Plugin abandonado en WordPress: cuándo es ya un riesgo

Tienes un plugin instalado que hace tiempo que no recibe actualizaciones y no sabes si eso es un problema o da igual. La respuesta corta: depende de qué toque ese plugin y de por qué ha dejado de actualizarse. En esta guía vas a aprender a mirar dos datos concretos para saber si sigue vivo, a reconocer el caso urgente (que lo hayan retirado del repositorio), y a cambiarlo por otro sin llevarte por delante los datos que tenía dentro. Casi todo lo puedes comprobar tú mismo en un rato, sin ser programador.

Cómo saber la última vez que se actualizó y si sigue en el repositorio

Empieza por lo que ya tienes delante. Entra en tu panel, en Plugins > Plugins instalados. Ahí ves cada plugin con su autor y el número de versión que tienes puesto. Ese número por sí solo no te dice mucho: lo importante es compararlo con lo que hay publicado y con cuándo se tocó por última vez.

Para eso, ve al repositorio oficial. Abre https://es.wordpress.org/plugins/NOMBRE-DEL-PLUGIN/ (el nombre técnico, el que aparece en la carpeta dentro de /wp-content/plugins/). En la columna de la derecha te fijas en dos cosas:

Última actualización («Last updated»): cuándo el autor subió la última versión. Si pone hace más de un año, enciende una luz amarilla; más de dos, luz naranja.
Probado hasta («Tested up to»): la versión de WordPress con la que el autor afirma que funciona. Si va varias versiones mayores por detrás de la que corre tu web, es señal de que nadie lo está manteniendo al día.

Apunta esos dos datos. No decides nada todavía: solo estás sacando la foto. Con la lista de todos tus plugins delante es más fácil ver cuáles están al día y cuáles arrastran años. Si quieres un inventario ordenado de todo lo que tienes montado, te ayuda repasar antes qué plugins tiene tu WordPress realmente, porque muchas webs cargan complementos que ni recuerdan haber instalado.

Retirado del repositorio: qué significa y qué hacer ese mismo día

Hay un caso que no admite espera. Si al abrir la página del plugin en el repositorio te encuentras un aviso de que «este plugin ha sido cerrado» («This plugin has been closed») o directamente la página ya no existe, tienes un problema que atender hoy.

WordPress cierra plugins por dos motivos principales: porque el autor ha incumplido las normas o, lo que más nos importa aquí, porque tiene un fallo de seguridad que no se ha corregido. Cuando pasa lo segundo, el plugin deja de recibir actualizaciones justo en el momento en que más falta hacen. Y como el aviso de cierre suele ser público, quien busca webs vulnerables sabe exactamente qué buscar.

El repositorio casi nunca te dirá el motivo del cierre. No lo interpretes como que «no era grave»: interprétalo como que tienes que actuar. Qué hacer ese mismo día:

Si el plugin no es esencial, desactívalo ya desde Plugins > Plugins instalados. Un plugin desactivado sigue con sus archivos en el servidor, pero no ejecuta su código en cada visita.
Si sí es esencial (por ejemplo, gestiona tus formularios o tu tienda), no lo borres a lo bruto porque puede guardar datos. Pásalo a plan de sustitución inmediata, que verás más abajo.
Comprueba de paso que ese plugin no ha sido la puerta de entrada de nadie. Si notas comportamientos raros, repasa las señales de una web comprometida antes de seguir.

Un plugin cerrado por seguridad es una de las causas más habituales de web infectada en pymes. Si quieres entender el panorama completo de por qué los complementos son el punto débil más explotado, tienes el detalle en nuestra guía sobre las vulnerabilidades de plugins de WordPress.

Sin actualizar no es lo mismo que abandonado: cómo distinguirlo

Aquí está el matiz que evita cambios innecesarios. Que un plugin lleve tiempo sin tocarse no significa automáticamente que sea peligroso. Un complemento sencillo, que hace una sola cosa y no maneja datos ni habla con servidores externos, puede funcionar perfectamente durante años sin una línea nueva. No todo software necesita cambiar cada mes.

Para distinguir un plugin maduro de uno abandonado, mira más allá de la fecha:

Soporte: en la pestaña «Soporte» del repositorio, ¿el autor responde a los hilos recientes? Un desarrollador que contesta dudas de hace un mes está vivo. Meses de hilos sin respuesta son mala señal.
Compatibilidad: el «Probado hasta» que ya miraste. Si dice que es compatible con la versión actual de WordPress, alguien lo revisa.
Qué toca: este es el factor que más pesa. Un plugin que solo añade un icono o un texto tiene poco margen de daño aunque esté viejo. Uno que gestiona formularios, sube archivos, guarda datos de clientes o procesa pagos multiplica el riesgo si nadie lo mantiene.
Quejas: si en el soporte hay usuarios avisando de que se rompe o de comportamientos extraños, tómalo en serio.

