Tu auditoría de plugins falla si solo miras actualizaciones

Llega el aviso de una actualización crítica, WordPress recomienda cambiar de PHP y, al revisar los plugins, aparecen extensiones que nadie recuerda haber instalado. Actualizarlos todos de golpe parece rápido, pero puede romper el checkout, un formulario o una integración clave justo cuando la web genera ventas.

Una auditoría de plugins WordPress no consiste solo en buscar actualizaciones: inventaría cada extensión, verifica su uso real, versión, propietario, vulnerabilidades, compatibilidad, permisos, impacto en rendimiento y cumplimiento RGPD.

Crea un inventario que permita decidir

Registra cada plugin y sabrás qué merece quedarse. En WordPress, ve a Plugins > Plugins instalados, abre una hoja de cálculo y crea una fila por cada extensión activa e inactiva.

Añade los campos que evitan dudas

Crea estas columnas en la hoja y rellénalas mientras tienes abierta la pantalla de plugins:

• Nombre, slug y versión: copia el nombre visible, el identificador de carpeta y la versión instalada.
• Finalidad concreta: escribe “cobra con tarjeta en WooCommerce” en lugar de “pagos”.
• Área afectada: marca inicio, formularios, tienda, checkout, SEO, reservas, área privada o administración.
• Propietario interno: indica una persona o equipo que confirme si sigue siendo necesario.
• Criticidad: usa alta si afecta a ventas, pagos, captación o datos personales; media si afecta a una función interna; baja si es estética.
• Licencia y cuenta: anota si es gratis, premium, incluido con el tema o hecho a medida, junto a la fecha de renovación.
• Fecha de revisión: deja una fecha concreta para la siguiente comprobación.

Un plugin sin dueño interno es como una llave sin etiqueta en una oficina: nadie sabe qué abre ni quién debe cancelarla. Si nadie confirma su finalidad en un plazo de entre 5 y 10 días laborables, márcalo como candidato a retirada, no como “pendiente” indefinido.

Comprueba si se usa de verdad

Busca el nombre y el shortcode del plugin en Páginas, Entradas, plantillas, widgets y bloques. Si ves un código como [formulario_contacto], no lo borres hasta probar qué ocurre en staging, porque ese texto puede dejar de mostrar un formulario o una reserva.

Mide seguridad, carga y compatibilidad

Comprueba seis áreas por plugin y separa el riesgo real del simple ruido. Para cada fila del inventario, revisa vulnerabilidades, mantenimiento, compatibilidad, rendimiento, privacidad y licencia.

Contrasta fallos y parches exactos

Busca el plugin y su versión instalada en WPScan, en el registro CVE de CVE y en los avisos del proveedor. CVE es un identificador público de vulnerabilidades, parecido a una matrícula que permite comprobar de qué fallo se habla exactamente.

No basta con leer que existe una vulnerabilidad. Comprueba cuatro datos: la versión afectada, la versión corregida, si exige iniciar sesión y qué permiso necesita el atacante. Un fallo que permite subir archivos sin iniciar sesión exige actuar antes que otro que solo puede explotar un administrador autenticado.

Revisa velocidad y consumo oculto

Mide la portada, una página de servicio y, si vendes online, carrito y checkout antes de cambiar nada. Usa la pestaña Network del navegador para detectar scripts y peticiones externas, y consulta los registros del hosting para ver errores PHP o picos de consumo.

Valida datos, permisos y licencias

Anota si el plugin accede a usuarios, pedidos, archivos, correo, APIs o perfiles de administrador. Un permiso excesivo aumenta el daño posible si aparece una vulnerabilidad, igual que una llave maestra abre más puertas que una llave de un almacén.

Si recoge formularios, cookies, analítica o marketing, comprueba qué proveedor recibe los datos, qué datos se transfieren fuera de la Unión Europea y dónde se informa al usuario. El Reglamento General de Protección de Datos (RGPD) y la LOPDGDD exigen una base legal y transparencia; la Agencia Española de Protección de Datos ofrece criterios sobre cookies y tratamientos de datos.

Además, dentro de la seguridad de plugins WordPress, identifica el tipo de vulnerabilidad, no solo su identificador CVE. Un XSS puede permitir inyectar scripts en el navegador de un usuario; un CSRF puede inducir a un administrador ya autenticado a ejecutar una acción sin querer; una inyección SQL puede exponer o alterar datos de la base de datos; y una subida arbitraria de archivos puede facilitar la carga de código malicioso.

Prioriza según el alcance real: una vulnerabilidad sin autenticación y accesible desde una página pública suele ser más urgente que otra que requiera permisos de administrador y una secuencia compleja de acciones.

Cuando el plugin es propio, está muy personalizado o tiene pocos controles públicos, complementa la revisión de versiones con una comprobación técnica. Revisa que las acciones AJAX y los endpoints de REST API validen permisos de administrador o capacidades específicas mediante current_user_can, que las operaciones sensibles usen nonces para reducir CSRF y que las entradas se validen, saneen y escapen según su contexto.

