En 2025 se encontraron 11,334 vulnerabilidades nuevas en el ecosistema de WordPress. El 91% estaba en plugins. En el núcleo de WordPress hubo seis.
No seis por ciento. Seis.
Esa proporción cambia la pregunta con la que casi todo el mundo llega aquí. No es «cuáles son los mejores plugins»: es cuántos puedo permitirme y cómo distingo uno vivo de uno abandonado. Porque cada plugin que instalas es código de un tercero corriendo dentro de tu sitio, con las mismas llaves que tú.
Este artículo contesta las dos mitades del título. La primera en dos párrafos, que es lo que merece. La segunda con los datos públicos que nadie usa, una cuenta de lo que cuesta de verdad un plugin y las preguntas que conviene hacerse antes de darle a instalar.
La respuesta corta
- Un plugin es un programa que le agrega funciones a WordPress. Se instala desde el escritorio, en dos clics, y desde ese momento corre con los permisos de tu sitio.
- El número correcto de plugins es el más bajo que te deje operar. No hay una cifra mágica: el límite es cuántos puedes mantener actualizados y revisados.
- Verifica cinco señales antes de instalar, y las cinco están publicadas gratis en el directorio: instalaciones activas, fecha de la última actualización, hasta qué versión está probado, porcentaje de valoraciones de una estrella y cuántos hilos de soporte resolvieron en los últimos dos meses.
- Las estrellas mienten menos de lo que crees, pero dicen menos de lo que parece. Dos plugins con más de diez millones de instalaciones tienen 3.0% y 18.5% de valoraciones de una estrella.
- Pagar no te hace más seguro. Los datos de 2025 apuntan en la dirección contraria y están más abajo.
- Activa las actualizaciones automáticas, pero antes asegúrate de tener respaldos que sepas restaurar. WordPress las revisa dos veces al día y no vienen activadas de fábrica.
- Revisa dos veces al año qué tienes instalado y desinstala —no solo desactives— lo que ya no uses.
- Si un plugin recoge datos de tus clientes, entra en la ley mexicana de datos personales. Formularios, comentarios, chat, analítica: todos.
Qué es un plugin, en una frase que sirva
Un plugin es un programa pequeño que se conecta a WordPress para darle una función que no trae de fábrica.
WordPress base publica contenido y poco más. Todo lo demás —un formulario de contacto, una tienda, un sistema de reservas, un respaldo automático— se agrega con plugins. Si nunca has trabajado con la plataforma, conviene entender primero de qué está hecha: lo tratamos en qué es WordPress y por qué sigue siendo útil.
Hasta aquí la parte que todos los artículos cuentan igual. Lo que casi ninguno dice es lo que sigue.
Lo que un plugin es en realidad
Cuando instalas un plugin, estás ejecutando código escrito por un desconocido dentro de tu sitio, con los mismos permisos que tienes tú. Puede leer tu base de datos. Puede escribir en ella. Puede enviar información a servidores que no controlas. Puede modificar lo que ven tus visitantes.
Eso no es una advertencia paranoica: es literalmente cómo funciona la arquitectura, y es la razón de que el 91% de las vulnerabilidades del ecosistema estén ahí.
Tres consecuencias prácticas de esa frase:
- Instalar un plugin es una decisión de confianza, no una de funcionalidad. La pregunta no es «¿me sirve?», es «¿confío en quien lo mantiene, y durante cuánto tiempo?».
- Desactivar no es lo mismo que desinstalar. Un plugin desactivado sigue en tu servidor, con su código intacto y sin recibir actualizaciones. Es de las pocas cosas de este artículo que se arreglan en un minuto.
- El riesgo no se reparte parejo. Dos plugins no son el doble de riesgo que uno si uno lo mantiene una empresa de cien personas y el otro un aficionado que dejó de contestar hace dos años.
El directorio, y su tamaño
El directorio oficial de WordPress anuncia más de 73,000 plugins gratuitos. Es una cifra que se suele citar como si fuera una virtud.
También es el problema. Setenta y tres mil piezas de software mantenidas por desde empresas grandes hasta personas que lo hicieron un fin de semana de 2014 y ya no se acuerdan. El directorio no los ordena por calidad; los ordena por relevancia y popularidad, que no es lo mismo.
Lo bueno: publica, gratis y para cada plugin, los datos que necesitas para separar unos de otros. La sección de las cinco señales es cómo se leen.
El dato que cambia la pregunta
Hay una cifra que debería aparecer en el primer párrafo de todo artículo sobre plugins y no aparece en ninguno.
El informe anual de seguridad de Patchstack, publicado en 2026 con datos de 2025, reporta: «Overall 11,334 new vulnerabilities were found in the WordPress ecosystem in 2025 – that’s a 42% increase compared to 2024». Y el reparto: «91% of new vulnerabilities were found in plugins, and 9% were found in themes». Del núcleo: «There were only 6 vulnerabilities reported in the WordPress core, but these were low priority issues».
Lo que significa en el día a día
Hagamos la aritmética, que el informe no hace.
Si el 91% de 11,334 está en plugins, son alrededor de 10,300 vulnerabilidades de plugins en un año. Eso es:
| Vulnerabilidades del ecosistema | De ellas, en plugins | |
|---|---|---|
| Al año | 11,334 | ~10,300 |
| A la semana | 218 | ~198 |
| Al día | 31 | ~28 |
Casi doscientas por semana. No todas te tocan a ti, obviamente: te toca la de los plugins que tengas instalados. Y esa es justo la relación que hace que el número importe: entre menos plugins tengas, menor la probabilidad de que una de esas doscientas semanales sea tuya.
De las 11,334, el informe precisa que «1,966 (17%) vulnerabilities had a high severity score, meaning they were likely to be exploited in automated mass-scale attacks». Son treinta y ocho por semana con severidad alta. Y «4,124 (36%) represented an actual threat and were serious enough to require RapidMitigate protection rules».
La cifra que de verdad aprieta
Dos frases más del mismo informe, y son las que mandan:
- «Approximately half of high impact vulnerabilities get exploited within 24 hours».
- «The weighted median time to first exploit is 5 hours».
Cinco horas. La mitad de las vulnerabilidades de alto impacto tiene un primer intento de explotación antes de que termine tu jornada laboral.
Y una más, que es la que quita el sueño: «46% of vulnerabilities were not fixed in time for public disclosure». Casi la mitad de las veces, cuando el mundo se entera del agujero, todavía no existe el parche.
Lo que esto no significa
Antes de que parezca que el artículo va a terminar recomendándote borrar todo: no.
Esto no significa que WordPress sea inseguro, ni que los plugins sean malos, ni que debas migrar a otra cosa. Significa tres cosas concretas y manejables:
- El riesgo está donde se instala, no en la plataforma. El núcleo, que es lo que WordPress controla directamente, tuvo seis problemas de baja prioridad en todo el año.
- Cada plugin es una decisión con consecuencia, no un botón gratis.
- La única variable que controlas por completo es cuántos tienes. Ni el parche, ni la velocidad del atacante, ni la diligencia del desarrollador dependen de ti. El número de plugins, sí.
Sobre eso está construido el resto del artículo.
Las cinco señales que puedes verificar en treinta segundos
Todo lo que necesitas para juzgar un plugin está publicado en su propia página del directorio, gratis, antes de instalarlo. Nadie lo mira porque el botón azul de instalar está justo ahí.
