Plugins de WordPress: cuáles necesitas de verdad

---

Qué es un plugin de WordPress y qué hace por dentro

WordPress viene preparado para una cosa: publicar contenido y ordenarlo. Todo lo demás —vender, medir, proteger, acelerar, recoger datos de un formulario— se le añade con plugins. Cada plugin es un paquete de código que se engancha a puntos concretos del sistema y ejecuta lo suyo cuando toca: al cargar una página, al guardar una entrada, al enviarse un correo.

Eso explica dos cosas que conviene tener claras desde el principio. La primera, por qué los plugins pueden frenar una web: no son adornos que se quedan quietos, son programas que corren en cada visita. La segunda, por qué a veces dos plugins «se pelean»: si los dos se enganchan al mismo punto para hacer lo mismo, gana el que cargue después y el resultado es impredecible.

Se instalan desde el escritorio de WordPress, en Plugins → Añadir nuevo, y los del repositorio oficial pasan una revisión de código antes de publicarse. Los de pago se suben como archivo ZIP y suelen pedir una licencia anual para seguir recibiendo actualizaciones. Ese matiz importa: cuando la licencia caduca, el plugin sigue funcionando, pero deja de actualizarse, y un plugin sin actualizar es el camino más cómodo para entrar en una web.

Cuántos plugins son demasiados (la pregunta está mal hecha)

Es la duda que más veces me llega, y casi siempre con una cifra dentro: «me han dicho que más de veinte ya es mucho». No funciona así. He visto webs con treinta plugins ligeros cargando en menos de un segundo y webs con nueve arrastrándose, porque entre esos nueve había un constructor visual con tres paquetes de complementos y un plugin de estadísticas escribiendo en la base de datos en cada visita.

Lo que pesa de verdad son cuatro cosas: cuántas consultas a la base de datos hace el plugin en cada carga, cuántos archivos de estilos y de JavaScript mete en el navegador, si llama a servidores de terceros mientras la página se pinta, y si duplica algo que ya hace otro. Esta tabla es la que uso cuando reviso una web ajena y me encuentro veinte plugins activos:

La pregunta útil no es cuántos tienes, sino qué función cumple cada uno y qué pasaría si lo quitas. Si no sabes responder eso de alguno de los que tienes activos, ya tienes el primer candidato a desinstalar.

El stack mínimo: ocho funciones que sí hay que cubrir

Estos son los plugins de WordPress que instalo en cualquier web que se ponga en marcha hoy, ordenados por función y no por marca. La columna de la derecha es la que suele convencer: lo que te pasa si esa casilla se queda vacía.

Ocho funciones, y ninguna es opcional en una web que reciba visitas de verdad. Fíjate en que dos de ellas —la caché y la compresión de imágenes— puede que ya las cubra tu alojamiento; en ese caso el plugin sobra, y ahorrarte un plugin siempre es mejor negocio que añadirlo.

SEO: uno, y solo uno

Un plugin de SEO no posiciona nada. Lo que hace es darte control sobre lo que WordPress no te deja tocar: el título que ve Google, la descripción, la etiqueta canónica, los datos estructurados, el mapa del sitio y las reglas de indexación. Sin él escribes a ciegas.

Rank Math es el que uso. Trae de serie lo que en otros va en la versión de pago: datos estructurados por tipo de contenido, redirecciones, monitor de errores 404 y conexión con Search Console. Yoast SEO es el más veterano y el que más documentación tiene en español, buena opción si trabajas con alguien que ya lo conoce. SEOPress es el más discreto de los tres y el que menos ruido mete en el escritorio.

Los tres valen. Lo que no vale es tener dos a la vez: acabarías con dos etiquetas de título en la misma página, dos mapas del sitio compitiendo y datos estructurados duplicados. Si vas a cambiar, desactiva el viejo antes de activar el nuevo y comprueba después que las etiquetas siguen ahí, porque no todas las migraciones traen los datos.

