Cuántos plugins debería tener un WordPress

La pregunta llega siempre con un número detrás: «tengo 34 plugins, ¿son muchos?». La respuesta honesta es que el número importa menos de lo que parece, y que la pregunta correcta es otra: ¿cuántos de esos 34 puedes mantener?

Aun así, vamos a dar una cifra, porque sabemos que es lo que buscas, y después el criterio para llegar a ella sin cargarte la web.

La cifra, y por qué es una cifra tramposa

Una web corporativa de entre diez y treinta páginas funciona perfectamente con entre cinco y doce plugins. Una tienda con pasarela, envíos y facturación se va a quince o veinte sin que eso sea síntoma de nada malo.

Es tramposa porque un solo plugin gigante y abandonado hace más daño que quince pequeños y mantenidos. Lo que de verdad correlaciona con los incidentes que limpiamos no es la cantidad, son estas tres cosas:

Plugins sin actualizar desde hace más de un año.
Plugins que nadie sabe para qué están (los puso alguien que ya no está).
Plugins que duplican funciones: dos de caché, dos de seguridad, tres de formularios.

Qué cuesta cada plugin que instalas

Coste	Qué significa
Superficie de ataque	Más código expuesto = más probabilidad de que algún día tenga un fallo explotable
Mantenimiento	Alguien tiene que enterarse de sus actualizaciones y probarlas
Rendimiento	Consultas, hojas de estilo y scripts en cada carga
Compatibilidad	Cada actualización de WordPress o PHP puede romperlo
Cumplimiento	Si trata datos personales, entra en tu registro de tratamientos

Ese último punto se olvida siempre y es el que más disgustos da en una inspección: un plugin de formularios o de estadísticas está tratando datos de tus visitantes, y eso hay que tenerlo documentado. Cómo, en el registro de actividades de tratamiento en una pyme.

La poda, paso a paso

1. Inventario real

No vale la lista mental. Saca la lista completa con versión, autor y fecha de última actualización. El procedimiento está en cómo saber qué plugins tiene tu WordPress, incluidos los que no aparecen en el escritorio porque vienen empaquetados con el tema.

2. Clasifica en cuatro montones

Esenciales: sin esto la web no hace su trabajo (pasarela de pago, formulario de contacto, reservas).
Útiles: mejoran algo medible (caché, optimización de imágenes).
Heredados: están porque alguien los puso. Nadie sabe si se usan.
Muertos: desactivados desde hace meses, o de una campaña que terminó.

3. Empieza por los muertos

Un plugin desactivado sigue estando en el servidor, y sus ficheros se pueden invocar directamente si tienen un fallo. Desactivar no es quitar: bórralos.

4. Con los heredados, el método de la semana

Desactiva uno, deja pasar una semana y observa. Si nadie se queja y nada falla, se borra. Hazlo de uno en uno, en horario de poca visita y con copia de seguridad reciente. Es lento y es aburrido, y es la única forma de no romper algo que resulta que sí se usaba una vez al mes.

5. Busca duplicidades

Las más frecuentes que encontramos:

Un plugin de seguridad + el cortafuegos del hosting + el WAF del CDN, los tres bloqueando cosas y generando falsos positivos: ordénalos con esta guía de CDN y WAF.
Dos plugins de caché: casi siempre acaban sirviendo contenido incoherente.
Plugin de SEO + funciones de SEO del tema: etiquetas duplicadas en el código.
Tres plugins de formularios porque cada rediseño trajo el suyo.

Cuándo un plugin se convierte en un problema

Marca en rojo cualquiera que cumpla alguno de estos puntos y decide qué haces con él:

Sin actualizaciones desde hace más de doce meses: qué hacer con un plugin abandonado.
Con licencia caducada: deja de recibir parches.
Instalado desde fuera del repositorio oficial o del fabricante.
Empaquetado con el tema, sin forma de actualizarlo por tu cuenta: el caso de los plugins incluidos en el tema.
Con permisos de escritura amplios (gestores de archivos, editores de código) que no usas a diario: el caso extremo es WP File Manager.

Lo que sí merece la pena tener

Para una web de empresa media, el conjunto razonable es corto: caché, copias de seguridad, formulario, SEO básico, seguridad, y lo específico de tu negocio. Todo lo demás debería justificarse. Si una función la puedes cubrir con veinte líneas en el tema hijo o con una opción del hosting, casi siempre es mejor que con un plugin más.

Y antes de añadir el siguiente, dedica cinco minutos a comprobar su reputación. Es el momento más barato para decir que no.

Si quieres una referencia externa sobre el criterio de mínima superficie, las guías de INCIBE para empresas lo plantean igual: lo que no necesitas, no se instala.

Seguir leyendo en esta sección

Ver todo en Seguridad de plugins WordPress → · Mapa completo del sitio