Licencia de plugin caducada: ¿sigues recibiendo parches?

Respuesta corta: el plugin sigue funcionando, pero deja de recibir actualizaciones, y entre esas actualizaciones están los parches de seguridad. No se apaga, no borra tus datos y la web no se cae. Simplemente se queda congelado en la versión que tenías el día que venció la licencia, y con él se queda congelado cualquier agujero que el desarrollador descubra a partir de entonces. Ese es el riesgo real, y es más lento y silencioso de lo que parece. Vamos a ver qué pasa exactamente, cómo comprobar en qué situación estás y cómo decidir sin gastar de más ni jugártela.

Qué pasa exactamente cuando caduca la licencia

Casi todos los plugins de pago funcionan igual: compras una licencia anual que te da dos cosas, actualizaciones y soporte. Cuando la licencia vence, pierdes ambas, pero no pierdes el software que ya tienes instalado. El código sigue ahí, en wp-content/plugins/, exactamente como estaba.

Lo que cambia es que el panel de WordPress deja de ofrecerte las nuevas versiones. Donde antes veías el aviso de «hay una actualización disponible», ahora ves un mensaje pidiéndote que renueves para poder actualizar. Y si el desarrollador publica una versión que corrige un fallo de seguridad, tú no la recibes: te quedas en la anterior, la que tiene el fallo.

Es una diferencia importante frente a un plugin abandonado. Aquí el desarrollador sigue trabajando y sacando parches; el problema es que tú te has quedado fuera de la cola. Si además dudas de si el plugin sigue vivo o ya nadie lo mantiene, eso es otra conversación distinta que tienes en la guía de qué hacer con un plugin abandonado.

El plugin sigue funcionando, y ahí está la trampa

Como no se rompe nada, es muy fácil olvidarse. La web va, la tienda vende, el formulario envía. Pasan los meses y nadie vuelve a pensar en esa licencia. El problema es que la seguridad de un plugin no se degrada de forma visible: se degrada cada vez que otra persona descubre y publica una vulnerabilidad de tu versión congelada.

Cuando se hace público un fallo de un plugin popular, aparece en las bases de datos de vulnerabilidades y, a las pocas horas, hay bots recorriendo internet buscando webs que aún tengan la versión afectada. Tu web no sabe que su licencia caducó; los atacantes tampoco necesitan saberlo. Solo comprueban qué versión corres y, si es una vulnerable, lo intentan. La licencia caducada no te ataca por sí misma: te deja indefenso ante el siguiente fallo que salga, sea dentro de una semana o dentro de seis meses.

Por eso este es, en el fondo, el mismo problema que trata el pilar sobre vulnerabilidades en plugins de WordPress: no es que el plugin sea malo, es que no aplicar el parche a tiempo es lo que abre la puerta.

Cómo comprobar tu versión y si te faltan parches

Antes de decidir nada, mira en qué punto estás. Es cuestión de cinco minutos:

Entra en Plugins > Plugins instalados en tu WordPress y localiza el plugin. Debajo del nombre verás la versión instalada.
Ve a la web del desarrollador (tu cuenta de cliente o su changelog) y mira cuál es la última versión publicada y qué corrigió cada actualización que te has perdido.
Fíjate especialmente en el changelog: si ves palabras como security fix, vulnerability, XSS, authentication o CVE en versiones posteriores a la tuya, tienes parches de seguridad pendientes. Eso convierte la renovación en algo urgente, no en algo que puedes dejar para el trimestre que viene.
Si no sabes qué plugins de pago tienes ni cuándo vencen, haz inventario: anota nombre, versión, fecha de caducidad de la licencia y para qué sirve cada uno. Sorprende la cantidad de webs que arrastran licencias caducadas de plugins que ya ni se usan.

Con ese cuadro delante, la decisión deja de ser una corazonada. Sabes exactamente qué versión tienes, cuántos parches te faltan y si alguno es de seguridad.

Cuánto tiempo puedes aguantar sin renovar (y de qué depende)

No hay un número mágico, pero sí un criterio claro. Lo que marca el riesgo no es cuántos meses lleva caducada la licencia, sino qué exposición tiene ese plugin. Ordena tus plugins de más a menos peligroso según tres factores:

Popularidad: cuanto más instalado esté un plugin, más interés tiene para los atacantes descubrir un fallo suyo, porque un solo exploit les sirve para miles de webs. Un plugin muy usado con la licencia caducada es más urgente que uno de nicho.
Superficie de ataque: ¿es accesible desde fuera sin estar logueado? Un formulario, una pasarela de pago, un buscador o cualquier cosa que procese lo que envía un visitante anónimo es mucho más delicado que un plugin que solo usa el administrador dentro del panel.
Datos que toca: si gestiona pedidos, pagos o datos personales, un fallo tiene consecuencias mucho peores.