Y una advertencia sobre el semáforo verde de estos plugins: mide la repetición de la palabra clave, la longitud de los párrafos y poco más. Aprobar ese examen no te acerca a la primera página. El plugin te da las herramientas; el trabajo está en el contenido y en la parte técnica, que es de lo que hablan la guía de SEO técnico, el artículo sobre WordPress para SEO y el mapa general de los tipos de SEO.

Cómo afectan los plugins al posicionamiento

Ningún plugin sube posiciones por sí mismo, pero varios pueden bajarlas. Merece la pena saber por dónde.

Por la velocidad. Google mide la experiencia de carga con las métricas de Core Web Vitals, y los plugins que cargan tipografías, iconos y librerías propias en todas las páginas empeoran justo lo que se mide: el tiempo hasta que se pinta el bloque principal y los saltos del contenido mientras carga. Un deslizador en la portada suele costar más posiciones de las que aporta.

Por los datos estructurados. Dos plugins escribiendo el mismo marcado dejan la página con esquemas duplicados o contradictorios, y ahí se pierden los resultados enriquecidos. Lo cuento con detalle en qué son los rich snippets.

Por el contenido que inyectan. Hay plugins que meten enlaces de sus autores en el pie, otros que generan cientos de páginas de archivo vacías, y algunos de tienda que crean una URL distinta por cada combinación de filtros. Eso último es capaz de llenar el índice de Google de páginas que no quieres. Si te suena, la revisión está en cómo indexar una web.

Por lo que rompen al desinstalarse. Un plugin de redirecciones que se lleva sus reglas al desactivarse deja decenas de URLs muertas de golpe. Antes de quitar cualquier cosa que toque URLs, exporta lo que tenga guardado.

Velocidad: la caché primero, el resto después

Sin caché, cada visita obliga a WordPress a consultar la base de datos, montar la página y devolverla. Con caché, esa página ya está construida y se sirve tal cual. Es la diferencia más grande que vas a conseguir con un solo cambio, y por eso es la primera casilla que miro.

Antes de instalar nada, comprueba si tu alojamiento ya trae caché propia. Muchos proveedores la incluyen y funciona mejor que cualquier plugin, porque actúa antes de que WordPress arranque. Si la tienes, no pongas otra encima: se pisan y empiezan los sustos de «he cambiado el texto y no se ve».

Si no la tienes, LiteSpeed Cache es gratuito y muy completo cuando el servidor es LiteSpeed. WP Rocket es de pago y es el que menos configuración pide para dejar el sitio decente. W3 Total Cache da mucho control y también muchas maneras de romper algo sin enterarte.

La caché no lo arregla todo. Después vienen las imágenes, que suelen ser la mitad del peso de una página, y el JavaScript que meten los plugins que instalaste y ya no recuerdas. Tienes el orden completo de la revisión en cómo optimizar una web.

Seguridad: no es paranoia, es correo automático

Los ataques a una web pequeña no son personales. Son robots probando usuarios y contraseñas comunes en cualquier WordPress que encuentren, y prueban miles de veces al día. Un plugin de seguridad no te vuelve invulnerable, pero pone un portero donde no había nadie.

Wordfence es el que instalo: cortafuegos, escáner de archivos modificados, límite de intentos de acceso y avisos por correo cuando algo cambia. Solid Security hace lo mismo con menos ruido. Y si tu alojamiento ya tiene cortafuegos propio, no montes otro encima.

Tres ajustes que valen más que el plugin entero: limitar los intentos de acceso fallidos, activar el doble factor para los usuarios administradores y quitar las cuentas de gente que ya no trabaja contigo. Ese último punto no lo cubre ningún plugin y es por donde entran la mitad de los disgustos.

Copias de seguridad: la que te salva es la que está fuera

Una copia guardada en el mismo servidor que la web no es una copia de seguridad, es una copia. Si el servidor se cae, se corrompe o alguien entra, se va todo junto. La copia que sirve es la que está en otro sitio: tu Drive, tu Dropbox, un almacenamiento externo.

