Plugins abandonados: cómo detectarlos y reemplazarlos

Un plugin abandonado en WordPress es el que dejó de recibir actualizaciones y soporte de su autor. Se detecta con cuatro señales: el aviso de WordPress.org de que «no ha sido probado con las últimas 3 versiones mayores», el aviso rojo de plugin cerrado, más de un año sin actualizaciones y un foro de soporte donde nadie responde. Si encuentras uno en tu web, la regla es simple: si no lo necesitas, elimínalo; si cumple una función importante, reemplázalo en un entorno de pruebas antes de que una falla de seguridad lo haga por ti.

El riesgo no es teórico. Según el informe State of WordPress Security in 2026 de Patchstack, el 91 % de las 11,334 vulnerabilidades nuevas reportadas en 2025 en el ecosistema WordPress estaba en plugins, y el 46 % no tenía parche cuando se hizo pública. En un plugin abandonado, ese parche no llega nunca. En esta guía te explicamos cómo auditar tus plugins en media hora, cómo leer cada señal y cómo reemplazar uno sin romper la web.

Actualizado: octubre de 2026

Lo esencial

• Un plugin sin mantenimiento acumula fallas que nadie corrige y deja de ser compatible con WordPress y PHP nuevos.
• El aviso amarillo de WordPress.org aparece cuando el plugin no declara compatibilidad con las últimas 3 versiones mayores de WordPress.
• El aviso rojo indica que el plugin fue cerrado; uno de los cinco motivos posibles es un problema de seguridad.
• Más de 12 meses sin actualizaciones es un buen criterio práctico para revisar con lupa, aunque no siempre significa abandono.
• Reemplaza siempre en staging, con copia de seguridad, y busca los shortcodes o datos que el plugin dejó en tu contenido.
• Menos plugins es menos riesgo: cada uno que eliminas es una puerta menos que vigilar.

Por qué un plugin abandonado es un problema de seguridad (y de estabilidad)

Un plugin es código de un tercero que corre con los mismos permisos que tu WordPress. Mientras el autor lo mantiene, cuando alguien descubre una falla, él publica una corrección y tú actualizas. Cuando el autor se va, la falla queda abierta para siempre. Y como las vulnerabilidades se publican en bases de datos abiertas, los atacantes saben exactamente qué buscar.

El segundo problema es la compatibilidad. WordPress publica versiones mayores varias veces al año (la 7.0 salió en mayo de 2026, la 7.1 en agosto y la 7.2 está en beta), y los hostings van subiendo la versión de PHP. Un plugin que nadie actualiza termina generando errores, advertencias o directamente un error crítico tras una actualización. Muchas «pantallas blancas» empiezan así. Si te pasó al cambiar de PHP, revisa cómo actualizar PHP sin romper WordPress.

Ojo con un matiz: que un plugin no se actualice no siempre significa que esté abandonado. Un plugin muy simple puede funcionar años sin cambios. Por eso no basta con mirar la fecha: hay que combinar señales.

Las señales de un plugin abandonado y cómo leerlas

Los avisos amarillo y rojo están descritos en la documentación oficial de alertas del directorio de plugins. El amarillo depende de que el autor actualice el campo «Probado hasta» en su ficha; un autor activo puede olvidarlo, pero que pasen tres versiones mayores sin tocarlo dice bastante sobre su atención.

Cómo auditar tus plugins en 30 minutos

1. Saca la lista completa

Entra a Plugins → Plugins instalados y anota todos, activos e inactivos. Los inactivos también cuentan: su código sigue en el servidor y, en algunos casos, se puede atacar aunque no esté activo. Otra vía rápida es Herramientas → Salud del sitio → Información, donde aparece el listado con versiones. Si usas WP-CLI, el comando wp plugin list te da nombre, estado, versión y si hay actualización disponible.

2. Revisa cada plugin en su ficha oficial

Para cada plugin gratuito, abre su página en WordPress.org y anota: última actualización, versión de WordPress con la que fue probado, si tiene aviso amarillo o rojo, instalaciones activas y el estado del foro de soporte (cuántas consultas resueltas en los últimos dos meses). Si un plugin no aparece al buscarlo en el directorio, puede haber sido cerrado o ser un plugin premium o hecho a medida.

3. Revisa aparte los plugins premium

Los plugins de pago no tienen ficha en WordPress.org. Revisa el registro de cambios en la web del fabricante, la fecha de la última versión y si tu licencia sigue vigente. Un plugin premium con la licencia vencida tampoco recibe actualizaciones, aunque el fabricante siga activo: para tu web, es como si estuviera abandonado. Y si alguna vez descargaste un premium «gratis» de un sitio no oficial, lee plugins nulled y licencias GPL antes de seguir.

4. Cruza con alertas de vulnerabilidades

Si tienes un plugin de seguridad con escáner, revisa sus alertas: varios avisan cuando un plugin instalado fue retirado del directorio o lleva mucho tiempo sin actualizarse. Complementa con las fuentes que explicamos en cómo enterarte de las vulnerabilidades de plugins.

