id="2"], ese texto aparecerá después literalmente en su página.
Desactivar un plugin cuando el panel de administración no funciona
Si un plugin provoca un error crítico o una página en blanco, puede desactivarlo cambiando el nombre de su carpeta en wp-content/plugins. Ante un error así, WordPress también suele enviar un correo con un enlace al modo de recuperación. Puede leer cómo hacerlo paso a paso en Error 500 o "error crítico" en su sitio web (también después de una actualización de WordPress). Si un plugin de seguridad le impide el acceso, consulte No puedo iniciar sesión en WordPress: ¿qué hago?
Más información
- Gestionar plugins en wordpress.org (en inglés)
- ¡Socorro! Han hackeado mi sitio. ¿Cómo lo soluciono y cómo lo evito?
¿Quiere aprender más? Siga el curso gratuito de WordPress, lección 5.3 Elegir y evaluar plugins o lección 5.4 Menos es más: limpiar y resolver conflictos.