UpdraftPlus hace exactamente eso en su versión gratuita: programa copias automáticas de archivos y base de datos y las manda fuera. Muchos alojamientos también hacen copias cada pocas horas, y está bien tenerlas, pero pregunta dos cosas antes de confiarte: cuántos días guardan y si puedes descargarte una tú mismo sin pedir permiso.

Y lo que casi nadie hace: probar la restauración. Una copia que nunca se ha restaurado es una copia que no sabes si funciona. Una vez al año, en una instalación de prueba, vale la pena comprobarlo.

Formularios: el plugin que más dinero mueve

El formulario de contacto es, en la mayoría de las webs de servicios, el único sitio donde ocurre algo parecido a una venta. Merece más atención de la que se le suele dar.

Fluent Forms es rápido y no arrastra medio kilo de estilos. WPForms es el más cómodo si no quieres pensar. Contact Form 7 es el clásico gratuito, que funciona, pero pide un plugin extra para el antispam y otro para guardar los envíos.

Sea cual sea, comprueba tres cosas el día que lo montes: que el aviso te llega al correo (y no a spam), que los envíos se guardan también en la base de datos por si el correo falla, y que el formulario tiene casilla de consentimiento con enlace a tu política de privacidad. Y mide cuántos se envían: un formulario que nadie completa suele ser un formulario con demasiados campos.

Imágenes: donde está el peso

La foto que sale de un móvil moderno pesa varios megas. Subida tal cual a WordPress, esa foto se descarga entera en el teléfono de quien te visita. Multiplícalo por las seis imágenes de la página y ya tienes explicado por qué tu web va lenta en 4G.

ShortPixel e Imagify comprimen al subir y convierten a formatos modernos como WebP, que pesan bastante menos con la misma calidad aparente. Los dos tienen plan gratuito con un número limitado de imágenes al mes, suficiente para una web pequeña.

Dos costumbres que ahorran más que el plugin: redimensionar la imagen antes de subirla —si tu contenido mide 800 píxeles de ancho, no subas una de 4.000— y escribir el texto alternativo de cada imagen, que sirve para accesibilidad y para búsqueda de imágenes.

Correo saliente: el plugin invisible que evita perder clientes

WordPress envía correos con la función de PHP del servidor, y esos correos acaban muchas veces en spam porque salen sin autenticar. El síntoma es conocido: «no me llegan los avisos de los formularios» o, peor, el cliente que no recibe la confirmación de su pedido.

Un plugin de SMTP como FluentSMTP o WP Mail SMTP hace que WordPress mande los correos a través de un servicio de envío autenticado, con tu dominio firmado. Es de esas cosas que no se ven hasta que fallan, y cuando fallan cuestan dinero.

Complétalo configurando los registros SPF, DKIM y DMARC de tu dominio. Sin eso, el mejor plugin del mundo sigue enviando desde un remitente que nadie ha verificado.

Analítica y consentimiento: los dos van juntos

Si mides visitas con Google Analytics necesitas pedir consentimiento antes de activar las cookies, y ese aviso tiene que bloquear de verdad los scripts hasta que la persona acepte. Un banner decorativo que carga Analytics igualmente no cumple nada.

Complianz y CookieYes hacen ese bloqueo previo y generan los textos legales. Para la medición, Site Kit de Google conecta Analytics y Search Console y te enseña los datos dentro del escritorio, cómodo si no quieres salir de WordPress.

Un aviso sobre los plugins de estadísticas que guardan las visitas dentro de tu propia base de datos: cada visita es una escritura, y en webs con tráfico esa tabla crece hasta convertirse en la más pesada del sitio. Si vas a mirar los datos una vez al mes, míralos en Search Console y ahorra el plugin.

