Instalaste un plugin hace años, funciona bien y nunca más lo miraste. El problema es que, si su autor dejó de mantenerlo, cualquier fallo de seguridad que se descubra nunca se va a corregir. Y no te llegará ningún aviso de actualización, justamente porque no hay actualizaciones.
Los plugins abandonados son una de las causas más comunes de sitios hackeados. La buena noticia: detectarlos toma diez minutos.
Señal 1: «No se ha probado con tu versión de WordPress»
En la página de cada plugin en wordpress.org aparece un aviso amarillo cuando lleva mucho tiempo sin actualizarse, algo como: «Este plugin no se ha probado con las últimas 3 versiones mayores de WordPress».
No significa que esté roto, pero sí que su autor no le está prestando atención. Es una alerta para empezar a buscar reemplazo.
Señal 2: el plugin fue cerrado
A veces el equipo de WordPress.org cierra un plugin: deja de estar disponible para descarga. Puede ser porque el autor lo pidió o porque se encontró un problema de seguridad sin corregir u otra infracción de las normas del directorio. La página muestra un aviso como «Este plugin ha sido cerrado y no está disponible para su descarga».
Si tienes instalado un plugin cerrado, trátalo como urgente. Muchas veces no se informa públicamente la razón del cierre, y puede ser una vulnerabilidad.
Cómo revisar todos tus plugins en 10 minutos
- Ve a Plugins en tu panel.
- Para cada plugin, haz clic en «Ver detalles» (o en «Visitar la página del plugin» si es de un tercero).
- En la ventana que se abre, mira a la derecha:
- Última actualización: si fue hace más de un año, anótalo.
- Probado hasta: si es muy antiguo comparado con tu versión de WordPress, anótalo.
- Instalaciones activas y valoraciones: te dan una idea de cuánta gente depende de él.
- Si la ventana dice que el plugin no se encontró o fue cerrado, anótalo en primer lugar.
- Haz lo mismo con los temas en Apariencia → Temas.
Truco: Herramientas → Salud del sitio te avisa de plugins y temas desactivados que conviene borrar. Úsalo como punto de partida.
¿Y los plugins premium?
Los plugins de pago no aparecen en wordpress.org, así que hay que revisarlos en la web de su autor. Tres preguntas:
- ¿Tu licencia está vigente? Sin licencia, normalmente no recibes actualizaciones, ni siquiera las de seguridad.
- ¿El registro de cambios (changelog) muestra actualizaciones recientes?
- ¿Lo descargaste de la web del autor? Las copias «nulled» o de «clubes GPL» son una fuente muy común de código malicioso.
Cómo reemplazar un plugin sin romper el sitio
- Anota qué hace exactamente. ¿Un formulario?, ¿un slider?, ¿un shortcode que usas en 20 entradas?
- Busca una alternativa activa: actualizada en los últimos meses, con muchas instalaciones y buenas reseñas recientes.
- Haz un respaldo.
- Instala la alternativa y configúrala antes de desactivar el viejo.
- Reemplaza lo que usaba el plugin viejo: shortcodes, widgets, bloques.
- Desactiva el viejo y revisa el sitio.
- Si todo funciona, bórralo. Desactivado no basta: sus archivos siguen en el servidor.
¿Cómo encuentro dónde usaba un shortcode?
En Entradas o Páginas, escribe en el buscador el nombre del shortcode, por ejemplo [viejo_slider. WordPress buscará en el contenido y te mostrará dónde aparece.
Menos plugins, menos problemas
Aprovecha la revisión para preguntarte de cada plugin: ¿lo sigo necesitando? Muchas funciones que antes requerían un plugin hoy vienen en WordPress o en tu tema. Cada plugin que eliminas es código que ya no tienes que vigilar.
¿Encontraste un plugin abandonado y no sabes con qué reemplazarlo? Pregunta en el foro qué hace en tu sitio y te sugerimos alternativas mantenidas.