Traducido a la práctica: una pasarela de pago o un constructor de páginas muy popular con la licencia vencida es un asunto de días, no de meses. Un plugin interno que solo usa el administrador para maquetar en el backend te da más margen. En ningún caso significa que puedas olvidarte para siempre; significa que puedes priorizar con cabeza.

Renovar, cambiar o quedarte quieto: cómo decidir

Con el inventario y el criterio de riesgo, la decisión sale casi sola. Tienes tres caminos:

Renovar

Es lo más sencillo y casi siempre lo más barato en tiempo. Si el plugin es central para tu web (la tienda, el constructor, la pasarela), renovar y volver a estar en la cola de parches suele compensar cada euro. Antes de aplicar la actualización que llevabas meses sin recibir, ten en cuenta que has saltado varias versiones de golpe: hazlo con red, siguiendo los pasos de cómo actualizar plugins sin romper la web, porque un salto grande tiene más probabilidades de dar guerra que las actualizaciones de goteo.

Cambiar de plugin

Si el plugin te da igual, hace algo que hoy resuelve otro gratuito o de código abierto, o el precio de renovación se ha vuelto absurdo, quizá toque migrar. Ojo: cambiar de plugin implica sacar los datos que tuviera dentro antes de desinstalarlo y probar que el sustituto hace de verdad lo mismo. No lo hagas con prisa un viernes por la tarde.

Quedarte quieto

Es una opción legítima solo cuando el plugin es poco expuesto, poco popular y no toca datos sensibles, y aun así con fecha de caducidad: te lo permites unas semanas mientras decides, no de forma indefinida. Si el plugin es central o accesible desde fuera, quedarse quieto no es una decisión, es aplazar el problema hasta que te encuentre.

El atajo que no debes tomar: la versión pirateada

Cuando la renovación pica en el bolsillo, siempre aparece la tentación de buscar una versión nulled (pirateada) del plugin para tenerlo «actualizado» sin pagar. No lo hagas, y esto no es un discurso moral: es que esas versiones son uno de los vectores de infección más comunes en WordPress.

Quien reempaqueta un plugin de pago para regalarlo casi siempre le mete algo dentro: una puerta trasera, un inyector de spam o un cargador que descarga más código después. Te ahorras la licencia y te instalas tú mismo al atacante en el servidor, con permisos de plugin y a menudo con acceso a la base de datos. Además, esas versiones tampoco reciben los parches oficiales, así que ni siquiera resuelves el problema que querías resolver. Si tienes la duda de si un plugin «gratis» que instalaste trae sorpresa, revisa las señales en la guía de cómo detectar una puerta trasera en un plugin nulled.

Si el desarrollador ha subido el precio o ha desaparecido

A veces la licencia caduca y, al ir a renovar, te encuentras con que el precio se ha disparado, con que ahora solo venden un pack anual carísimo, o directamente con que el desarrollador ha cerrado. Son situaciones distintas:

Ha subido mucho de precio: es el momento de valorar si ese plugin sigue mereciendo ser el corazón de tu web o si hay una alternativa mantenida que te libere de esa dependencia. Pagar una vez la migración puede salir más barato que la nueva cuota cada año.
El desarrollador ha desaparecido: entonces ya no hablamos de una licencia caducada, sino de un plugin que se quedará sin parches para siempre. Ahí la respuesta correcta es planificar la salida, tal como se explica en la guía sobre plugins abandonados, y no aferrarte a algo que ya nadie va a arreglar.

En ambos casos, decidir con calma es mejor que renovar por inercia o quedarte quieto por pereza. Un plugin de pago es una relación a largo plazo con quien lo mantiene; cuando esa relación deja de tener sentido, cambiar a tiempo es más barato que hacerlo después de un susto.

Si tienes varias licencias que no sabes muy bien en qué estado están, empieza por ver qué expone hoy tu WordPress desde fuera y qué versiones corres. Comprueba tu web gratis con PathScan y sabrás qué parche te falta antes de que lo encuentre otro.

Seguir leyendo en esta sección

Ver todo en Seguridad de plugins WordPress → · Mapa completo del sitio