Plugins de WordPress desactualizados: qué actualizar primero y qué borrar

WordPress en sí está bastante bien cuidado. Una gran comunidad trabaja en él, las correcciones de seguridad salen rápido y las actualizaciones menores se instalan solas desde hace años. El punto débil son los plugins.

Cada plugin es un trozo de código escrito por otra persona. A veces por una gran empresa con su propio equipo de seguridad, a veces por una sola persona que dejó de trabajar en él hace varios años. El sitio de una empresa típica tiene una docena o más, y una tienda a menudo más todavía. Basta con que uno tenga un agujero.

Por qué los plugins son la vía de entrada más habitual

Las empresas que se dedican a seguir las vulnerabilidades de WordPress, como Patchstack y Wordfence, publican resúmenes anuales. El panorama es casi siempre el mismo: la gran mayoría de las vulnerabilidades nuevas están en plugins, menos en temas, y el núcleo de WordPress es una pequeña fracción.

El mecanismo es sencillo. El autor de un plugin se entera de un agujero y publica una versión corregida. Las notas de la versión son públicas, y el código también. Alguien que busca objetivos fáciles compara la versión antigua con la nueva, ve qué se corrigió y escribe un script que busca sitios que siguen con la versión anterior a la corrección. Un sitio que actualizó el plugin está a salvo. Uno que lo deja seis meses acaba en la lista.

Nadie apunta a su empresa en particular. Los bots revisan sitios en masa y se quedan con los que les dejan entrar.

Cómo ver qué está desactualizado

Inicie sesión en el panel y abra Escritorio > Actualizaciones. Arriba verá su versión de WordPress y, debajo, una lista de plugins y temas con versiones más nuevas disponibles. La insignia roja con un número junto a Plugins en el menú de la izquierda indica cuántos esperan.

En la página Plugins, cada plugin desactualizado tiene bajo su nombre una barra que dice que hay una nueva versión disponible, con un enlace a los detalles. Haga clic. En el registro de cambios, los autores suelen decir claramente que corrigieron un problema de seguridad.

Eche también un vistazo a Herramientas > Salud del sitio. WordPress señala ahí por sí mismo algunos problemas, como plugins inactivos que debería eliminar o una versión de PHP antigua en el servidor.

Una trampa: que no haya aviso de actualización no significa que un plugin esté al día. Los plugins de pago comprados fuera del directorio oficial suelen actualizarse solo con una licencia válida. Los plugins incluidos con un tema a menudo esperan a que el autor del tema publique una nueva versión. Si la licencia caducó hace tres años, el panel puede no mostrar nada preocupante mientras el plugin lleva tres años sin moverse. Pregunte a quien hizo el sitio si hay plugins así.

Qué actualizar primero

Si hay muchas actualizaciones pendientes, no pulse sin más «actualizar todo» confiando en la suerte. Un orden con sentido:

1. Los plugins cuyo registro de cambios menciona «security» o nombra un tipo de vulnerabilidad, como XSS o inyección SQL.
2. Los plugins con los que interactúan directamente sus visitantes: formularios, la tienda, el inicio de sesión y el registro, la subida de archivos, los maquetadores de páginas.
3. El propio WordPress, si va una versión mayor entera por detrás.
4. El tema y el resto de los plugins.

Si algo no se puede actualizar porque la nueva versión necesita un PHP o un WordPress más reciente, eso también le dice algo. Todo el sitio se ha quedado atrás, y una revisión a fondo le servirá más que ir parcheándolo pieza a pieza.

Qué borrar en lugar de actualizar

Un plugin desactivado sigue en su servidor. A sus archivos a menudo se puede acceder directamente, sin pasar por el panel, así que un agujero en un plugin inactivo sigue siendo un agujero. Si no usa algo, desactívelo y haga clic en Borrar. Desactivarlo no basta.

El segundo grupo son los plugins abandonados. Abra la página del plugin en el directorio de wordpress.org y compruebe cuándo se actualizó por última vez. Si no se ha probado con las tres últimas versiones mayores de WordPress, el directorio muestra sobre la descripción un aviso claro de que puede que ya no tenga mantenimiento. Si el plugin se ha cerrado, verá un aviso de que ya no se puede descargar. A veces el motivo del cierre es un problema de seguridad que nunca se corrigió.

Un plugin así hay que sustituirlo por otro que siga teniendo mantenimiento. Antes de cambiarlo, anote qué hacía, para poder comprobar después que todo sigue funcionando como antes.

Haga una copia de seguridad antes de actualizar

La mayoría de las actualizaciones pasan sin que nadie lo note. Pero de vez en cuando una versión nueva choca con el tema o con otro plugin, y en lugar de su sitio aparece una pantalla en blanco o un mensaje de error crítico. WordPress envía entonces al administrador un correo con una descripción del problema y un enlace al modo de recuperación, pero es mejor no necesitarlo.

Así que antes de cualquier ronda de actualizaciones más grande:

• haga una copia completa de los archivos y de la base de datos, guardada fuera del servidor (el artículo sobre copias de seguridad olvidadas explica por qué no en la carpeta del sitio),
• actualice un plugin cada vez y, después de cada uno, revise la página de inicio, el formulario de contacto y, en una tienda, el carrito y el pago,
• haga las actualizaciones grandes de la tienda fuera de sus horas de más actividad,
• si su proveedor de alojamiento ofrece una copia de prueba del sitio, llamada staging, pruebe primero la actualización ahí.

Actualizaciones automáticas: sí o no

Desde la versión 5.5, WordPress permite activar las actualizaciones automáticas de cada plugin por separado. En la página Plugins cada entrada tiene un enlace Activar actualizaciones automáticas.

La ventaja es evidente: una corrección de seguridad se instala sola sin esperar a que alguien encuentre tiempo. Tras cada actualización automática, WordPress envía al administrador un correo con una nota de lo que cambió.

El inconveniente es igual de claro. Si una actualización rompe algo, puede pasar de noche o en fin de semana, cuando nadie está mirando.

Un término medio razonable para una pequeña empresa es este:

• los plugins pequeños y sencillos de autores fiables se actualizan solos,
• la tienda, el maquetador de páginas y todo aquello de lo que dependen sus pedidos se actualizan a mano, pero con regularidad, por ejemplo una vez por semana, con una copia de seguridad antes,
• los plugins que no se usan y los abandonados salen del sitio.

La peor opción son las actualizaciones manuales que nadie llega a hacer. Si no está seguro de que alguien abra el panel cada semana, las actualizaciones automáticas son un riesgo menor que unos plugins sin tocar durante un año.