El momento más barato para evitar un problema de seguridad en tu web es antes de pulsar «Instalar». Después, cada plugin que entra se queda años, arrastra dependencias y acaba siendo «eso que no sabemos si se usa».
Estas son las siete comprobaciones que hacemos antes de meter nada en una instalación. Tardan cinco minutos y descartan la mayor parte de los candidatos malos.
1. Fecha de la última actualización
Lo primero y lo más discriminante. Un plugin actualizado en los últimos tres meses tiene a alguien detrás. Uno con dos años sin tocar, no. En la ficha del repositorio oficial aparece también si se ha probado con la versión actual de WordPress: si dice que no, es un aviso serio.
2. Instalaciones activas, con matiz
Muchas instalaciones significan más ojos mirando el código y más probabilidad de que un fallo se descubra y se corrija. También significan que es un objetivo más apetecible para quien busca vulnerabilidades a escala.
Como criterio práctico: por debajo de unas pocas miles de instalaciones, asume que nadie ha auditado ese código. No es descartable automáticamente, pero exige más confianza en el autor.
3. Quién es el autor
Mira su perfil: ¿tiene más plugins?, ¿los mantiene?, ¿hay una empresa detrás con web y soporte? Un autor con historial es una garantía razonable. Un autor anónimo con un único plugin y sin rastro, no.
4. El foro de soporte, no las estrellas
Las valoraciones se pueden inflar; el foro de soporte no miente. Entra y mira:
- ¿Responden a los hilos, o hay veinte sin contestar?
- ¿Cuánto tardan?
- ¿Aparecen quejas repetidas del mismo fallo sin resolver?
- ¿Hay hilos sobre problemas de seguridad y cómo se gestionaron?
Un autor que responde con educación a un informe de fallo es exactamente el que quieres cuando aparezca una vulnerabilidad de verdad.
5. Historial de vulnerabilidades
Busca el nombre del plugin en registros públicos de vulnerabilidades. Ojo con la lectura: tener vulnerabilidades publicadas no es malo por sí mismo. Todo software las tiene. Lo que importa es:
- ¿Se corrigieron rápido?
- ¿Publicaron la versión corregida con una nota clara?
- ¿Se repiten fallos del mismo tipo, lo que sugiere un problema de fondo?
El método completo para consultar si una versión concreta te afecta está en cómo saber si un plugin vulnerable te afecta.
6. Qué permisos y qué conexiones necesita
Lee la descripción con ojo crítico. Señales que piden una segunda vuelta:
- Pide crear un usuario administrador propio.
- Requiere claves de API de servicios externos con permisos amplios.
- Envía datos a un servidor del autor «para mejorar el producto».
- Incluye un gestor de archivos, un editor de código o acceso directo a la base de datos. Ese tipo de herramienta es la más explotada cuando tiene un fallo: el caso conocido es WP File Manager.
Si trata datos personales de tus visitantes, además tendrás que reflejarlo en tu registro de actividades de tratamiento, y el autor pasa a ser un proveedor más en tu cadena.
7. De dónde lo estás descargando
Del repositorio oficial o de la web del fabricante. Nunca de un sitio que ofrece versiones de pago «gratis»: es el vector más directo que existe para meterte una puerta trasera en casa, y lo contamos con detalle en cómo detectar un plugin pirata con puerta trasera.
Truco rápido: antes de instalar, comprueba si lo que quieres hacer ya lo hace WordPress, tu tema o un plugin que ya tienes. La mitad de las instalaciones que revisamos tienen funciones duplicadas por tres sitios. El criterio completo, en cuántos plugins deberías tener.
La instalación, con red
- Copia de seguridad antes. Siempre.
- Si puedes, pruébalo primero en un entorno de pruebas.
- Instálalo y revisa la web como visitante anónimo: velocidad, formularios, portada.
- Comprueba si ha añadido usuarios, tareas programadas o tablas nuevas en la base de datos.
- Apúntalo en tu inventario con fecha, motivo y responsable. Dentro de dos años, ese apunte evitará la pregunta «¿y esto para qué está?».
- Si es de pago, guarda la licencia y su fecha de renovación: qué pasa cuando caduca.
Y si ya lo instalaste sin mirar
No pasa nada: repasa ahora estos siete puntos sobre lo que tienes. Empieza por sacar el inventario completo y márcalos en tres colores —mantener, vigilar, quitar—. Es una hora de trabajo que suele acabar con tres o cuatro plugins menos y una web más rápida.
Para consultar avisos publicados de cualquier producto, tienes el registro del NVD y los boletines de INCIBE-CERT.
Seguir leyendo en esta sección
- Se me ha caducado la licencia de un plugin de pago: ¿deja de recibir parches?
- Cómo saber qué plugins tiene instalados tu WordPress (y cuáles sobran)
- Wordfence gratis: qué te protege de verdad y qué se te queda fuera
- Tu plugin lleva dos años sin actualizarse: cómo saber si ya es un riesgo
- Cómo actualizar los plugins de WordPress sin romper la web
- Cuántos plugins debería tener un WordPress (y cómo decidir cuáles quitar)
Ver todo en Seguridad de plugins WordPress → · Mapa completo del sitio