Presta especial atención a formularios, importadores, subidas de archivos, webhooks y funciones que modifican usuarios, pedidos o ajustes. Un plugin compatible y actualizado puede seguir suponiendo un riesgo si concede acceso a una función administrativa sin verificar correctamente quién la solicita.

Puntúa el riesgo y ordena el trabajo

Asigna una puntuación de 0 a 100 y atiende primero lo que puede parar el negocio. Da puntos a cada plugin para evitar que una extensión decorativa consuma el mismo tiempo que una pasarela de pago vulnerable.

Suma hasta 30 puntos por vulnerabilidades conocidas y exposición pública, hasta 20 por abandono o falta de compatibilidad, hasta 20 por permisos y datos personales, hasta 20 por impacto de negocio y hasta 10 por licencia o dependencia de un único proveedor. Resta entre 5 y 15 puntos si hay parche probado, acceso limitado y medidas de hardening WordPress activas.

Clasifica cada resultado por acción

Usa esta secuencia visual

La mayoría de guías dicen “actualiza cuanto antes”. Lo que no mencionan es que un parche urgente en una pasarela de pago requiere una ventana de pruebas corta, pero real, porque solucionar un fallo y romper la compra no protege el negocio.

Decide qué actualizar, cambiar o borrar

Elige una acción documentada para cada plugin y evita decisiones ambiguas. En la última columna de tu inventario escribe una sola salida: mantener, actualizar, sustituir, desactivar para prueba, eliminar o aceptar riesgo temporal.

Un plugin se mantiene cuando su función está demostrada, la licencia está activa, el proveedor sigue dando soporte y su riesgo es bajo o está controlado. Se actualiza cuando existe un parche compatible, y se sustituye cuando la función es necesaria pero el proveedor ya no ofrece una ruta segura.

Distingue las cinco decisiones

• Actualizar: conserva la herramienta y aplica una versión corregida tras probarla.
• Sustituir: migra a otra extensión cuando existe dependencia real, pero falta soporte, licencia o compatibilidad.
• Desactivar para prueba: confirma en staging si la web funciona sin ella antes de eliminarla.
• Eliminar: borra archivos y limpia sus restos cuando no hay uso ni dependencia.
• Aceptar riesgo temporal: solo con responsable, motivo, controles y fecha de caducidad.

Limpia los restos al retirar

Antes de eliminar, exporta o anota los ajustes que puedan ser necesarios. Comprueba tablas de base de datos, tipos de contenido, campos personalizados, cron, shortcodes, redirecciones, webhooks, cuentas API y páginas creadas por el plugin.

Desactivar es reversible y sirve para probar. Eliminar borra la carpeta del plugin, pero no siempre sus datos: cada desarrollador decide qué limpieza hace, por eso debes validar con una copia de la base de datos antes de tocar producción.

Prueba en staging y prepara la vuelta atrás

Replica la web en staging y reduce el riesgo de caída antes de intervenir. Un entorno de pruebas es una copia separada del sitio web donde puedes fallar sin afectar a visitantes ni pedidos.

El staging debe usar la misma versión de WordPress, PHP, tema y plugins relevantes que producción. No tiene que copiar pedidos nuevos en tiempo real para probar un formulario, pero sí necesita una configuración parecida para detectar conflictos entre plugins.

Haz una copia que puedas recuperar

Genera una copia justo antes del cambio y guarda la fecha, el lugar y el responsable. Comprueba que contiene wp-content, la base de datos y, si aplica, archivos de configuración o claves externas necesarias para pagos, correo y caché.

Define el rollback antes de cambiar: quién lo ejecuta, qué señal obliga a volver atrás y cuánto tiempo tienes para hacerlo. Ejemplos claros son errores 500 repetidos, checkout roto, correos transaccionales ausentes o caída notable de conversiones.

Valida una función cada vez

Actualiza, desactiva o sustituye un único plugin por prueba. Después revisa inicio de sesión, formularios, buscador, páginas clave, carrito, checkout, método de pago, correos, área de cliente y panel de administración.

Tras pasar a producción, vigila durante entre 24 y 72 horas los pedidos, formularios, errores 404 y 500, tiempos de carga y alertas de seguridad. Si el plugin afecta SEO, confirma que las URLs, metadatos y marcado estructurado siguen presentes.

Incluye una validación de salud SEO técnica cuando el cambio afecte a plugins de SEO, caché, redirecciones, constructores visuales o WooCommerce. Tras desplegar, comprueba que las páginas importantes devuelven el código HTTP esperado, que no aparecen etiquetas noindex accidentales, que el sitemap XML sigue siendo accesible y que las redirecciones conservan su destino. Revisa también títulos, metadescripciones, canonicals, datos estructurados y enlaces internos en una muestra de URLs de negocio.