Este es el orden en el que conviene leerlas.
1. Instalaciones activas
Es lo primero que se ve y lo que menos concluye.
Un plugin con diez millones de instalaciones activas ha pasado por muchas manos: si tuviera un problema burdo, ya se sabría. Un plugin con doscientas instalaciones puede ser excelente y recién nacido, o puede ser el fin de semana de 2014 de alguien.
Cómo usarlo: como un suelo, no como una conclusión. Por debajo de unas mil instalaciones activas, exige más de las otras cuatro señales. Por encima de cien mil, el número ya no te dice nada nuevo y hay que mirar el resto.
Lo que no significa: que sea bueno. Ahorita vemos dos plugins con más de diez millones de instalaciones cada uno y una diferencia enorme entre ellos.
2. Última actualización
La fecha más honesta de la página.
Cómo leerla:
| Última actualización | Qué asumir |
|---|---|
| Menos de 3 meses | Mantenimiento activo |
| De 3 a 12 meses | Mirar el resto con lupa |
| Más de 12 meses | Trátalo como abandonado hasta que se demuestre lo contrario |
| Más de 2 años | No lo instales |
Un plugin sencillo y estable puede pasar meses sin cambios legítimamente. Pero con casi doscientas vulnerabilidades de plugins publicándose por semana en el ecosistema, un año de silencio significa, como mínimo, que nadie está revisando si alguna le tocó.
3. Probado hasta
Es la señal más subestimada de las cinco, y la más fácil de leer.
El directorio muestra hasta qué versión de WordPress declaró el desarrollador haber probado el plugin. El 25 de septiembre de 2026, la versión que WordPress ofrece para descargar es 7.1.2. Entonces la comparación es directa: si el plugin dice «probado hasta 7.1.2», su autor está al corriente. Si dice una versión de hace dos años, no lo está.
Es el detector de abandono más rápido que existe, porque no depende de tu criterio: es un número contra otro número.
4. El porcentaje de valoraciones de una estrella
Aquí es donde casi todo el mundo se equivoca, porque mira el promedio.
El promedio de un plugin popular casi siempre está entre 4.0 y 4.9, y esa horquilla no separa nada. Lo que separa es qué proporción de la gente se tomó la molestia de entrar a poner una estrella. Nadie hace eso por un plugin que simplemente no le entusiasmó: lo hace cuando algo le rompió el sitio, le cobró algo que no esperaba o le dejó un ticket sin contestar durante semanas.
Cómo calcularlo: el desglose por estrellas está en la misma página. Divide las de una estrella entre el total de valoraciones.
Cómo leerlo: por debajo del 5% es un plugin sin problemas sistemáticos. Entre 5% y 10%, hay un grupo de gente con una queja real. Por encima del 15%, léela antes de instalar: no va a ser una queja al azar.
5. Hilos de soporte resueltos en los últimos dos meses
La señal que nadie usa y la única que mide el presente.
El directorio publica, para cada plugin, cuántos hilos del foro de soporte se resolvieron de los que se abrieron en los últimos dos meses. Viene en formato «X de Y», y es lo más cercano que vas a tener a saber si alguien va a contestarte el día que lo necesites.
Cómo leerlo: conviene convertirlo a porcentaje mentalmente. Por arriba del 80%, hay alguien atendiendo. Entre 50% y 80%, contestan lo que pueden. Por debajo del 50%, la mitad de la gente que pidió ayuda se quedó sin ella.
Y un cuidado que hay que tener: si el denominador es muy chico, el porcentaje no dice nada. Un plugin con «1 de 1» tiene 100% de resolución y una muestra de un solo caso. Mira el número, no solo el cociente.
El orden de las preguntas
Si tuviera que resumir las cinco en un solo procedimiento, sería este:
- ¿Está probado con la versión actual de WordPress? Si no, se acabó la revisión.
- ¿Se actualizó en los últimos meses?
- ¿Qué porcentaje de gente le puso una estrella, y por qué?
- ¿Contestan el soporte?
- Y solo al final, ¿cuánta gente lo usa?
El mismo criterio de fondo —juzgar a quien te vende por lo que puedes verificar, no por lo que dice— lo desarrollamos en cómo elegir un proveedor confiable. Un plugin es un proveedor, aunque sea gratis.
Lo que las estrellas no te dicen
Para que las cinco señales dejen de ser teoría, las aplicamos a ocho plugins de los más instalados del directorio. No es una recomendación ni un ranking: es una demostración de cómo se leen los datos públicos.
Todo lo que sigue se consultó el 25 de septiembre de 2026 en el directorio oficial, y cambia solo. Cuando leas esto, vuelve a mirarlo.
La tabla
| Plugin | Instalaciones | Valoración | Reseñas | De 1 estrella | Soporte resuelto | Última actualización |
|---|---|---|---|---|---|---|
| Yoast SEO | 10+ M | 4.8 | 27,820 | 846 · 3.0% | 22 de 32 · 69% | hace 1 semana |
| Elementor | 10+ M | 4.5 | 7,304 | 686 · 9.4% | 31 de 42 · 74% | hace 14 horas |
| Contact Form 7 | 10+ M | 4.0 | 2,179 | 403 · 18.5% | 21 de 41 · 51% | hace 1 mes |
| WooCommerce | 7+ M | 4.5 | 4,824 | 410 · 8.5% | 173 de 183 · 95% | hace 2 días |
| LiteSpeed Cache | 7+ M | 4.8 | 2,774 | 104 · 3.7% | 27 de 64 · 42% | hace 3 semanas |
| Wordfence | 5+ M | 4.7 | 5,009 | 258 · 5.2% | 149 de 175 · 85% | hace 2 semanas |
| Akismet | 5+ M | 4.7 | 1,187 | 57 · 4.8% | 1 de 1 · 100% | hace 1 mes |
| UpdraftPlus | 4+ M | 4.8 | 8,660 | 243 · 2.8% | 27 de 31 · 87% | hace 4 días |
Los porcentajes son nuestros, calculados a partir de las cifras publicadas. Los ocho están probados hasta WordPress 7.1.2, que es la versión actual, así que esa señal no separa a ninguno: en la primera línea del directorio esa prueba la pasa casi todo el mundo. Donde empieza a separar es en el resto del catálogo, en los plugins que no tienen millones de instalaciones detrás.
Los tres de diez millones
Mira nada más los tres primeros. Los tres superan los diez millones de instalaciones activas, los tres están probados con la versión actual y los tres se actualizaron hace poco. Por instalaciones, empatan.
| Valoración | De una estrella | Soporte resuelto | |
|---|---|---|---|
| Yoast SEO | 4.8 | 3.0% | 69% |
| Elementor | 4.5 | 9.4% | 74% |
| Contact Form 7 | 4.0 | 18.5% | 51% |
Casi una de cada cinco personas que valoró Contact Form 7 le puso una estrella. Es más de seis veces la proporción de Yoast. Y resolvieron la mitad de los hilos de soporte.
Esto no lo convierte en un mal plugin. Contact Form 7 es gratuito, lleva años funcionando en millones de sitios y hace lo que promete. Pero la lectura correcta es: es un plugin para quien pueda arreglárselas solo, porque el soporte responde a la mitad, y hay un grupo grande de usuarios con una queja lo bastante fuerte como para registrarse y calificar con una estrella. Si eres esa persona, adelante. Si no lo eres, ya lo sabes antes de instalarlo y no el día que se rompe.