Enlaces, redirecciones y errores 404

Cuando cambias la dirección de una página, la vieja se queda muerta. Si tenía enlaces o visitas, los pierdes. Un gestor de redirecciones arregla eso en dos clics, y los plugins de SEO grandes ya lo traen dentro, así que rara vez hace falta uno específico.

Lo que sí conviene es revisar el registro de errores 404 cada cierto tiempo: ahí aparecen las páginas que alguien busca y ya no existen, y a veces alguna que ni sabías que estaba enlazada desde fuera. Es una de las revisiones del mantenimiento web que más rápido se paga, junto con la de enlaces internos.

Tienda online: WooCommerce y su cortejo

WooCommerce convierte WordPress en una tienda, y es gratuito. Lo que cuesta dinero son las extensiones, y ahí está la trampa habitual: se instalan doce antes de la primera venta.

Para vender de verdad necesitas la pasarela de pago, el cálculo de impuestos, los gastos de envío y los correos transaccionales bien entregados. Nada más. Las recomendaciones de producto, los cupones avanzados, los programas de puntos y el chat vienen después, cuando tengas pedidos que analizar.

Ten en cuenta también que WooCommerce añade tablas propias y consultas pesadas: una tienda pide mejor alojamiento que un blog, y la caché hay que configurarla para que no guarde el carrito ni la página de pago. Si estás en ese punto, te interesan el SEO para ecommerce y la comparativa de pasarelas de pago.

Multiidioma: la decisión más cara de deshacer

Polylang y WPML son las dos opciones serias. Polylang tiene versión gratuita y va bien para dos idiomas; WPML es de pago y aguanta mejor estructuras grandes y tiendas.

Elige con calma, porque cambiar de sistema de traducción a mitad de camino es de las migraciones más incómodas que existen. Y no traduzcas automáticamente todo el sitio para «tenerlo»: una versión en inglés a medias, sin nadie que atienda en inglés, no trae clientes y sí problemas de contenido duplicado.

Constructores visuales: la decisión que más pesa

Elementor es cómodo y ha hecho que mucha gente pueda montar su web sin tocar código. También es, con diferencia, lo que más peso añade a una página, y engancha: una vez maquetas con él, salir cuesta rehacerlo todo.

El editor de bloques que trae WordPress de serie ha mejorado mucho y para un blog o una web de cinco páginas es suficiente. Mi consejo es simple: si puedes resolverlo con bloques, resuélvelo con bloques. Si necesitas un constructor, quédate con uno solo y evita los paquetes de complementos de terceros, que cargan sus estilos en todas las páginas aunque solo uses un widget.

Qué plugins necesitas tú, según lo que hace tu web

El stack mínimo vale para todos, pero a partir de ahí cada tipo de web pide cosas distintas. Esta es la tabla que uso en las auditorías para decidir qué entra y qué espera:

La columna que más discusiones ahorra es la última. Casi todos los sitios que reviso tienen instalado algo de la lista de errores típicos, y casi siempre lleva meses activo sin que nadie lo use.

Los plugins que no deberías instalar

Hay tres familias que dan más problemas que soluciones. La primera, los que duplican una función que ya tienes. La segunda, los «optimizadores todo en uno» que prometen limpiar, acelerar y proteger a la vez: cuando algo se rompe, no sabes cuál de sus quince funciones lo rompió. La tercera, los plugins abandonados, con la última actualización a año y medio vista.

Y una cuarta familia, más incómoda de nombrar: los plugins de pago descargados de sitios que los regalan. Suelen venir con código añadido que no verás nunca. Sale más barato pagar la licencia que limpiar una web infectada, y te lo digo después de haber limpiado unas cuantas.

Cuándo un plugin sobra y basta con cuatro líneas de código

Hay funciones pequeñas para las que instalar un plugin entero es como comprarse un coche para cruzar la calle: quitar la barra de administración a los suscriptores, cambiar el texto de un botón, añadir una etiqueta al pie, desactivar los comentarios en un tipo de contenido.