5. Clasifica en una hoja de cálculo

Las filas son un ejemplo ilustrativo de cómo llenar la hoja, no una evaluación de plugins reales.

Plugins cerrados: qué significa cada motivo

Cuando WordPress.org cierra un plugin, la ficha muestra un aviso rojo visible para todos. Según su documentación, los plugins cerrados después de enero de 2018 muestran la fecha de cierre y, pasados 60 días, el motivo. Hay cinco posibles:

• Petición del autor: el autor decidió retirarlo. No implica una falla, pero sí que no habrá más actualizaciones.
• Incumplimiento de las directrices: el plugin rompió alguna norma del directorio. Puede ser un tema menor o algo serio.
• Infracción de licencia o marca: código no compatible con la licencia GPL o uso indebido de una marca.
• Integrado en el núcleo: su función pasó a ser parte de WordPress. Puedes desinstalarlo y usar la función nativa.
• Problema de seguridad: el más urgente. Elimínalo o reemplázalo de inmediato.

Un detalle importante: durante los primeros 60 días no se ve el motivo. Si el plugin acaba de cerrarse, trátalo como si fuera por seguridad hasta saber más.

Si el plugin tiene una vulnerabilidad conocida sin parche

Es la situación más urgente. Si la función no es imprescindible, desactívalo y elimínalo hoy mismo. Si lo es, desactívalo de todos modos si puedes vivir unos días sin esa función, y avisa a tus clientes por otro canal (por ejemplo, que las cotizaciones se reciben por WhatsApp mientras tanto). Luego revisa si la web ya fue comprometida: usuarios administradores nuevos, archivos modificados recientemente o redirecciones extrañas. Si encuentras algo, cambia contraseñas y trata el caso como un incidente de seguridad, que también puede implicar obligaciones si se expusieron datos personales de clientes.

Eliminar, reemplazar o vigilar: cómo decidir

No todos los plugins sospechosos merecen el mismo tratamiento. Usa esta lógica:

1. ¿Lo necesitas de verdad? Si no, elimínalo. Es la decisión más barata y la más segura. Muchas webs tienen plugins de pruebas que nadie recuerda haber instalado.
2. ¿WordPress ya lo hace? Varias funciones que antes requerían plugins hoy vienen en el núcleo: el editor de bloques trae galerías, acordeones (bloque Detalles), iconos y migas de pan; los bloques se pueden ocultar por dispositivo desde WordPress 7.0. Revisa antes de buscar otro plugin.
3. ¿Es imprescindible y tiene señales graves? Reemplázalo pronto, con el proceso de la sección siguiente.
4. ¿Es imprescindible pero solo tiene señales leves? Mantenlo vigilado: anota una fecha de revisión, activa alertas y ten identificado un reemplazo por si acaso.

Cómo reemplazar un plugin sin romper la web

Paso a paso

1. Copia de seguridad completa (archivos y base de datos) guardada fuera del hosting.
2. Trabaja en staging. Si no tienes uno, sigue la guía de staging en WordPress.
3. Documenta qué hace el plugin viejo: en qué páginas aparece, qué ajustes tiene, qué correos envía, qué datos guarda.
4. Instala el reemplazo y configúralo para que haga lo mismo. Si guarda datos (formularios, reseñas, reservas), revisa si ofrece una herramienta de importación.
5. Busca los restos en el contenido. Muchos plugins insertan shortcodes entre corchetes en las páginas. Al desactivarlos, ese texto aparece tal cual a los visitantes. Búscalos y sustitúyelos.
6. Desactiva el viejo y recorre la web en celular y escritorio. Prueba formularios, pagos y cualquier flujo que dependiera de él.
7. Pasa a producción en un horario de poco tráfico y repite las pruebas.
8. Elimina el plugin viejo después de unos días sin problemas. Desactivarlo no basta: el código sigue en el servidor.

Si al cambiar algo falla y no sabes qué es, la técnica de aislamiento de conflictos de plugins te ayuda a encontrar el culpable.

Cómo elegir el reemplazo

• Actualizaciones recientes, idealmente en los últimos tres meses, y probado con la versión actual de WordPress.
• Soporte activo: que el autor responda en el foro y que la mayoría de consultas recientes estén resueltas.
• Base de usuarios: más instalaciones activas suele significar que las fallas se detectan y corrigen antes, aunque no es garantía.
• Un autor identificable: una empresa o desarrollador con web, historial y otros plugins mantenidos.
• Que haga solo lo que necesitas. Un plugin «todo en uno» para una sola función agrega código y riesgo innecesarios.