Ninguna lista de «los mejores plugins» te dice eso, y el dato estaba publicado todo el tiempo.
La trampa de la valoración alta
El otro par que conviene mirar junto: LiteSpeed Cache y UpdraftPlus. Los dos con 4.8 estrellas, los dos con millones de instalaciones, los dos actualizados hace semanas.
Y el soporte: 42% contra 87%.
Un plugin puede ser excelente y tener un foro desatendido. Son dos cosas distintas y la valoración promedio las mezcla en un solo número. Si el plugin que estás evaluando hace algo que, cuando falla, te tumba la tienda, el 42% te importa mucho más que el 4.8.
La otra trampa: el denominador
Akismet aparece con «1 de 1» y 100% de resolución. Sería absurdo concluir que su soporte es perfecto: lo que hubo fue un solo hilo.
Esta es la razón por la que la señal se lee como fracción y no como porcentaje. WooCommerce resolvió 173 de 183; ese 95% está construido sobre casi doscientos casos y significa algo. Un 100% sobre uno no significa nada.
Y sirve para lo mismo que cualquier otra comparación bien hecha: mismas unidades, mismo periodo, denominador a la vista. El método completo está en nuestra guía para comparar productos.
Lo que la tabla no mide
Para que quede claro dónde termina este método, tres cosas que las cinco señales no ven:
- Si el plugin es seguro. Ninguna de las cinco lo predice. Un plugin muy mantenido y muy valorado puede tener un agujero crítico mañana; de hecho, varios de los que más aparecen en los informes de vulnerabilidades son enormemente populares. Lo que las señales miden es si hay alguien del otro lado cuando aparezca.
- Si te va a servir a ti. Eso solo lo sabes probándolo, en un entorno de pruebas y no en tu sitio en producción.
- Cuánto pesa. El directorio no publica el impacto en velocidad, y ningún número público lo hace.
Pagar no te hace más seguro
Hay una creencia razonable y muy extendida: si pagas por un plugin, hay una empresa detrás, con ingresos, con gente dedicada y con algo que perder. Debería estar mejor cuidado.
Los datos de 2025 no la respaldan.
El mismo informe reporta que recibieron «1,983 valid vulnerability reports for Premium or freemium components, making up 29% of total reports». Y sobre la calidad de esos hallazgos: «76% of vulnerabilities found in Premium components were exploitable in real life attacks». El dato más duro viene del programa de búsqueda de días cero: «Our Zero Day program found 33 highly critical vulnerabilities in Premium components, compared to only 12 in free components».
Cómo leer esas cifras sin exagerarlas
Conviene ser cuidadoso aquí, porque es fácil sacar de esto una conclusión más grande de la que aguanta.
Lo que no dicen: que los plugins de pago sean peores. La comparación no está normalizada por cuántos hay de cada tipo, ni por cuánta gente los revisa. Es perfectamente posible que se encuentren más agujeros críticos en componentes premium porque hay más incentivo para buscarlos ahí, o porque tienen más código.
Lo que sí dicen, y es suficiente: pagar no te compra inmunidad. La hipótesis cómoda de que el dinero resuelve el problema de seguridad no aparece en los números. Si de treinta y tres vulnerabilidades altamente críticas de día cero, treinta y tres están en componentes de pago y doce en gratuitos, la dirección de la sorpresa es clara aunque la magnitud sea discutible.
Por qué importa esta sección
Porque es exactamente el argumento con el que se vende casi todo el software de WordPress, y porque el contenido que lo repite cobra comisión por cada venta.
Los plugins premium tienen programas de afiliados generosos. Eso financia una cantidad enorme de artículos en español titulados «los mejores plugins», cuyo orden no lo decidió ninguna prueba. Es la misma dinámica que describimos en el artículo de hosting, y se detecta igual: enlaces con parámetros raros, ningún precio de renovación, nadie sale mal parado.
Para que quede claro dónde estamos parados: este artículo no tiene enlaces de afiliado y no recomienda plugins concretos. Los ocho de la tabla están citados porque sus datos son públicos y verificables, no porque los recomendemos ni los descalifiquemos.
Entonces, ¿gratis o de pago?
La pregunta correcta no es esa. Es: ¿qué pasa con este plugin si quien lo mantiene se aburre?
Un plugin de pago con una empresa detrás te da un contrato, un canal de soporte con una persona al otro lado y, en teoría, continuidad. Un plugin gratuito con doscientos colaboradores en el directorio te da que, si el autor original desaparece, alguien puede tomarlo. Un plugin gratuito de una sola persona no te da ninguna de las dos.
La regla que yo aplicaría: paga cuando lo que compras es soporte con una persona real, no cuando lo que compras son funciones que no vas a usar. Y sea gratis o de pago, aplica las cinco señales igual.
El plugin que te cerraron y nadie te avisó
Esta es la parte del funcionamiento de WordPress que menos gente conoce y que más caro puede salir.
El directorio cierra plugins. Lo hace con regularidad y por motivos serios: la propia documentación para desarrolladores de WordPress enumera violaciones de las normas, problemas de seguridad y peticiones del autor. Y añade una causa automática: «If a plugin has never been used within 6 months (i.e. no code has been pushed to SVN), SVN is broken for upwards of 12 months, or a plugin’s readme indicates it’s deprecated, we may close without notification» (traducción nuestra: pueden cerrarlo sin aviso si nadie ha subido código en seis meses, si el repositorio lleva más de doce meses roto o si el propio texto del plugin dice que está descontinuado).
Qué pasa exactamente
La documentación lo describe así: «When a plugin is closed, the page shows as closed and the zips are no longer generated. No one will be able to download the plugin via the website, nor will they be able to install it via the WordPress admin».
En español: deja de poderse descargar e instalar. Punto. Los sitios que ya lo tienen instalado siguen exactamente igual, con el plugin corriendo y sin recibir actualizaciones nunca más.
Y sobre el motivo: «After 60 days, the closure message will change to alert people as to why it was closed but only in the broadest terms (Guideline Violation, Security, etc) and not with explicit details». Es decir, durante dos meses ni siquiera se publica por qué se cerró, y después solo en términos generales.
A quién se le avisa
Aquí hay que ser preciso, porque es fácil pasarse de dramático.
La documentación dice, sobre los casos activos: «In the case of active issues (such as copyright infringement, abuse, and security), all accounts with commit access to a plugin are notified». O sea, se le avisa a quien escribe el plugin, que es lo lógico: son quienes pueden arreglarlo.
Lo que ese documento no describe es ningún mecanismo de aviso a los sitios que ya lo tienen instalado. No pudimos verificar que exista uno, y tampoco pudimos verificar que no exista: lo que podemos decir con seguridad es que la documentación oficial del proceso de cierre no lo menciona, y que el escenario de tener instalado un plugin cerrado por un problema de seguridad, sin enterarte, es perfectamente posible.
Qué hacer con esto
Tres cosas, todas baratas:
- Guarda la lista de tus plugins con su enlace al directorio. Una hoja con el nombre y la dirección. Cinco minutos una vez.