Si se retira un plugin que generaba shortcodes WordPress o contenido dinámico, confirma que no quedan bloques vacíos, errores visibles ni enlaces rotos que deterioren el rastreo o la experiencia de usuario.

Entrega un informe que deje trazabilidad

La trazabilidad también ayuda con proveedores y auditorías internas. Si gestionas datos personales o prestas servicios a organismos públicos, documentar responsables, accesos y cambios encaja con las medidas de control esperables bajo RGPD, LOPDGDD y, cuando aplique, ENS o Directiva NIS2.

Copia este modelo de registro

• Plugin y versión: nombre, slug, versión instalada y proveedor.
• Función y propietario: qué hace, qué área afecta y quién valida su necesidad.
• Hallazgos: vulnerabilidad, compatibilidad PHP, carga, permisos, datos tratados, licencia y soporte.
• Puntuación: riesgo de 0 a 100 y motivo de los puntos principales.
• Decisión: mantener, actualizar, sustituir, desactivar, eliminar o aceptar riesgo temporal.
• Prueba y rollback: fecha de staging, funciones validadas, backup y responsable de reversión.
• Próxima revisión: fecha, responsable y condición que obliga a adelantarla.

Programa revisiones razonables

Revisa plugins críticos cada mes o tras alertas de seguridad, cambios de PHP, WordPress, WooCommerce o del tema. Para una web estable y sencilla, con pocos plugins y sin alertas, una revisión completa cada 3 a 6 meses suele ser más útil que repetir el inventario semanalmente.

Resuelve tus dudas

Responde estas preguntas antes de cambiar una extensión en producción. Las respuestas sirven como comprobación final cuando tienes una alerta, una actualización pendiente o una web más lenta de lo normal.

¿Cómo sé si un plugin es seguro?

Es más fiable si tiene soporte activo, licencia vigente, versión compatible y no presenta vulnerabilidades sin parche para tu versión. Compruébalo en WordPress.org, WPScan, CVE y el aviso del proveedor antes de actualizar.

¿Cuántos plugins son demasiados?

No hay un número fijo: 10 plugins sin dueño pueden ser más riesgosos que 40 extensiones revisadas. Considera excesivo cualquier plugin sin función demostrable, revisión o compatibilidad confirmada.

¿Puedo borrar plugins inactivos?

Puedes borrarlos tras comprobar en staging sus shortcodes, tablas, cron y cuentas externas. Estar inactivo reduce su ejecución, pero no garantiza que desaparezcan archivos, datos o configuraciones residuales.

¿Debo actualizar todos los plugins juntos?

No, actualiza uno a uno en staging cuando afecten funciones críticas. Juntarlos ahorra unos minutos, pero impide saber cuál causó un error y complica el rollback.

¿Cómo detecto un plugin que ralentiza WordPress?

Compara carga de scripts, peticiones externas, consultas y errores antes y después de desactivarlo en staging. Mide al menos una página pública y el checkout si usas WooCommerce.

¿Qué hago si un plugin premium caduca?

Renueva, sustituye o acepta el riesgo temporal con una fecha límite documentada. Mantenerlo sin licencia puede bloquear parches de seguridad aunque siga funcionando hoy.

¿Qué reviso antes de cambiar la versión de PHP?

Comprueba compatibilidad declarada, registros PHP, tema, WooCommerce y todos los plugins críticos en staging. Haz backup y valida formularios, pagos y correos antes de modificar el servidor.

¿Cuándo debo hacer una auditoría completa?

Hazla tras alertas, lentitud, cambios de PHP o WordPress, incidentes y antes de una campaña importante. En una web estable, una revisión completa cada 3 a 6 meses suele bastar.

Mantén decisiones revisables y seguras

Convierte el inventario en una rutina y mantendrás el control sobre tus extensiones. Empieza por los plugins de pago, formularios, seguridad, caché, SEO y datos de clientes, porque un fallo ahí tiene un coste directo.

Una auditoría bien hecha termina con menos incertidumbre, no necesariamente con menos plugins. Termina cuando cada extensión tiene una finalidad, un propietario, una puntuación, una decisión, una prueba y una fecha de revisión.

• Tu plugin de seguridad puede estar frenando tu web
• Tu hosting ve datos de pacientes: ¿tiene contrato RGPD?

Josu Barrios

Somos especialistas en mantenimiento WordPress para empresas, profesionales y tiendas online. Contamos con experiencia en seguridad web, optimización de rendimiento, actualizaciones, copias de seguridad y resolución de incidencias técnicas, ayudando a que cada sitio funcione de forma rápida, estable y protegida. Nuestro enfoque combina soporte técnico profesional, buenas prácticas de seguridad y seguimiento continuo para ofrecer un servicio fiable, transparente y orientado a resultados reales.