Cada vez que publico un sitio WordPress reviso mi stack de plugins. Después de más de 100 proyectos, la lista se achicó. No porque existan menos plugins buenos — porque aprendí que cada plugin que instalás es un punto de fallo, un vector de ataque, y un peso extra en el tiempo de carga.
Mi regla: si no es estrictamente necesario, no va. Estos son los que siempre van y los que nunca pongo.
Los 7 que siempre instalo
1. LiteSpeed Cache (o WP Super Cache si el hosting no es LiteSpeed)
La caché es la diferencia entre un sitio que carga en 1.5 segundos y uno que carga en 6. No es negociable. LiteSpeed Cache es el mejor plugin de caché que existe si tu hosting corre LiteSpeed (que es lo que uso). Si el hosting corre Apache o Nginx, WP Super Cache cumple.
Lo que configuro: caché de página completa, minificación de CSS y JavaScript, lazy loading de imágenes, preload de páginas críticas. Esto solo puede bajar el tiempo de carga a la mitad.
2. Yoast SEO (o Rank Math)
No porque haga magia con el SEO — porque maneja los meta tags, el sitemap, los breadcrumbs con Schema, las redirecciones, y el robots.txt de forma centralizada. Sin este plugin, tenés que hacer todo eso a mano en el theme.
Uso la versión gratuita. La premium agrega funcionalidades que el 95% de los sitios no necesitan.
3. WPForms Lite (o Contact Form 7)
Formulario de contacto. Simple, liviano, funcional. WPForms tiene un builder drag-and-drop que le permite al cliente agregar campos sin saber código. Contact Form 7 es más liviano pero requiere configuración manual.
Lo que nunca hago: instalar un plugin de formularios que pese 3MB y tenga 40 funcionalidades que el sitio no necesita.
4. UpdraftPlus
Backups automáticos a la nube (Google Drive, Dropbox, o el almacenamiento que el cliente prefiera). Programo un backup completo semanal y uno diferencial diario. Si algo se rompe, se restaura en minutos.
No dependo del backup del hosting. El backup tiene que estar en un lugar que no sea el mismo servidor donde vive el sitio.
5. Wordfence (versión gratuita)
Firewall y escaneo de malware. La versión gratuita es suficiente para el 90% de los sitios. Configuro: protección contra fuerza bruta, escaneo semanal de archivos modificados, alertas por email si detecta algo sospechoso.
6. WP Mail SMTP
WordPress, por defecto, manda emails con la función mail() de PHP. El 50% de esos emails terminan en spam o no llegan. WP Mail SMTP redirige todos los emails del sitio a través de un servidor SMTP real (Gmail, Brevo, lo que sea). Los formularios de contacto dejan de perderse en el vacío.
7. Redirection
Manejo de redirecciones 301. Cuando se cambia la URL de una página, se elimina un producto, o se migra un sitio, las URLs viejas tienen que redirigir a las nuevas. Sin esto, los visitantes y Google encuentran páginas de error 404.
Los que nunca instalo
Plugins de sliders (Revolution Slider, Layer Slider, etc.)
Los sliders matan la velocidad y no convierten. Nadie mira la quinta slide de tu carrusel. Nadie. El hero de tu sitio tiene que tener un mensaje claro con un call-to-action, no una presentación animada de 8 slides que el visitante skippea.
Plugins “todo en uno” de seguridad premium
Si necesitás un plugin de seguridad que cuesta USD 200/año para proteger tu sitio, tu problema no es el plugin — es la configuración del servidor, los permisos de archivos, y las contraseñas débiles. Wordfence free + buenas prácticas de seguridad es más efectivo que cualquier plugin premium sobre un hosting mal configurado.
Plugins de analytics propios
No necesitás un plugin para meter Google Analytics o Google Tag Manager. Son 4 líneas de código en el header.php o una configuración en el plugin de SEO que ya tenés instalado. Un plugin extra para eso agrega un request HTTP más a cada página por nada.
Plugins de “optimización de base de datos”
Si tu base de datos necesita optimización constante, el problema está en otro lado (un plugin que genera tablas basura, por ejemplo). Optimizar la base de datos una vez por año con una query SQL directa es más efectivo que tener un plugin corriendo en segundo plano permanentemente.
Builders pesados como Elementor o Divi (en proyectos nuevos)
Esto va a ser polémico, pero lo digo: Elementor y Divi generan HTML inflado, agregan entre 300KB y 1MB de CSS y JavaScript extra a cada página, y crean dependencia absoluta del builder. Si desactivás Elementor, tu contenido es un desastre ilegible de shortcodes.
Los uso únicamente cuando el cliente ya tiene un sitio armado con ellos y no hay presupuesto para rehacer. Para proyectos nuevos, uso el editor de bloques nativo de WordPress (Gutenberg) o desarrollo el theme con código limpio.
Plugins de compartir en redes sociales
Esos botones de “compartir en Facebook” que tienen todos los blogs. La tasa de uso real es menor al 0.1% de los visitantes. No justifican el peso que agregan ni los requests a APIs externas.
Plugins de pop-ups agresivos
“Suscribite a nuestro newsletter” a los 3 segundos de entrar al sitio. “¡Esperá! ¿Te vas sin comprar?” cuando movés el mouse hacia la X. Generan más rechazo que conversiones. Si tu contenido es bueno, la gente se queda. Si no lo es, un pop-up no lo arregla.
Plugins de lazy loading independientes
Desde WordPress 5.5, el lazy loading de imágenes es nativo del core. No necesitás un plugin para eso. Y el plugin de caché que ya tenés instalado maneja el lazy loading avanzado (imágenes, iframes, videos).
Plugins de “mantenimiento” con countdown
Esas páginas de “Sitio en construcción — Volvé pronto” con un reloj contando hacia atrás. Si tu sitio no está listo, no lo publiques. No necesitás un plugin para poner una página en blanco con un logo.
Plugins que no se actualizan hace más de un año
Si el último update del plugin es de hace 14 meses y el plugin tiene acceso a la base de datos, es un riesgo de seguridad que no vale la pena. Hay alternativas mantenidas activamente para casi todo.
La regla general
Antes de instalar un plugin, preguntate: ¿esto se puede resolver con 10 líneas de código en el functions.php? Si la respuesta es sí, escribí las 10 líneas. Un plugin es un tercero que tiene acceso completo a tu sitio. Cada uno que instalás es un acto de confianza. Elegí bien en quién confiás.