- Dos veces al año, abre cada enlace. Si un plugin fue cerrado, la página lo dice. Es la revisión más rápida y más valiosa de esta lista.
- Si encuentras uno cerrado, desinstálalo, no lo desactives. Y busca un reemplazo antes de quedarte sin la función. Si el cierre fue por seguridad, el código sigue en tu servidor mientras esté ahí.
Y una cuarta, preventiva: ese ritual es la razón por la que conviene tener pocos plugins. Revisar seis enlaces dos veces al año es un martes. Revisar treinta ya nadie lo hace.
Cuánto cuesta de verdad un plugin
Un plugin tiene tres costos y casi todos los artículos solo mencionan el primero.
La licencia se ve, se cobra y se discute. El tiempo de mantenerlos no aparece en ninguna factura y suele ser más grande. Y el riesgo no se paga nunca, hasta el día que se paga completo.
Lo que cuestan las licencias
Precios publicados el 25 de septiembre de 2026, en dólares, tomados de las propias páginas de cada producto:
| Producto | Primer año | Al renovar |
|---|---|---|
| WPForms Basic | 49.50 USD | 99.00 USD |
| WP Rocket Single | 59.95 USD | 59.95 USD |
| Yoast SEO Premium | 118.80 USD | 118.80 USD |
| Total de los tres | 228.25 | 277.75 |
La primera fila merece una nota. La página de WPForms muestra los precios de entrada con el precio completo tachado al lado y dice, textualmente: «Special introductory pricing, all renewals are at full price». Es decir, el segundo año cuesta el doble, y lo declara en su propia página. Es exactamente el patrón que documentamos en el artículo de hosting, y se detecta igual.
Los otros dos no muestran un precio de renovación distinto. Si tú contratas alguno, revísalo en la página el día que pagues: es la única fuente que vale.
Y una advertencia general sobre las licencias anuales: se renuevan solas y se olvidan solas. Tres suscripciones de este tamaño son un cargo recurrente de los que conviene cazar dos veces al año con el método de qué gastos deberías revisar cada mes para ahorrar más.
Lo que cuesta mantenerlos
Esta es la partida que nadie cuenta y la que más depende de ti.
Mantener un plugin no es solo darle al botón de actualizar. Es leer qué cambió, actualizar, y comprobar que no rompió nada. Con práctica, eso toma unos cuatro minutos al mes por plugin. Ese número es un supuesto nuestro, no una medición: sustitúyelo por el tuyo si ya lo has cronometrado.
| Plugins instalados | Al mes | Al año | A 250 pesos la hora | A 400 pesos la hora |
|---|---|---|---|---|
| 5 | 20 min | 4 h | 1,000 | 1,600 |
| 10 | 40 min | 8 h | 2,000 | 3,200 |
| 15 | 1 h | 12 h | 3,000 | 4,800 |
| 20 | 1 h 20 min | 16 h | 4,000 | 6,400 |
| 30 | 2 h | 24 h | 6,000 | 9,600 |
Si no sabes cuánto vale tu hora, una forma sencilla de estimarla es dividir lo que quieres ganar al mes entre las horas que quieres trabajar: cuarenta mil pesos entre ciento sesenta horas dan doscientos cincuenta.
Lo que la tabla muestra no es el monto, que cada quien calculará distinto. Es la forma de la curva: el costo de mantenimiento crece en línea recta con el número de plugins, y no tiene techo. Los veinte plugins «gratis» de una instalación típica cuestan dieciséis horas al año de alguien.
Lo que cuesta en velocidad
Aquí voy a hacer algo que casi ningún artículo hace: no darte un número.
Cada plugin puede sumar consultas a la base de datos, archivos de estilos y de código que el navegador tiene que descargar, y trabajo del servidor en cada carga. Pero cuánto exactamente depende del plugin, del tema, del hosting y de tu configuración, y cualquier cifra general que te dé alguien es inventada.
Lo que sí se puede hacer es medirlo en tu caso, y toma una tarde:
- Mide la velocidad de tu página principal y de una página de producto, tres veces cada una, y anota el promedio.
- Desactiva un plugin. Vuelve a medir.
- Reactívalo y pasa al siguiente.
Al final tienes tu propia tabla, que vale más que cualquier promedio de internet. El resto de lo que hace lento un sitio —imágenes sin comprimir, temas pesados, código que bloquea— lo tratamos en cómo mejorar la velocidad de tu sitio web.
Un matiz importante, porque el artículo podría estar sugiriendo lo contrario: el número de plugins no predice la velocidad. Veinte plugins ligeros pueden pesar menos que uno solo mal hecho. Por eso la sección de seguridad habla de cuántos tienes y esta habla de medirlos: son dos problemas distintos y solo uno se resuelve contando.
El tercer costo
El del día que algo falla. No tiene tabla porque depende de tu negocio, pero tiene una fórmula sencilla: las horas que te tome restaurar, más la venta que no ocurrió mientras tanto.
Si tu sitio vende, la segunda parte suele ser mucho mayor que la primera, y la manera de costearla está en el artículo de cómo elegir un hosting para una tienda en línea. Aquí basta con decir lo obvio: ese costo se reduce teniendo menos superficie donde algo pueda fallar, y respaldos que sepas restaurar.
Cuáles sí: las seis funciones que justifican un plugin
Después de todo lo anterior, la respuesta a la segunda mitad del título no puede ser una lista de nombres. Sería falsa en seis meses y, peor, no te serviría para el plugin número siete.
La respuesta es por función. Hay seis trabajos que WordPress no hace solo y que casi cualquier sitio necesita. Para esos seis, un plugin se justifica. Para lo demás, la pregunta por defecto debería ser «¿de verdad?».
1. Respaldos
El primero de la lista y no es discutible. WordPress no respalda tu sitio. Tu hosting puede hacerlo o no, puede guardarlo una semana o un día, y puede cobrarte por restaurarlo.
Lo que buscas: respaldos completos y programados, que se guarden fuera de tu servidor, y que puedas restaurar tú. Y una vez al año, restaura uno de prueba: un respaldo que nunca se ha probado es una suposición.
Es el único plugin de esta lista que te salva de todos los demás errores de este artículo.
2. Caché, si tu hosting no la trae
Guardar una copia lista de cada página para no volver a generarla en cada visita. Es lo que más mejora la velocidad de un sitio de WordPress con diferencia.
Antes de instalar uno, pregunta a tu hosting si ya la incluye. Muchos planes traen caché del lado del servidor, y poner un plugin encima puede no ayudar y sí crear conflictos. Un plugin que duplica lo que ya hace tu servidor es un plugin de más.
3. Seguridad básica
Cortafuegos, límite de intentos de acceso y aviso cuando un archivo cambia. Aquí sí hay una advertencia grande: un plugin de seguridad no compensa tener demasiados plugins. Es una segunda línea, no una licencia para instalar sin cuidado.
Y tampoco compensa no actualizar. Contra una vulnerabilidad con parche disponible, el parche es la defensa; el cortafuegos solo compra tiempo.
4. SEO técnico
Títulos, metadescripciones, mapa del sitio, datos estructurados. WordPress trae poco de esto y es trabajo que de otro modo habría que hacer a mano en cada entrada.
Con una condición: elige uno y solo uno. Dos plugins de SEO peleándose por escribir las mismas etiquetas es uno de los desastres más comunes y más difíciles de diagnosticar del ecosistema.
