Requiera una tarea definida y un responsable
Antes de buscar, describa el resultado para el visitante o el personal en una frase. Luego compruebe si WordPress, el tema, los controles del proveedor de hosting o un plugin existente ya realizan esa tarea. No añada una segunda herramienta solo por su interfaz o lista de funciones.
Para cada plugin aprobado, registre su responsable, dónde se usa, configuraciones clave, cuentas vinculadas o claves API y una condición de retirada. El responsable revisa avisos y prueba cambios. Esto convierte un historial de instalaciones en un registro de dependencias.
Enumere las páginas, formularios, flujos del editor o procesos administrativos que puede cambiar.
Evite duplicar analítica, caché, formularios, pop-ups o funciones de optimización salvo que quede documentado.
Revise plugins nuevos y de alto impacto después del lanzamiento y en una cadencia de mantenimiento regular.
Evalue candidatos antes de activarlos
Use la pantalla Añadir plugins (Plugins Add New) y el Directorio de plugins de WordPress (WordPress Plugin Directory) como puntos de partida. WordPress muestra el autor, la valoración de usuarios, la fecha de la última actualización, la compatibilidad y un enlace a más detalles. Lea la documentación, las notas de la versión, las opciones de soporte y la información de privacidad. Aplique el mismo escrutinio a los plugins comprados o descargados fuera de WordPress.org.
Compruebe que el mantenedor explique las versiones de WordPress y PHP compatibles, qué cambia el plugin y cómo reportar un problema de seguridad. WordPress.org puede cerrar un plugin del directorio por un problema de seguridad, pero eso no sustituye su evaluación ni su mantenimiento.
Rechace un candidato si el core, el tema, el host o la funcionalidad existente ya cubren el requisito.
Compare los requisitos manifestados con su entorno en producción, el tema activo y los plugins críticos.
Las valoraciones pueden revelar patrones, pero no son una auditoría de código.
Mapee accesos, datos y servicios externos
Antes de aprobar, describa qué cambia el plugin, qué información recopila o almacena, dónde va esa información, quién administra su integración y qué ocurre si su servicio no está disponible o se retira. También anote scripts en el navegador, iframes, webhooks, claves API y cuentas de servicio.
La guía de privacidad de WordPress indica a los autores de plugins que suministren texto sugerido para la política de privacidad cuando su plugin recopila, usa, almacena o transmite datos de usuarios a terceros. Use eso para investigar la explicación del proveedor, no como cumplimiento legal automático. Para pagos, datos de salud, datos personales sensibles o trabajos regulados, obtenga revisión calificada de privacidad, seguridad, pagos y legal antes del lanzamiento.
Use solo los roles, cuentas, ámbitos (scopes) y claves necesarios; revoque accesos antiguos cuando cambien personas o herramientas.
Registre categorías de datos, destinatarios, controles de retención y pasos para eliminación.
Pruebe la compatibilidad en una copia protegida de staging
Staging es una copia de prueba separada usada para comprobar un cambio antes de producción. Úsela para un plugin nuevo o un cambio de alto impacto. Protéjala, evite datos reales de clientes cuando sea posible y bloquee correos reales, pagos o webhooks.
Pruebe los recorridos afectados: páginas públicas, formularios, inicio de sesión, publicación, búsqueda y carrito o proceso de pago cuando corresponda. Luego revise los registros de errores y Site Health (Salud del sitio). Site Health muestra versiones de plugins, creadores y la configuración de actualizaciones automáticas. Staging no puede reproducir todas las condiciones de producción.
Actualice o introduzca un plugin de alto impacto a la vez para que las regresiones tengan un área de búsqueda menor.
Pruebe como visitante y como el editor o administrador que usa el flujo afectado.
Registre la versión previa, el comportamiento esperado, errores y la decisión de aprobación.
Mida el rendimiento y adopte una política de actualizaciones basada en riesgo
Compare páginas representativas antes y después usando el mismo método de prueba. Inspeccione peso de página, solicitudes de red, errores en el navegador y la interacción soportada. WordPress recomienda desactivar selectivamente plugins para medir el rendimiento del servidor cuando se sospecha de uno en particular. No confíe solo en una pantalla de administración o en una única puntuación sintética.
web.dev de Google advierte que JavaScript de terceros puede añadir trabajo en red, retrasar el renderizado y afectar la privacidad, la seguridad y el comportamiento de la página. Audite scripts y proveedores redundantes. WordPress soporta actualizaciones automáticas por plugin y envía notificaciones, pero las actualizaciones programadas dependen de WordPress Cron. Verifique que ambos funcionen. Las actualizaciones automáticas controladas pueden encajar en plugins de bajo impacto y bien comprendidos con copias de seguridad y verificación. Ponga en staging y apruebe explícitamente los cambios en procesos de pago, autenticación, consentimiento o integraciones personalizadas. Estas son decisiones basadas en riesgo, no categorías universales.
Nombre quién lee los avisos, quién evalúa cambios de seguridad y quién aprueba excepciones.
Para cambios de alto impacto, revise las notas de la versión y la compatibilidad antes de probar.
Anote por qué se pospone una actualización, su responsable, salvaguardas y fecha de revisión.
Haga copias de seguridad, revierta y elimine con intención
Antes de una actualización o eliminación que pueda afectar al sitio, confirme una copia de seguridad actual, su ubicación, la autoridad para restaurarla y la primera acción de reversión. WordPress aconseja hacer una copia de seguridad antes de actualizaciones y dice que una copia puede restaurarse si una actualización causa problemas. Pruebe la restauración en una copia segura cuando el riesgo lo justifique.
Cuando un plugin ya no se necesita, confirme que ningún flujo depende de él, preserve los registros requeridos y revoque claves o webhooks conectados. Luego desactívelo y elimínelo desde la pantalla Plugins (Plugins screen). La limpieza varía según el plugin, así que siga su documentación y verifique el resultado. La desactivación no es la eliminación completa: los plugins inactivos permanecen instalados hasta borrarlos.
Sepa si debe desactivarlo, restaurar su versión anterior, corregir una configuración o restaurar una copia completa.
Después de la reversión, vuelva a probar los recorridos afectados, credenciales, comportamiento de caché y administración.