Instalar un plugin es darle a un desconocido acceso completo a tu sitio: puede leer tu base de datos, crear usuarios y modificar cualquier archivo. Por eso la pregunta «¿es seguro este plugin?» es de las más importantes que te puedes hacer.
Lo que garantiza WordPress.org (y lo que no)
El directorio oficial revisa cada plugin cuando se publica por primera vez: que cumpla las normas, que no tenga código malicioso evidente y que no haga cosas prohibidas. Después de eso, las actualizaciones no pasan por una revisión humana una por una.
Eso deja algunas puertas abiertas:
- Cambios de dueño. Un plugin popular puede venderse a otra persona o empresa, que en una actualización agrega publicidad, rastreo o algo peor.
- Cuentas de autor comprometidas. Si roban la cuenta del autor, pueden publicar una actualización maliciosa que llega a todos los sitios.
- Plugins abandonados. Sin mantenimiento, las vulnerabilidades no se corrigen.
WordPress.org sí actúa rápido cuando detecta un problema: cierra el plugin y, en casos graves, puede publicar una actualización forzada que lo corrige. Pero siempre es una reacción, no una prevención.
Los plugins hechos con IA
Hoy cualquier persona puede crear un plugin con ayuda de la IA, y eso es bueno: hay soluciones a medida que antes no existían. Pero un plugin generado sin revisión suele tener los mismos problemas: datos que no se validan, consultas sin preparar, permisos que no se comprueban. Funciona, pero es frágil.
Esto aplica a lo que descargas de terceros y a lo que generas tú: que funcione no significa que sea seguro.
Las señales que importan antes de instalar
- Última actualización: menos de seis meses, idealmente.
- Compatibilidad con tu versión de WordPress y de PHP.
- Instalaciones activas: no lo es todo, pero un plugin con 100.000 sitios tiene más ojos encima.
- Foro de soporte: ¿el autor responde? ¿Hay quejas sin resolver?
- Historial de vulnerabilidades: busca el nombre del plugin en Wordfence Intelligence o en la base de Patchstack. Haber tenido fallos no es malo; lo importante es que se corrigieron rápido.
- Quién está detrás: ¿hay un sitio web, una empresa, un nombre real?
- ¿Lo necesitas de verdad? Muchas veces son 20 líneas de código que puedes tener en un mu-plugin que entiendes.
Revisión rápida del código (10 minutos)
Si sabes un poco de PHP, abre los archivos del plugin y busca señales de alerta:
cd wp-content/plugins/nombre-del-plugin
# Código ofuscado o que ejecuta texto
grep -rnE "eval\(|base64_decode\(|gzinflate\(|str_rot13\(" --include=*.php .
# Consultas a la base de datos sin preparar
grep -rn "\$wpdb->query(\|\$wpdb->get_results(" --include=*.php . | grep -v prepare | head
# Acciones AJAX públicas (accesibles sin iniciar sesión)
grep -rn "wp_ajax_nopriv_" --include=*.php .Que algo aparezca no significa que sea malicioso, pero sí que merece una mirada. Para una revisión más completa, el plugin oficial Plugin Check analiza cualquier plugin instalado con las mismas reglas que usa WordPress.org.
Vigila los que ya tienes
- Compara cada cierto tiempo los archivos con los originales:
wp plugin verify-checksums --allavisa si algún archivo fue modificado o agregado. - Suscríbete a un servicio de alertas de vulnerabilidades (varios plugins de seguridad lo incluyen).
- Revisa el registro de cambios antes de actualizar plugins importantes.
- Si un plugin desaparece del directorio, investiga por qué antes de seguir usándolo.
¿Tienes dudas sobre un plugin en particular? Comparte su nombre en el foro y revisamos en comunidad su historial y su código.