5. Formularios
Para que la gente te escriba sin publicar tu correo. Es de las funciones más universales y una de las que más conviene elegir con la tabla de las cinco señales en la mano, porque es un plugin que recibe datos de otras personas y eso tiene implicaciones que vemos en la siguiente sección.
Si lo que quieres es construir una lista de correo y no solo recibir mensajes, es una decisión distinta y está en cómo empezar una lista de correo.
6. La función central de tu negocio
Tienda, reservas, cursos, membresías, directorio. El plugin que es la razón de que tu sitio exista.
Este es el único de los seis donde conviene invertir tiempo real en la elección y, si hace falta, dinero. También es el que más difícil es de cambiar después: lo que construyas encima vive ahí. Si tu caso es una tienda, la decisión previa —qué plataforma usar— está en la comparativa de WooCommerce contra otras plataformas.
Lo que casi nadie necesita como plugin
La otra mitad de la respuesta, y la que más rápido baja el número:
- Deslizadores de imágenes. Pesan mucho, casi nadie pasa de la primera diapositiva y suelen empeorar la velocidad en celular.
- Iconos de redes sociales. Son enlaces. Se ponen en el menú o en el pie con el editor.
- Fuentes tipográficas. El tema ya carga las suyas; un plugin de fuentes casi siempre carga otra vez lo mismo.
- Un segundo sistema de analítica. Si ya tienes uno, el segundo no te da más verdad: te da dos números distintos que no cuadran.
- Constructores de página, si tu tema ya hace lo que necesitas. Son de los plugins más difíciles de quitar después, porque el contenido queda atado a su formato.
- Cualquier cosa que sea una línea de código. Añadir un fragmento al encabezado, cambiar el texto de un botón, ocultar un aviso. Hay plugins para todo eso y casi ninguno se justifica.
- Plugins de mantenimiento que instalas para un día concreto y se quedan cinco años.
Entonces, ¿cuántos?
No hay un número mágico, y quien te dé uno se lo inventó.
Lo que sí hay es un límite real: cuántos puedes mantener. Si no puedes decir, de memoria, qué hace cada plugin instalado y por qué está ahí, tienes de más. Y si revisar sus actualizaciones te toma más tiempo del que estás dispuesto a darle, tienes de más aunque los conozcas.
Para la mayoría de los sitios pequeños, las seis funciones de arriba se cubren con seis u ocho plugins. Una tienda necesitará algunos más. Treinta, casi nunca.
Lo que la ley mexicana te obliga a revisar de tus plugins
Antes de nada: esto no es asesoría legal. Es un mapa de por dónde pasa la línea, con los artículos citados para que los revises con tu abogado.
La conexión es más directa de lo que parece. Casi cualquier sitio recoge datos personales: un formulario de contacto, los comentarios, un chat, la analítica, y desde luego una tienda. Y varios de esos datos los recoge, guarda o transmite un plugin.
El aviso de privacidad es tuyo, no del plugin
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025, establece en su artículo 14:
«El responsable tendrá la obligación de informar a la persona titular, a través del aviso de privacidad, la existencia y características principales del tratamiento al que serán sometidos sus datos personales, a fin de que pueda tomar decisiones informadas al respecto.»
Y el artículo 16 precisa cómo cuando el canal es digital: «Cuando los datos personales sean obtenidos por cualquier medio electrónico, óptico, sonoro, visual, o a través de cualquier otra tecnología, deberá ser proporcionado en su modalidad simplificada la que deberá contener al menos la información a que se refieren las fracciones I a IV del artículo anterior, y señalar el sitio donde se podrá consultar el aviso de privacidad integral».
El responsable eres tú, no el desarrollador del plugin. La misma ley define a los sujetos regulados como las «personas físicas o morales de carácter privado que llevan a cabo el tratamiento de datos personales». Instalar un formulario no traslada la obligación a nadie.
A dónde van esos datos
La segunda pregunta, y la que casi nadie se hace al instalar: ¿dónde termina lo que la gente escribe en tu formulario?
Hay tres posibilidades y conviene saber cuál es la tuya:
- Se guarda en tu base de datos, en tu hosting, y ya.
- Se te reenvía por correo y se guarda en tu bandeja.
- Se manda al servidor del plugin o de un tercero, y ahí se procesa o se almacena.
La tercera es la que abre una pregunta legal. La misma ley define transferencia como «toda comunicación de datos personales dentro o fuera del territorio mexicano, realizada a persona distinta de la titular, del responsable o de la persona encargada del tratamiento». Y define a la persona encargada como la «persona física o jurídica que sola o conjuntamente con otras trate datos personales por cuenta del responsable».
Qué figura le toca exactamente a tu plugin —encargado o tercero— depende del servicio y del contrato, y eso lo contesta tu abogado, no un artículo. Nosotros no lo vamos a contestar aquí.
Lo que sí es un consejo seguro, y cuesta media hora: haz la lista. Anota qué plugins recogen datos de personas y a dónde los mandan. La respuesta está en la política de privacidad del plugin, y si no la tiene, eso ya te dijo algo. Desarrollamos esta misma ley aplicada a otro caso en las mejores herramientas de IA para emprendedores.
Tres cosas concretas para hoy
- Que tu aviso de privacidad contemple que usas servicios de terceros para operar el sitio.
- Que el formulario enlace al aviso antes de que alguien le dé a enviar, no después.
- Que no guardes lo que no necesitas. Muchos plugins de formularios guardan cada envío en la base de datos por defecto, para siempre. Si con el correo te basta, apaga el almacenamiento. Es menos dato que proteger y menos dato que perder.
Y la más terrenal, que aplica si pagas licencias: pregunta si emiten comprobante fiscal con tu RFC. Muchos proveedores internacionales no emiten CFDI, y ese gasto tiene entonces un tratamiento distinto que conviene consultar con tu contador antes y no en marzo.
La ventana de exposición: cada cuánto actualizar
Ya sabemos que la mediana ponderada hasta el primer intento de explotación es de cinco horas. La pregunta práctica que sigue es cuánto tardas tú en aplicar un parche.
WordPress permite actualizar plugins de forma automática. Según su documentación oficial, «Since WordPress 5.5, websites Administrators can manually opt-in for automatic updates theme by theme and plugin by plugin». La frase clave es «manually opt-in»: existen, pero no vienen encendidas. Hay que activarlas plugin por plugin, o todas juntas con la acción en lote.
Y un dato del mismo documento que casi nadie conoce: «By default WordPress runs auto-updates twice per day». Dos veces al día, o sea un ciclo de doce horas.
La tabla
Con eso se puede calcular cuánto tarda en llegarte un parche, en promedio, según tu costumbre. Si el parche sale en un momento cualquiera del ciclo, la espera promedio es la mitad del ciclo.
| Cómo actualizas | Ciclo | Espera promedio |
|---|---|---|
| Automáticas (dos veces al día) | 12 h | 6 horas |
| A mano, todos los días | 24 h | 12 horas |
| A mano, una vez por semana | 168 h | 3 días y medio |
| A mano, cada quince días | 336 h | 7 días |
| A mano, una vez al mes | 720 h | 15 días |
Léela junto a las cinco horas de la mediana y sale la conclusión incómoda: ni siquiera las actualizaciones automáticas te ponen por delante. Seis horas de espera promedio contra cinco de mediana hasta el primer intento. Es prácticamente un volado.
