Plugins abandonados o retirados del repositorio: el riesgo que nadie mira

Respuesta corta: un plugin retirado es uno que WordPress.org ha cerrado (por un fallo de seguridad, por petición del autor o por incumplir sus normas para plugins) y ya no se puede descargar ni recibe actualizaciones. Uno abandonado sigue disponible, pero nadie lo actualiza desde hace meses. WordPress no te avisa de ninguno de los dos. Compruébalo con la API de WordPress.org y sustitúyelos antes de que alguien encuentre un fallo que ya nadie va a corregir.

Las vulnerabilidades de plugins tienen mucha atención. Los plugins abandonados, casi ninguna, y son el siguiente fallo esperando a que lo descubran. Esta guía forma parte de nuestra guía sobre qué hacer con un WordPress hackeado y complementa la de plugins vulnerables.

Plugins abandonados o retirados: qué significa cada cosa

Retirado (cerrado en WordPress.org)

El equipo de plugins de WordPress.org puede cerrar un plugin. Desde ese momento desaparece del buscador del repositorio, no se puede descargar y no publica más versiones. En su ficha aparece que está cerrado y, en muchos casos, el motivo:

• Problema de seguridad: tiene un fallo sin corregir. Es el caso grave.
• Petición del autor: el autor ha dejado de mantenerlo.
• Incumplimiento de las normas del repositorio, o de licencias o marcas.
• Integrado en el núcleo: WordPress ya hace lo mismo.
• Sin uso.

Lo peor es que, si ya lo tenías instalado, sigue funcionando como si nada. El escritorio de WordPress no muestra ningún aviso: simplemente, nunca vuelve a haber una actualización.

Un ejemplo conocido es Contact Form DB (contact-form-7-to-database-extension), que muchas webs usaban para guardar los envíos de Contact Form 7 y que ya no está disponible en el repositorio. Flamingo, del mismo autor que Contact Form 7, hace esa función.

Abandonado

El plugin sigue en el repositorio, pero lleva mucho tiempo sin actualizaciones. WordPress.org muestra en la ficha avisos como que no se ha probado con las tres últimas versiones principales de WordPress o que no se actualiza desde hace años. No es un fallo en sí, pero significa que:

• Si mañana se publica una vulnerabilidad, probablemente nadie la corrija.
• Cada actualización de WordPress o de PHP puede romperlo.

Con los plugins de pago pasa lo mismo, con un matiz: si la licencia está caducada, WordPress no te enseña sus actualizaciones, así que el plugin puede estar «abandonado» en tu web aunque el fabricante siga publicando versiones.

No todo plugin sin actualizar es un problema. Un plugin pequeño que hace una sola cosa puede estar bien durante mucho tiempo. Lo que importa es si alguien lo corregiría si apareciera un fallo.

Cómo saber si te pasa

1. Lista tus plugins

wp plugin list --fields=name,status,version,update_version

2. Pregunta a WordPress.org por cada uno

La API pública del repositorio te dice si el plugin está cerrado, cuándo se actualizó por última vez y hasta qué versión de WordPress se ha probado:

for p in $(wp plugin list --field=name); do
  printf "%s: " "$p"
  curl -sg "https://api.wordpress.org/plugins/info/1.2/?action=plugin_information&request[slug]=$p&request[fields][sections]=0" \
    | jq -r 'if .error then "ERROR: " + .error else "actualizado " + .last_updated + " | probado hasta " + (.tested // "?") end'
done

Cómo leer el resultado:

La opción -g de curl es necesaria para que no interprete los corchetes de la URL.

3. Revisa los de pago

Para cada plugin que no sea del repositorio, compara tu versión con la última del registro de cambios del fabricante y comprueba que la licencia sigue activa.

Qué hacer, paso a paso

1. Clasifica: retirados por seguridad primero, luego el resto de retirados, luego abandonados en funciones importantes (formularios, tienda, usuarios, seguridad).
2. Si está retirado por un fallo de seguridad, trátalo como un plugin vulnerable sin parche: desactívalo ya si puedes, y si no, protégelo con una regla de cortafuegos mientras lo sustituyes. Revisa además si hay indicios de intrusión.
3. Busca un sustituto que esté mantenido: actualizado en el último año, con muchas instalaciones activas (10.000 o más es una buena referencia), buena valoración y probado con tu versión de WordPress.
4. Migra los datos si el plugin guardaba información (envíos de formularios, redirecciones, ajustes). Expórtalos antes de quitarlo.
5. Prueba en una copia de la web si puedes, o al menos haz copia de seguridad antes del cambio.
6. Desactiva y borra el plugin viejo. Que siga instalado aunque esté desactivado mantiene sus ficheros en el servidor.

wp db export ../antes-de-sustituir.sql
wp plugin install flamingo --activate
wp plugin deactivate contact-form-7-to-database-extension
wp plugin delete contact-form-7-to-database-extension

Es solo un ejemplo con el caso de Contact Form DB: exporta antes los envíos que quieras conservar, porque Flamingo no importa los antiguos.

Errores habituales

• Pensar que si funciona, está bien. Un plugin cerrado funciona igual el día que lo cierran que el día que lo explotan.
• Esperar a que WordPress avise. No avisa de plugins cerrados.
• Cambiar a una copia «mantenida» por cualquiera. Un fork de un plugin cerrado puede estar bien, pero comprueba quién está detrás y desde cuándo.
• Dejar caducar licencias de plugins de pago críticos sin darte cuenta de que se han quedado sin actualizaciones.
• Quitar el plugin sin exportar sus datos.

Cómo evitar que vuelva

• Antes de instalar un plugin, mira su ficha: última actualización, instalaciones activas, versión probada y foro de soporte.
• Menos plugins es menos riesgo. Si algo se resuelve con unas líneas en el tema o con una función del núcleo, mejor.
• Revisa la cartera de plugins de cada web al menos cada trimestre.

Para agencias: la cartera de plugins abandonados de todas tus webs

Revisar a mano qué plugins de cada web están retirados o abandonados no escala. Con el plugin de Jeffrey instalado, cada web envía su lista de plugins y temas, y Jeffrey consulta la ficha de cada uno en WordPress.org:

• Retirado del repositorio: abre un aviso con el motivo del cierre. Si lo cerraron por un fallo de seguridad, el aviso es crítico.
• Abandonado: plugin de WordPress.org sin actualizaciones desde hace más de 6 meses, o plugin de pago que lleva más de 6 meses con la misma versión en tu web. Queda como aviso informativo con la lista de plugins afectados.
• Desfasado: probado con WordPress tres o más versiones principales por detrás. Se muestra como dato, sin aviso.

Para los retirados y abandonados, Jeffrey sugiere sustitutos que cumplan unos mínimos: 10.000 instalaciones o más, actualizados en el último año y con buena valoración. Y en el panel tienes la cartera de plugins abandonados de todas tus webs juntas, para planificar sustituciones de una vez; si sabes que un plugin es estable y no necesita cambios, puedes marcarlo así.

Jeffrey no analiza los ficheros del servidor en busca de malware: te dice qué plugins se han quedado sin mantenimiento para que los cambies antes de que sean un problema.

Preguntas frecuentes