Detectar y sustituir plugins de WordPress sin mantenimiento

Que WordPress no muestre actualizaciones pendientes no significa que todos sus componentes sigan mantenidos. Un plugin abandonado puede permanecer en su última versión aunque aparezcan fallos de seguridad o incompatibilidades.

Qué revisar en cada componente

En Plugins, abre Ver detalles cuando esté disponible y consulta la publicación oficial. Comprueba conjuntamente:

• Fecha y contenido de las últimas versiones.
• Compatibilidad declarada con WordPress y PHP.
• Actividad de soporte y respuesta a problemas de seguridad.
• Procedencia del paquete y quién publica sus actualizaciones.
• Avisos que afecten a la versión instalada.

No hay un plazo fijo que pruebe abandono. «No probado con tu versión» tampoco demuestra una vulnerabilidad. Un plugin comercial o privado puede actualizarse fuera de WordPress.org; revisa su licencia y canal de distribución antes de concluir que no recibe mantenimiento.

Decidir qué hacer

Si no lo necesitas, prepara su retirada y comprueba si guarda datos, genera shortcodes o deja tareas. Estar desactivado no elimina sus archivos del servidor.

Si es necesario y confirmas que no recibe correcciones, busca una alternativa o una adaptación mantenida. Prueba la sustitución en staging: formularios, contenido, pagos, tareas y datos históricos pueden depender de él. No elimines primero el plugin si su desinstalador puede borrar información que necesitas migrar.

Conserva una copia de archivos y base de datos y registra qué sustituyes y por qué. Ante una vulnerabilidad activa, limita la función expuesta mientras preparas la corrección; no esperes indefinidamente a una actualización sin responsable.

Revisarlo de forma periódica

Mantén un inventario pequeño de componentes, función, responsable y canal de actualización. Revisa también temas inactivos y extensiones privadas. La antigüedad ayuda a priorizar esta lectura, pero no permite atribuir por sí sola un incidente.

Si ya hay cambios no autorizados, sigue la limpieza de WordPress: sustituir el plugin sospechoso no demuestra que se haya eliminado toda la persistencia.