Con revisión semanal, la espera promedio es diecisiete veces la mediana. Con revisión mensual, setenta y dos veces.
Lo que esto sí resuelve y lo que no
Sí resuelve: la enorme mayoría de los ataques, que no son dirigidos a ti. Son barridos automáticos que prueban vulnerabilidades conocidas en millones de sitios. Contra eso, estar parcheado en seis horas en vez de en tres semanas es una diferencia gigantesca.
No resuelve dos cosas:
- El 46% de las vulnerabilidades que no tuvieron parche a tiempo para su divulgación pública. Ahí no hay nada que aplicar: el agujero se conoce y la corrección no existe todavía.
- El plugin abandonado. Si nadie publica actualizaciones, las actualizaciones automáticas no hacen nada. Es la misma conclusión de la sección de las cinco señales, por otro camino.
Por eso la protección real no es una sola cosa: es pocos plugins, mantenidos, con respaldos que sepas restaurar, y encima las actualizaciones automáticas.
Cómo activarlas sin miedo
El riesgo de las automáticas es real y la propia documentación lo advierte: «Before enabling auto-updates on your plugins and themes, you may want to make sure you’re able to rollback to a previous version of your website in case things go wrong». Una actualización puede romper algo, y si se aplica sola, se rompe sola.
Un orden que resuelve el dilema:
- Respaldos primero. Automáticos, diarios, guardados fuera del servidor, y uno restaurado de prueba. Sin esto, no actives nada.
- Activa las automáticas en los plugins pequeños y estables. Los que si se rompen no tumban nada importante.
- Déjalas apagadas en el plugin central de tu negocio. La tienda, las reservas, el constructor de páginas. Esos actualízalos tú, con tiempo, habiendo mirado qué cambió, y de preferencia en un entorno de pruebas.
- Pon un recordatorio semanal para revisar a mano justo esos.
Ese reparto te da la velocidad donde el riesgo de romper es bajo y el control donde es alto. Si te cuesta sostener el recordatorio semanal, la lógica para convertirlo en un hábito que no dependa de tu memoria está en cómo automatizar tareas repetitivas.
Cómo hacer una limpieza de plugins sin romper el sitio
Si llegaste hasta aquí y estás pensando en entrar a desinstalar, espera tres minutos y hazlo en este orden. Es la operación de este artículo que más fácil sale mal.
1. Respalda primero. Sitio completo, base de datos incluida, y descárgalo a tu computadora. No el respaldo de la semana pasada: uno de ahorita.
2. Haz la lista antes de tocar nada. Nombre, para qué está, y quién lo instaló. Si al escribir la segunda columna te quedas en blanco, ya encontraste tu primer candidato.
3. Marca los obvios. Desactivados desde hace meses, duplicados de función, los que instalaste para una prueba, los que ya no reconoces.
4. Desactiva uno. Uno solo. Y navega el sitio: portada, una entrada, una página de producto, el carrito, el formulario. Los errores de un plugin quitado casi nunca salen en la portada.
5. Espera un día antes de desinstalar. Desactivado ya no corre; desinstalado ya no se puede volver. Ese día de margen es gratis.
6. Al desinstalar, revisa si deja basura. Muchos plugins dejan sus tablas y sus opciones en la base de datos para siempre. Algunos ofrecen borrarlo todo en su configuración antes de quitarlos; si es tu caso, hazlo en ese orden.
7. Nunca hagas esto un viernes ni en temporada alta. Ni el día antes de una campaña. Los errores de una limpieza aparecen dos días después, y quieres estar disponible cuando pase.
Y la parte que hace que valga: repite la revisión dos veces al año, abriendo de paso el enlace al directorio de cada uno para ver si alguno fue cerrado. Otros tropiezos del mismo tipo, con el mismo espíritu, están en errores comunes al empezar un negocio en línea.
Tres razones para desconfiar de este artículo
Primero: las cinco señales miden mantenimiento, no seguridad. No predicen que un plugin vaya a tener una vulnerabilidad. De hecho, varios de los plugins que más aparecen en los informes de seguridad son enormemente populares y están perfectamente mantenidos, precisamente porque tener millones de instalaciones los convierte en el blanco más rentable que hay para quien busca agujeros. Lo que las señales te dicen es si va a haber alguien atendiendo cuando aparezca el problema. Es menos de lo que quisieras y mucho más que nada.
Segundo: contar plugins es una simplificación. El artículo insiste en tener pocos porque es la única variable que controlas por completo, y eso es cierto. Pero tres plugins mal elegidos son peor que doce bien elegidos y bien mantenidos. Si te quedas con una sola idea, que sea la de las cinco señales, no la del número.
Tercero: la tabla de los ocho plugins caduca sola. Instalaciones, valoraciones, fechas y soporte cambian solos, sin que nadie publique nada. Están tomados del directorio el 25 de septiembre de 2026 y su función es enseñarte a leer esos datos, no darte un veredicto. Lo que no caduca es dónde están y cómo se leen, y eso toma treinta segundos por plugin.
Preguntas frecuentes
¿Qué es exactamente un plugin de WordPress?
Un programa que se conecta a WordPress para darle una función que no trae de fábrica: un formulario, una tienda, respaldos automáticos, un sistema de reservas. Se instala desde el escritorio en dos clics. La parte que casi nadie menciona es que, una vez instalado, corre dentro de tu sitio con los mismos permisos que tú: puede leer y escribir en tu base de datos y enviar información a otros servidores. Por eso instalarlo es una decisión de confianza y no solo de funcionalidad.
¿Cuántos plugins debería tener mi sitio de WordPress?
No hay un número mágico y quien te dé uno se lo inventó. El límite real es cuántos puedes mantener: si no puedes decir de memoria qué hace cada uno y por qué está ahí, tienes de más. Para la mayoría de los sitios pequeños, las seis funciones que sí justifican un plugin se cubren con seis u ocho. Una tienda necesitará algunos más. Treinta, casi nunca.
¿Los plugins de pago son más seguros que los gratuitos?
Los datos de 2025 no lo respaldan. El programa de búsqueda de días cero de Patchstack encontró 33 vulnerabilidades altamente críticas en componentes de pago frente a 12 en componentes gratuitos, y el 76% de las vulnerabilidades halladas en componentes de pago era explotable en ataques reales. La comparación no está normalizada por cuántos hay de cada tipo, así que no concluye que lo de pago sea peor. Lo que sí concluye es que pagar no compra inmunidad. Paga cuando lo que compras es soporte con una persona real.
¿Cómo sé si un plugin está abandonado?
Mira dos cosas en su página del directorio, y toma diez segundos. La fecha de la última actualización: más de doce meses es bandera roja y más de dos años es un no. Y hasta qué versión de WordPress dice estar probado: compáralo con la versión actual, que el 25 de septiembre de 2026 es la 7.1.2. Si el plugin declara una versión de hace dos años, su autor no está al corriente. Añade una tercera, que es la que confirma: cuántos hilos de soporte resolvió en los últimos dos meses.
¿Qué pasa si WordPress cierra un plugin que tengo instalado?