Todo eso son unas líneas en el archivo de funciones de tu tema hijo o en un mu-plugin, que es un plugin que se carga siempre y no aparece en la lista para que nadie lo desactive por error. Si no te manejas con archivos, un gestor de fragmentos de código te deja pegar esas líneas desde el escritorio con la misma comodidad que un plugin, pero con una diferencia importante: sabes exactamente qué hace tu código, porque son cuatro líneas y las has leído.

Esta web funciona así. Buena parte de lo que ves —las tablas que se adaptan al móvil, el letrero del pie, la entrega de los descargables— no son plugins de terceros, sino mu-plugins propios de menos de cien líneas. Ninguno hay que actualizarlo, ninguno se puede desactivar por accidente y ninguno mete estilos donde no toca.

La contrapartida es honesta: si el código lo escribe alguien y ese alguien desaparece, nadie lo mantiene. Para funciones centrales —la tienda, el SEO, las copias— vale más un plugin conocido con comunidad detrás. Para detalles pequeños, el fragmento gana casi siempre.

Cómo instalar un plugin en WordPress, paso a paso

Desde el repositorio oficial, que es el caso normal:

1. En el escritorio, entra en Plugins → Añadir nuevo.
2. Busca el plugin por su nombre y comprueba que el autor es el que esperas: hay imitaciones con nombres casi idénticos.
3. Pulsa Instalar ahora y después Activar.
4. Ve a sus ajustes antes de olvidarte: casi ninguno funciona bien con la configuración de fábrica.
5. Mira la web por delante, en ordenador y en móvil, y comprueba que nada se ha movido de sitio.

Si es un plugin de pago, te descargarás un archivo ZIP: en la misma pantalla, Subir plugin, seleccionas el archivo y lo activas igual. Después introduce la licencia, o no recibirás actualizaciones.

Y la parte que se salta todo el mundo: desinstalar no es desactivar. Un plugin desactivado sigue en el servidor y sigue siendo código que puede tener un fallo de seguridad. Si no lo vas a usar, bórralo.

Cómo elegir un plugin sin arrepentirte a los seis meses

Antes de instalar cualquier cosa, cinco comprobaciones que llevan dos minutos:

Actualizar sin llevarse un susto

Las actualizaciones no son opcionales: la mayoría de las webs que se infectan lo hacen a través de un plugin desactualizado con un fallo conocido. Pero actualizar a ciegas un viernes por la tarde tampoco es un plan.

Lo razonable es esto: activa las actualizaciones automáticas de seguridad, ten copia reciente antes de tocar nada, actualiza en un momento de poco tráfico y, cuando se trate de una versión mayor —de la 3 a la 4 de un plugin importante—, pruébalo antes en una copia del sitio. Muchos alojamientos crean esa copia de pruebas con un botón.

Después de actualizar, mira lo que se rompe primero: la portada, una entrada, el formulario y, si vendes, el proceso de compra completo hasta el pago.

Qué hacer cuando un plugin te deja la web en blanco

Pasa, y casi siempre justo después de actualizar algo. La pantalla se queda en blanco o aparece un error grave, y con frecuencia tampoco puedes entrar al escritorio. Se arregla, y sin prisa.

1. Mira el correo. WordPress manda un aviso al correo del administrador cuando un plugin provoca un error grave, y ese aviso incluye un enlace para entrar en modo de recuperación, con todo desactivado menos lo necesario.
2. Si puedes entrar, desactiva el plugin que actualizaste. Si no sabes cuál fue, desactívalos todos y ve activando de uno en uno, comprobando la web entre cada uno.
3. Si no puedes entrar, entra por FTP o por el gestor de archivos de tu alojamiento, ve a wp-content/plugins y cambia el nombre de la carpeta del plugin sospechoso. WordPress lo dará por desaparecido y lo desactivará solo. Con el nombre original vuelve a estar disponible.
4. Si sigue caída, cambia el nombre de la carpeta plugins entera. Eso desactiva todos de golpe y te devuelve el acceso.
5. Para saber qué pasó, activa el registro de depuración en wp-config.php y mira el archivo de errores. La línea que buscas suele traer el nombre del archivo culpable.

