La mayoría de webs de WordPress que se infectan no lo hacen por un ataque sofisticado. Lo hacen por un plugin que alguien instaló hace tres años, dejó de usarse y nadie ha vuelto a mirar.
Un plugin abandonado es aquel cuyo desarrollador ya no lo mantiene: no publica actualizaciones, no corrige fallos y, sobre todo, no parchea las vulnerabilidades que se van descubriendo. Sigue funcionando, sigue en tu web, y cada mes que pasa es un poco más peligroso.
Por qué son el vector de ataque preferido
Cuando se descubre una vulnerabilidad en un plugin, se publica en bases de datos públicas. Eso es bueno: sirve para que la gente actualice. Pero también convierte esa lista en un catálogo de objetivos.
Los bots automatizados leen esas listas y escanean internet buscando webs que usen la versión vulnerable. No te eligen a ti: te encuentran. Y si el plugin está abandonado, no hay actualización que instalar. La puerta se queda abierta para siempre.
Cómo detectarlos en tu web
Señal 1: la fecha de última actualización
Es la comprobación más rápida. Ve a Escritorio → Plugins y para cada uno, pincha en “Ver detalles”. Fíjate en “Última actualización”.
Criterio orientativo:
- Menos de 6 meses: bien, se mantiene activamente
- Entre 6 y 12 meses: vigilar. Puede ser normal si es un plugin muy simple y estable
- Más de 12 meses: mala señal
- Más de 2 años: dalo por abandonado
Señal 2: el aviso de compatibilidad
En el repositorio de WordPress.org aparece un aviso claro cuando un plugin no se ha probado con las tres últimas versiones mayores de WordPress: “Este plugin no se ha probado con las últimas 3 versiones mayores de WordPress”.
Ese aviso es el equivalente a una luz naranja en el salpicadero.
Señal 3: desaparecido del repositorio
La peor de todas. Si buscas el plugin en WordPress.org y no aparece, puede que lo hayan retirado por un problema de seguridad grave.
Lo inquietante es que si ya lo tienes instalado, sigue funcionando y no recibes ningún aviso. Tu web sigue ejecutando código que WordPress.org consideró lo bastante peligroso como para retirarlo.
Señal 4: soporte sin responder
En la pestaña de soporte del plugin, mira los hilos abiertos. Si hay preguntas de hace meses sin una sola respuesta del desarrollador, no hay nadie al otro lado.
El otro problema: plugins que ni siquiera usas
Aquí va la parte incómoda. Abre tu lista de plugins y cuéntalos. Ahora responde con sinceridad: ¿cuántos de esos usas de verdad?
Es habitual encontrar instalaciones con veinte, treinta o más plugins, y que buena parte sean restos: el que se probó y no convenció, el que hacía falta para una campaña de hace dos años, el que instaló la agencia anterior y nadie sabe para qué es.
Cada plugin instalado es código que se ejecuta o que, como mínimo, está ahí. Y aquí hay un detalle que mucha gente desconoce: un plugin desactivado sigue siendo un riesgo. Sus archivos están en el servidor y algunas vulnerabilidades se pueden explotar sin que el plugin esté activo.
Desactivar no es suficiente. Si no lo usas, desinstálalo.
Cómo hacer la limpieza sin romper nada
Este es el orden sensato:
- Haz una copia de seguridad completa. Antes de tocar nada. Sin excepción
- Haz una lista de los plugins que quieres quitar y para qué servía cada uno
- Ve de uno en uno. Desactiva, revisa la web (portada, una página interior, un formulario, la tienda si la tienes), y si todo va bien, desinstala
- Espera unos días antes de seguir con el siguiente si el plugin era importante. Algunos fallos solo se notan en situaciones concretas
- Revisa que no queden restos: algunos plugins dejan tablas en la base de datos y opciones que siguen cargándose en cada visita
Cuidado especialmente con los que puedan estar afectando al contenido: constructores de páginas, plugins de campos personalizados, de formularios o de SEO. Desinstalar uno de esos sin comprobar puede dejarte páginas rotas o perder datos.
Y si el plugin abandonado hace algo que necesitas
Pasa a menudo, y no siempre hay una alternativa evidente. Las opciones, por orden de preferencia:
- Buscar un sustituto mantenido. Casi siempre existe
- Comprobar si WordPress ya lo hace de serie. Muchas funciones que antes requerían plugin ahora están integradas
- Valorar si de verdad lo necesitas. A veces la funcionalidad ya no aporta lo que aportaba
Quedarse con un plugin abandonado “porque funciona” es una decisión legítima solo si es consciente y temporal, con un plan para sustituirlo.
Que no vuelva a acumularse
Lo de arriba es una limpieza puntual. Para que no se repita, basta con revisar cada pocos meses: cuántos plugins hay, cuáles llevan tiempo sin actualizarse y cuáles ya no se usan.
Es una tarea de veinte minutos que casi nadie hace, porque no es urgente hasta el día que lo es. En nuestro servicio de mantenimiento es parte de la revisión periódica: si detectamos un plugin abandonado o una vulnerabilidad conocida, avisamos y proponemos alternativa antes de que sea un problema.
Pero aunque lo lleves tú, dedícale ese rato. Es de las revisiones con mejor relación entre esfuerzo y riesgo evitado.
¿Prefieres que lo revisemos nosotros? Echa un vistazo a nuestro servicio de mantenimiento WordPress o cuéntanos qué necesita tu web y te respondemos en menos de 24 horas.
¿Quieres aplicar esto en tu negocio? Mira cómo lo hacemos en mantenimiento y seguridad WordPress (WP Shield), o cuéntanos tu caso y te respondemos en 24-48 horas laborables.