Deja de poderse descargar e instalar, pero tu sitio lo conserva funcionando y deja de recibir actualizaciones. La documentación de WordPress detalla que los plugins se cierran por violaciones de las normas, problemas de seguridad o a petición del autor, y que el motivo solo se hace público, en términos muy generales, después de 60 días. Esa documentación describe un aviso a las cuentas con acceso al código del plugin, y no describe ninguno a los sitios que ya lo tienen instalado. La defensa práctica es abrir dos veces al año el enlace del directorio de cada plugin que tengas.
¿Desactivar un plugin es lo mismo que desinstalarlo?
No, y la diferencia importa. Un plugin desactivado no se ejecuta, pero sigue en tu servidor con su código intacto y sin recibir actualizaciones. Si lo dejaste desactivado hace ocho meses, es código viejo esperando. Desinstálalo. Y antes de hacerlo, revisa si el plugin ofrece borrar sus datos en su configuración, porque muchos dejan sus tablas en la base de datos para siempre.
¿Debo activar las actualizaciones automáticas de plugins?
Sí, con una condición previa: tener respaldos automáticos que ya hayas restaurado una vez. WordPress las revisa dos veces al día, así que la espera promedio hasta que se aplica un parche baja a unas seis horas, contra tres días y medio si revisas una vez por semana. El reparto que yo haría es activarlas en los plugins pequeños y estables, y dejarlas apagadas en el plugin central del negocio —la tienda, las reservas— para actualizarlo tú con tiempo.
¿Los plugins hacen lento mi sitio?
Pueden, pero el número de plugins no predice la velocidad: veinte plugins ligeros pueden pesar menos que uno solo mal hecho. Cualquier cifra general que te den sobre cuánto cuesta un plugin en milisegundos está inventada, porque depende del plugin, del tema y del hosting. La forma de saberlo en tu caso toma una tarde: mide la portada y una página de producto tres veces, desactiva un plugin, vuelve a medir, reactívalo y sigue con el siguiente.
¿Cuánto cuesta un plugin de WordPress?
La mayoría son gratis, y el directorio oficial anuncia más de 73,000. De los de pago, tres precios publicados el 25 de septiembre de 2026: WPForms Basic a 49.50 dólares el primer año y 99 al renovar, WP Rocket Single a 59.95 al año y Yoast SEO Premium a 118.80. Pero la licencia no es el costo principal: mantener diez plugins, leyendo qué cambió y comprobando que no rompieron nada, son unas ocho horas al año, que a 250 pesos la hora son dos mil pesos.
¿Un formulario de contacto tiene implicaciones legales en México?
Sí. En cuanto recoges nombres, correos o teléfonos estás tratando datos personales, y la ley obliga al responsable a informar al titular, a través del aviso de privacidad, la existencia y características principales del tratamiento. El responsable eres tú, no el desarrollador del plugin. Y si ese plugin manda los datos a un servidor de un tercero, conviene revisarlo con tu abogado, porque la ley define transferencia como toda comunicación de datos personales dentro o fuera del territorio mexicano a persona distinta de la titular, del responsable o del encargado.
¿Por dónde empiezo si mi sitio ya tiene veinte plugins?
Respalda, haz la lista con una columna de «para qué está», y marca los que no puedas llenar. Desactiva uno solo, navega el sitio completo incluyendo el carrito y el formulario, y espera un día antes de desinstalar. Nunca un viernes ni en temporada alta. Y aprovecha la vuelta para abrir el enlace al directorio de cada uno y ver si alguno fue cerrado.
Fuentes y metodología
Todas las fuentes se consultaron el 25 de septiembre de 2026. En este tema hay que insistir en algo: los datos del directorio cambian solos, sin que nadie publique nada. Vuelve a mirarlos el día que vayas a decidir.
Datos del directorio oficial de WordPress
Todas las cifras de la tabla se leyeron directamente en la página de cada plugin en wordpress.org el 25 de septiembre de 2026, con WordPress 7.1.2 como versión actual según la página de descarga oficial.
- Yoast SEO: 10+ millones de instalaciones activas, 4.8 estrellas, desglose de 25,991 reseñas de cinco estrellas, 642 de cuatro, 202 de tres, 139 de dos y 846 de una; versión 28.5, actualizado «hace 1 semana», probado hasta 7.1.2, requiere WordPress 6.9 y PHP 7.4; soporte «22 out of 32» hilos resueltos en los últimos dos meses.
- Elementor: 10+ millones, 4.5 estrellas, 7,304 valoraciones con 6,147 de cinco y 686 de una; versión 4.3.2, actualizado «hace 14 horas», probado hasta 7.1.2; soporte 31 de 42.
- Contact Form 7: 10+ millones, 4.0 estrellas, 2,179 valoraciones con 1,473 de cinco y 403 de una; versión 6.1.7, actualizado «hace 1 mes», probado hasta 7.1.2; soporte 21 de 41.
- WooCommerce: 7+ millones, 4.5 estrellas, 4,824 valoraciones con 3,996 de cinco y 410 de una; versión 11.1.2, actualizado «hace 2 días», probado hasta 7.1.2; soporte 173 de 183.
- LiteSpeed Cache: 7+ millones, 4.8 estrellas, 2,774 valoraciones con 2,556 de cinco y 104 de una; versión 7.9.1, actualizado «hace 3 semanas», probado hasta 7.1.2; soporte 27 de 64.
- Wordfence Security: 5+ millones, 4.7 estrellas, 5,009 valoraciones con 4,517 de cinco y 258 de una; versión 9.0.1, actualizado «hace 2 semanas», probado hasta 7.1.2; soporte «149 out of 175».
- Akismet Anti-spam: 5+ millones, 4.7 estrellas, 1,187 valoraciones con 1,034 de cinco y 57 de una; versión 5.7.2, actualizado «hace 1 mes», probado hasta 7.1.2; soporte «1 out of 1».
- UpdraftPlus: 4+ millones, 4.8 estrellas, 8,660 valoraciones con 8,154 de cinco y 243 de una; versión 1.26.8, actualizado «hace 4 días», probado hasta 7.1.2; soporte «27 out of 31».
- El directorio de plugins anuncia en su portada: «Browse over 73,000 free plugins».
Los ocho se eligieron por ser de los más instalados del directorio y por cubrir funciones distintas, de modo que la tabla enseñe a leer los datos. No es una selección por calidad ni un ranking, y el artículo no recomienda ninguno.
Seguridad del ecosistema
- Patchstack, «State of WordPress Security in 2026», con datos del año 2025:
- «Overall 11,334 new vulnerabilities were found in the WordPress ecosystem in 2025 – that’s a 42% increase compared to 2024».
- «91% of new vulnerabilities were found in plugins, and 9% were found in themes».
- «There were only 6 vulnerabilities reported in the WordPress core, but these were low priority issues».
- «1,966 (17%) vulnerabilities had a high severity score, meaning they were likely to be exploited in automated mass-scale attacks».
- «4,124 (36%) represented an actual threat and were serious enough to require RapidMitigate protection rules».
- «46% of vulnerabilities were not fixed in time for public disclosure».
- «Overall we received 1,983 valid vulnerability reports for Premium or freemium components, making up 29% of total reports».
- «76% of vulnerabilities found in Premium components were exploitable in real life attacks».
- «Our Zero Day program found 33 highly critical vulnerabilities in Premium components, compared to only 12 in free components».