Casos frecuentes en webs de empresas peruanas

En auditorías de webs de MYPEs, estos tipos de plugin suelen aparecer desactualizados. Son ejemplos de categorías, no de plugins concretos:

• Sliders y carruseles instalados con el tema original hace años. Casi siempre se pueden eliminar o reemplazar con bloques nativos.
• Botones de WhatsApp y redes sociales de autores pequeños. Hay muchas alternativas mantenidas, o se puede resolver con un enlace bien diseñado.
• Libro de reclamaciones virtual resuelto con un plugin que nadie actualiza. Al ser una obligación ante Indecopi y manejar datos personales, conviene que la solución esté mantenida y funcione siempre.
• Integraciones de pasarelas de pago y facturación electrónica desarrolladas a medida años atrás. Si tocan pagos o comprobantes de SUNAT, revisa con el proveedor de la pasarela o del facturador si existe una versión oficial actualizada.
• Plugins de «optimización» y caché superpuestos. Dos o tres haciendo lo mismo, alguno abandonado. Quédate con uno.

Si no existe un reemplazo

A veces el plugin hace algo muy específico y no hay alternativa en el mercado. Tienes cuatro opciones, de menor a mayor costo:

1. Prescindir de la función o resolverla de otra manera (un formulario estándar, un enlace externo, un proceso manual).
2. Protegerte mientras decides: un firewall con reglas actualizadas o un servicio de parches virtuales puede bloquear la explotación de una falla conocida mientras buscas solución. Es un parche temporal, no una solución.
3. Adoptar el código: si el plugin es GPL, un desarrollador puede tomar el código, corregirlo y mantenerlo como plugin propio. Implica asumir su mantenimiento.
4. Desarrollo a medida: construir solo la parte que necesitas, con código revisado. Más caro al inicio, pero bajo tu control.

Cómo evitar que vuelva a pasar

La mejor auditoría es la que encuentra pocos problemas. Una política de plugins sencilla para tu empresa:

• Una persona responsable de aprobar qué plugins se instalan. No todos los administradores deberían poder hacerlo.
• Revisión trimestral de la lista con la hoja de cálculo de arriba. Inclúyela en tu checklist de mantenimiento.
• Proceso de actualización ordenado: respaldo, staging, producción. Lo detallamos en actualizaciones de WordPress sin romper.
• Eliminar lo que no se usa, en lugar de dejarlo desactivado «por si acaso».
• Registrar las licencias premium con fecha de renovación y quién las paga.

Revisar plugins no es la tarea más vistosa del marketing digital, pero es de las que más problemas evita. Si prefieres empezar con una web WordPress con pocos plugins, bien elegidos y mantenidos desde el lanzamiento, conoce nuestro servicio de diseño web en WordPress.

Preguntas frecuentes

¿Cuánto tiempo sin actualizaciones hace que un plugin se considere abandonado?

No hay un plazo oficial. Como criterio práctico, más de 12 meses sin actualizaciones merece una revisión, y si además el plugin muestra el aviso de que no fue probado con las últimas 3 versiones mayores de WordPress y su foro tiene consultas sin responder, lo más probable es que esté abandonado. Un plugin muy simple puede funcionar años sin cambios, por eso conviene combinar varias señales.

¿Basta con desactivar un plugin abandonado?

No. Un plugin desactivado no se ejecuta en condiciones normales, pero sus archivos siguen en el servidor y en algunos casos pueden ser accesibles o aprovechados por un atacante. Si no lo vas a usar, elimínalo desde el panel de plugins después de hacer una copia de seguridad. Antes de borrarlo, revisa si dejó shortcodes en tus páginas para reemplazarlos y que no se vean como texto suelto.

¿WordPress me avisa si un plugin que uso fue cerrado?

No siempre de forma clara en tu panel. El aviso rojo de cierre aparece en la página del plugin en WordPress.org, y simplemente dejarás de recibir actualizaciones. Algunos plugins de seguridad con escáner avisan cuando un plugin instalado fue retirado del directorio. Por eso es recomendable revisar periódicamente la ficha oficial de cada plugin o usar una herramienta de monitoreo que lo haga por ti.

¿Un plugin con muchas instalaciones activas puede estar abandonado?

Sí. El número de instalaciones refleja cuántas webs lo usan, no si el autor lo sigue manteniendo. Hay plugins con cientos de miles de instalaciones que llevan años sin cambios, porque las webs antiguas no los desinstalan. De hecho, un plugin popular y sin mantenimiento es un blanco atractivo para atacantes, porque una sola falla les abre muchas puertas. Revisa siempre la fecha de actualización y el soporte.

¿Qué hago si el plugin abandonado es el de mi pasarela de pago?

Trátalo como prioridad. Contacta a la pasarela, por ejemplo tu proveedor de pagos con tarjeta, para preguntar si tiene un plugin oficial actualizado para WooCommerce o un método de integración recomendado. Haz el cambio en staging, con pagos de prueba, y fuera de campañas de alta venta. Un plugin de pagos sin mantenimiento puede fallar al cobrar o exponer datos de tus clientes.