Mejores plugins de WordPress: el criterio antes que la lista

Actualizado el 18 de agosto de 2026 · Escrito y verificado por Josué Pérez Suay, CEO de OrbitaClick

Buscar «los mejores plugins de WordPress» devuelve listas de treinta y cinco plugins que nadie ha probado juntos en la misma web. El problema no es que los plugins de esas listas sean malos: es que instalarlos todos convierte una web rápida en una web lenta y una web segura en una superficie de ataque.

Este artículo va del criterio. Qué categorías necesitas de verdad, cómo decidir si un plugin concreto merece la pena, y cómo auditar los que ya tienes instalados sin cargarte nada.

El dato que reordena la decisión

El informe anual de Patchstack sobre el estado de la seguridad en WordPress es la referencia del sector, y sus cifras de 2025 son contundentes:

El otro coste: lo que cada plugin ejecuta en cada visita

La seguridad es la mitad del problema. La otra es el rendimiento, y aquí la gente se equivoca contando plugins en lugar de medir lo que hacen.

Veinte plugins ligeros que no ejecutan nada en el frontend no pesan. Tres plugins que en cada carga de página hacen consultas sin índice, escriben en la base de datos y cargan sus propios CSS y JS, sí. Lo que hay que medir no es la cantidad: es cuánto trabajo hace cada uno por petición.

Esto conecta directamente con la aritmética de capacidad de un WordPress: tu capacidad real es procesos PHP disponibles ÷ tiempo de respuesta. Cada milisegundo que un plugin añade al TTFB te quita capacidad. Lo desarrollamos en cómo se satura una página web en WordPress.

Los 5 criterios para decidir si instalas un plugin

1. ¿Se puede resolver sin plugin? Muchas necesidades se cubren con veinte líneas en un gestor de snippets o con una función que ya trae el tema. Un plugin entero para añadir una etiqueta en el head es un mal negocio.
2. ¿Cuándo se actualizó por última vez? Mira la fecha de la última actualización y la compatibilidad con la versión actual de WordPress. Un plugin sin tocar en dos años no es «estable»: está abandonado, y con el 91 % de las vulnerabilidades en plugins eso es una bomba de relojería.
3. ¿Quién está detrás? Un desarrollador o empresa con varios plugins mantenidos y soporte activo responde en horas cuando aparece un fallo. Un plugin de autor único sin actividad, no.
4. ¿Qué ejecuta en el frontend? Instálalo, mide el TTFB antes y después con Query Monitor, y mira si mete CSS o JS en todas las páginas cuando solo lo necesita en una. Muchos plugins lo hacen.
5. ¿Cuánto cuesta quitarlo? Un plugin que crea tablas propias, mete shortcodes por todo el contenido o deja cientos de filas en wp_postmeta es fácil de instalar y muy difícil de desinstalar limpiamente. Pregúntatelo antes.

Las 7 categorías que sí necesitas

Esto es lo que instalamos en los proyectos que montamos nosotros, con el criterio detrás. No es la única combinación válida: es la que llevamos años sosteniendo en producción.

Lo que casi nunca necesitas

Cómo auditar los plugins que ya tienes

Si heredaste una web con veintitantos plugins, este es el recorrido para limpiarla sin romperla:

1. Backup verificado primero. No «el hosting hace copias»: una copia que puedas restaurar tú, comprobada, de antes de tocar nada.
2. Lista de plugins con fecha de última actualización. Todo lo que lleve más de un año sin actualizarse va a la columna de riesgo, se use o no.
3. Desactiva lo que no se usa — y después bórralo. Un plugin desactivado sigue en el servidor, y su código sigue siendo alcanzable en algunos escenarios. Desactivar no es eliminar.
4. Mide con Query Monitor. Instálalo temporalmente, carga la página más lenta y mira qué plugin lanza más consultas y cuáles son lentas. Convierte «va lento» en «este plugin hace 340 consultas en la portada». Y desactívalo al terminar: es una herramienta de diagnóstico, no de producción.
5. Revisa el peso de las opciones autoload. Los plugins mal programados dejan arrays gigantes que WordPress carga en memoria en cada petición:

   SELECT ROUND(SUM(LENGTH(option_value))/1024/1024, 2) AS mb, COUNT(*) AS num
   FROM wp_options
   WHERE autoload IN ('yes','on','auto','auto-on');

   Desde WordPress 6.6 el core ya no autocarga por defecto las opciones que superan los 150 KB y avisa en Salud del sitio, pero las creadas antes siguen como estaban.

6. Comprueba Salud del sitio. WordPress te avisa de plugins inactivos, versiones de PHP obsoletas y problemas de rendimiento sin instalar nada.
7. Desactiva de uno en uno, midiendo. Nunca todos de golpe: si algo se rompe no sabrás qué ha sido. Y hazlo en staging si el sitio factura.

El plugin más peligroso: el abandonado

Con el 91 % de las vulnerabilidades en plugins y una mediana de 5 horas hasta el primer exploit, un plugin sin mantenimiento es el riesgo número uno de una web WordPress. Estas son las señales:

Errores que vemos una y otra vez

Preguntas frecuentes sobre plugins de WordPress

Escrito y verificado por

Josué Pérez Suay, CEO y fundador de OrbitaClick, agencia de marketing digital en Alicante desde 2018. Citado en 25 artículos de Computer Hoy como fuente experta.

Ver perfil profesional y CV completo