- «Approximately half of high impact vulnerabilities get exploited within 24 hours».
- «The weighted median time to first exploit is 5 hours».
Documentación oficial de WordPress
- Preguntas frecuentes para desarrolladores de plugins:
- «If a plugin has never been used within 6 months (i.e. no code has been pushed to SVN), SVN is broken for upwards of 12 months, or a plugin’s readme indicates it’s deprecated, we may close without notification».
- «When a plugin is closed, the page shows as closed and the zips are no longer generated. No one will be able to download the plugin via the website, nor will they be able to install it via the WordPress admin».
- «After 60 days, the closure message will change to alert people as to why it was closed but only in the broadest terms (Guideline Violation, Security, etc) and not with explicit details».
- «In the case of active issues (such as copyright infringement, abuse, and security), all accounts with commit access to a plugin are notified».
- Actualizaciones automáticas de plugins y temas:
- «Since WordPress 5.5, websites Administrators can manually opt-in for automatic updates theme by theme and plugin by plugin».
- «By default WordPress runs auto-updates twice per day».
- «Before enabling auto-updates on your plugins and themes, you may want to make sure you’re able to rollback to a previous version of your website in case things go wrong».
Las citas de estas dos fuentes y del informe de seguridad están en inglés porque así están publicadas. Donde el artículo las traduce, lo señala.
Marco legal
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025:
- Artículo 14: «El responsable tendrá la obligación de informar a la persona titular, a través del aviso de privacidad, la existencia y características principales del tratamiento al que serán sometidos sus datos personales, a fin de que pueda tomar decisiones informadas al respecto».
- Artículo 16, fracción II: «Cuando los datos personales sean obtenidos por cualquier medio electrónico, óptico, sonoro, visual, o a través de cualquier otra tecnología, deberá ser proporcionado en su modalidad simplificada la que deberá contener al menos la información a que se refieren las fracciones I a IV del artículo anterior, y señalar el sitio donde se podrá consultar el aviso de privacidad integral».
- Artículo 2, fracción XII: «Persona encargada: Persona física o jurídica que sola o conjuntamente con otras trate datos personales por cuenta del responsable».
- Artículo 2, fracción XVI: «Sujetos regulados: Personas físicas o morales de carácter privado que llevan a cabo el tratamiento de datos personales».
- Artículo 2, fracción XX: «Transferencia: Toda comunicación de datos personales dentro o fuera del territorio mexicano, realizada a persona distinta de la titular, del responsable o de la persona encargada del tratamiento».
Precios
- WPForms: Basic «$49.50/año» con el precio completo de 99.00 tachado al lado; Plus 99.50 sobre 199.00; Pro 199.50 sobre 399.00; Elite 299.50 sobre 599.00. La página declara: «Special introductory pricing, all renewals are at full price».
- WP Rocket: Single «$59.95 / year», Plus «$119.95 / year», Multi «$299.95 / year». La página indica que las licencias se renuevan automáticamente al año y no muestra un precio de renovación distinto.
- Yoast SEO Premium: «Only $118.80 / year (ex VAT)». No muestra precio tachado ni nota de renovación.
Cálculos propios
- Vulnerabilidades en plugins. 91% de 11,334 son unas 10,300 al año, que divididas entre 52 semanas dan unas 198 por semana y entre 365 días unas 28 por día. Las cifras del ecosistema completo son 218 por semana y 31 por día. Son promedios aritméticos, no una distribución real: las vulnerabilidades no se reparten parejo en el año.
- Porcentaje de valoraciones de una estrella. Reseñas de una estrella entre el total de valoraciones, con las cifras publicadas de cada plugin.
- Tasa de resolución de soporte. Hilos resueltos entre hilos abiertos en los últimos dos meses, según publica el directorio. Cuando el denominador es muy chico, el porcentaje no significa nada y el artículo lo advierte con el caso de «1 de 1».
- Ventana de exposición. Si un parche sale en un momento cualquiera dentro de un ciclo de revisión, la espera promedio es la mitad del ciclo. Con el ciclo de 12 horas que WordPress documenta para las actualizaciones automáticas, la espera promedio es de 6 horas; a mano, 12 horas con revisión diaria, 84 con semanal, 168 con quincenal y 360 con mensual. Supone que el momento del parche es independiente del momento de la revisión, que es razonable pero no exacto.
- Costo de mantenimiento. Cuatro minutos al mes por plugin para leer qué cambió, actualizar y comprobar que nada se rompió. Ese número es un supuesto nuestro, no una medición, y está puesto para que cada quien sustituya el suyo. Valuado a 250 y a 400 pesos la hora, que son dos valores de referencia, no una recomendación.
- Total de licencias. Suma de los tres productos citados: 228.25 dólares el primer año y 277.75 al renovar, con la diferencia explicada enteramente por la renovación de WPForms a precio completo.
Limitaciones
- No probamos ningún plugin. No medimos velocidad, no auditamos código y no evaluamos soporte más allá de la cifra que el propio directorio publica. Este artículo es un método de lectura de datos públicos, no una reseña.
- No publicamos un ranking y no pensamos publicarlo. En una categoría donde buena parte del contenido lo financian las comisiones de afiliados, un ranking nuestro tendría el mismo problema de credibilidad que criticamos, aunque no cobráramos nada. Este artículo no contiene enlaces de afiliado y no recibe pago de ningún producto mencionado.
- La comparación entre componentes de pago y gratuitos no está normalizada. El informe reporta cuántas vulnerabilidades se encontraron en cada grupo, no cuántas hay por cada mil productos ni cuánta gente busca en cada grupo. Por eso el artículo concluye que pagar no compra inmunidad, y no que lo de pago sea peor.
- Las cifras de «reportes» y las de «vulnerabilidades encontradas» del informe no son la misma base. Los 1,983 reportes de componentes premium se declaran como el 29% del total de reportes, cifra que el informe no publica; no los dividimos contra las 11,334 vulnerabilidades ni sacamos ningún porcentaje cruzado de ahí.
- No pudimos leer los precios de Elementor. Su página de precios carga las cifras con código y no las muestra a una consulta automatizada: aparecen los nombres de los planes y la nota de que se renuevan a tarifa regular, pero no los montos. Por eso no está en la tabla.
- No convertimos los precios de licencias a pesos. La página de tipo de cambio del Banco de México no entrega las cifras a una consulta automatizada, y una conversión con un tipo de cambio sin fuente sería un número inventado. Si contratas en dólares, agrega el tipo de cambio del día y la comisión de tu tarjeta.
- No verificamos si WordPress avisa dentro del escritorio cuando un plugin instalado es cerrado. La documentación del proceso de cierre describe el aviso a las cuentas con acceso al código del plugin y no menciona ninguno a los sitios instalados. No afirmamos que no exista: afirmamos que esa documentación no lo describe.
- No damos cifras de impacto en velocidad porque no existe una que sirva para todos los casos. Damos el procedimiento para medir el tuyo.
- El número de instalaciones activas que publica el directorio es aproximado y por tramos («10+ millones»), no una cifra exacta.
Aviso. Este artículo es informativo y no constituye asesoría legal ni fiscal. En materia de protección de datos personales y de deducción de gastos, consulta a un abogado o a tu contador antes de tomar decisiones sobre tu negocio.