Después, dos decisiones: si el plugin es importante, escribe al soporte con el error exacto; si no lo era tanto, aprovecha para quitarlo. Y si el sitio factura, ese es el momento de plantearse tener una copia de pruebas donde actualizar primero.

Cómo saber si un plugin te está frenando

Hay una forma sencilla y una precisa. La sencilla: mide la página de inicio con PageSpeed Insights, desactiva el plugin sospechoso, vuelve a medir. Si la diferencia es grande, ya lo tienes.

La precisa: instala Query Monitor —solo mientras investigas— y mira cuántas consultas a la base de datos hace cada plugin y cuánto tiempo consume. Es la herramienta que separa la sospecha del dato, y verla una vez cambia bastante la opinión que uno tiene sobre sus plugins favoritos.

Con eso en la mano, la decisión suele ser fácil: quitar, sustituir por algo más ligero o cargarlo solo en las páginas donde hace falta. Y si quieres el resto del arsenal, lo tienes en las herramientas de SEO que uso a diario.

Gratis o de pago: cuándo merece la pena soltar el dinero

La versión gratuita cubre bien tres casos: cuando la función es simple, cuando el proyecto tiene detrás una empresa que vive de la versión de pago, y cuando puedes cambiar de plugin sin dolor si te falla.

Pagar merece la pena cuando la función toca dinero o toca riesgo: la pasarela de pago de tu tienda, las copias de seguridad de un sitio que factura, el plugin del que depende tu proceso de venta. Ahí no estás comprando funciones, estás comprando soporte y actualizaciones puntuales.

Cuenta el coste anual completo antes de decidir, incluidas las renovaciones: cinco licencias de sesenta euros son trescientos euros al año que hay que justificar. Y ten presente lo que decía antes: cuando la licencia caduca, el plugin no deja de funcionar, pero deja de actualizarse. Esa fecha conviene tenerla apuntada.

Lo que tengo instalado en esta web

Predicar es fácil, así que enseño la lista. En pablohorcajuelo.com hay un plugin de SEO (Rank Math), el optimizador de velocidad del propio alojamiento haciendo de caché, el constructor visual con el que están montadas algunas páginas, la conexión con las herramientas de Google para ver los datos desde dentro, un plugin de correo saliente por SMTP y la pieza que gestiona el consentimiento de cookies. Poco más.

El resto de cosas que ves —las tablas que se reordenan en el móvil, el letrero del pie, la entrega de los descargables con enlace que caduca, la venta cruzada entre fichas— son fragmentos de código propios, de menos de cien líneas cada uno, que no aparecen en la lista de plugins ni piden actualizaciones.

No es una lista lucida, y esa es justo la idea: cuantas menos piezas de terceros tengas corriendo en cada visita, menos cosas se te pueden romper un martes por la mañana.

Por dónde empezar si tu web ya tiene veinte plugins

No los quites todos de golpe. Haz una lista con los activos y, al lado de cada uno, escribe qué función cumple. Los que no sepas explicar en una línea son los primeros candidatos. Después busca duplicidades con la tabla de más arriba. Y por último mira las fechas de actualización y marca los abandonados.

De ahí suelen salir entre tres y seis bajas en una web normal. Se desactivan de uno en uno, con copia hecha, comprobando la web después de cada uno. Es una tarde de trabajo que se nota en la velocidad, en la seguridad y en la tranquilidad de saber qué tienes montado.

Y si estás empezando de cero, quédate con la idea principal de todo esto: no necesitas cuarenta plugins, necesitas ocho funciones bien cubiertas. Lo demás llega cuando el negocio lo pida, y no antes.

---