Resumido: un plugin sencillo, con soporte activo y compatible, aunque no se haya actualizado en un año, probablemente esté bien. Uno que maneja datos sensibles y lleva dos años en silencio es candidato claro a sustitución, esté cerrado o no.

Buscar alternativa: criterios para elegir el sustituto

Cuando decides cambiar, no cojas el primero que salga. Los criterios que de verdad importan al elegir un plugin fiable:

Desarrollo activo: actualizaciones recientes y regulares, no una cada tres años.
Base de instalaciones amplia: más usuarios significa más ojos encima y fallos que se detectan antes.
Historial de seguridad: no busques uno que nunca haya tenido un fallo (eso no existe), busca cómo lo gestionó. Un autor que comunica con transparencia y saca el parche rápido vale más que uno sin incidentes conocidos porque nadie lo mira.
Importación: comprueba si el nuevo plugin permite importar los datos del que dejas. Te ahorra rehacer trabajo.
Nada de versiones pirata: descartar cualquier copia «nulled» de un plugin de pago. Ahí el riesgo no es que esté viejo, es que puede traer una puerta trasera de fábrica, como explicamos en cómo detectar un plugin nulled con puerta trasera.

Migrar los datos antes de desinstalar

Este es el paso donde la gente pierde información. Antes de tocar nada, haz una copia de seguridad (backup) completa: archivos y base de datos. Si el hosting te ofrece copias automáticas, lanza una manual justo ahora para tener un punto de retorno fresco.

Después, saca los datos del plugin viejo. Muchos guardan su información en la base de datos (en tablas propias, en la tabla wp_options o como entradas de un tipo de contenido personalizado). Si el plugin tiene su propia función de Exportar, úsala. Si el sustituto tiene Importar, mejor todavía.

Ojo con un detalle importante: desinstalar un plugin no siempre borra sus datos, pero a veces sí. Algunos, al pulsar «Eliminar», arrastran sus tablas de la base de datos con todo dentro. Por eso primero exportas y confirmas que tienes los datos a salvo, y solo después borras. Si puedes, prueba el plugin nuevo en un entorno de pruebas (staging) antes de tocar la web en producción. Y ten a mano cómo se hace un cambio sin sustos, que es lo mismo que aplicar bien una actualización: actualizar plugins de WordPress sin romper la web.

Si no hay alternativa: aislar, limitar y vigilar

A veces ese plugin hace algo muy específico y no existe un recambio decente. Pasa, sobre todo con complementos hechos a medida o muy de nicho. Si es tu caso y no puedes prescindir de él, la estrategia es reducir su exposición al mínimo:

Aislar: tenlo activado solo cuando lo necesitas de verdad. Si es una herramienta que usas una vez al mes, no tiene por qué correr los otros veintinueve días.
Limitar: restringe quién puede llegar a sus funciones. Si tiene una pantalla de administración, que solo la vean los roles que la usan.
Vigilar: pon un sistema que te avise si sus archivos cambian sin que tú lo hayas tocado. Un plugin viejo que un buen día se «modifica» solo es la señal más clara de que alguien ha entrado por él.

Aislar, limitar y vigilar no arregla el fallo de fondo, pero te da margen mientras encuentras salida o asumes el riesgo con los ojos abiertos. Y deja constancia de que la decisión fue consciente, no un olvido.

Cómo evitar volver a montar la web sobre plugins sin futuro

Para no repetir el problema dentro de dos años, tres hábitos sencillos:

Menos es más: cada plugin que instalas es superficie de ataque y una dependencia más que mantener. Antes de añadir uno, pregúntate si de verdad lo necesitas.
Revisa antes de instalar: mira la fecha de última actualización, el soporte y la base de instalaciones antes de darle a instalar, no dos años después.
Repasa el inventario cada cierto tiempo: una vez al año, dedica un rato a mirar tus plugins con los criterios de esta guía. Cinco minutos por complemento te ahorran un susto.

Un caso especial que merece su propia lectura es el de los plugins que vienen «regalados» dentro de una plantilla de pago, porque ahí no puedes actualizarlos por tu cuenta y quedas atado a que el autor del tema los renueve. Si te suena, lo tratamos en qué hacer cuando WPBakery viene incluido en el tema y no puedes actualizarlo.

¿No sabes por dónde empezar a evaluar lo que tienes montado? Comprueba gratis con PathScan cómo está tu web antes de sustituir nada: te dice qué expone tu WordPress visto desde fuera, que es justo la parte que un plugin abandonado deja al descubierto.

Seguir leyendo en esta sección

Ver todo en Seguridad de plugins WordPress → · Mapa completo del sitio