Instalar un plugin en WordPress resulta demasiado fácil.
Buscas una función, encuentras una extensión gratuita, pulsas «Instalar ahora», la activas y, en segundos, has añadido miles de líneas de código a una web que puede almacenar clientes, formularios, pedidos, datos personales o credenciales.
La inteligencia artificial está haciendo todavía más fácil el paso anterior: crear ese plugin.
Hoy alguien con conocimientos técnicos limitados puede describir una función a una IA, generar PHP, JavaScript y CSS, empaquetarlo como plugin y publicarlo en muy poco tiempo.
Eso tiene un lado positivo. Crear herramientas pequeñas, automatizar tareas o desarrollar funcionalidades personalizadas es mucho más accesible.
Pero también está apareciendo un efecto secundario: la barrera para publicar software ha bajado mucho más rápido que la barrera para mantenerlo correctamente.
La discusión ha llegado a la propia comunidad.
A comienzos de agosto de 2026, un hilo de r/Wordpress llamó la atención sobre un fuerte aumento de plugins gratuitos enviados al repositorio oficial. Su autor señala que el volumen observado sería entre dos y dos veces y media superior al de seis meses antes y utiliza como ejemplo la existencia de al menos once plugins diferentes para implementar una misma función relacionada con el botón europeo de retirada del consentimiento.
Es importante poner ese dato en contexto: se trata de una observación compartida en Reddit, no de una estadística oficial publicada por WordPress.org.
Pero el debate que ha generado resulta más interesante que la cifra.
Varios desarrolladores señalan el mismo problema: utilizar IA para programar no es necesariamente malo; lo preocupante es que ahora resulta mucho más sencillo publicar un plugin sin comprender suficientemente WordPress, seguridad, compatibilidad o mantenimiento a largo plazo.
WordPress ya venía moviéndose en esta dirección. La propia plataforma lleva tiempo experimentando con herramientas como Telex, capaz de generar bloques mediante lenguaje natural, y el ecosistema contaba ya con cientos de plugins relacionados con IA. Incluso en estas iniciativas más controladas se recomienda probar el código generado y revisar seguridad, compatibilidad y rendimiento antes de llevarlo a producción.
La IA está democratizando el desarrollo.
También está democratizando la posibilidad de desarrollar mal.
Conviene evitar una conclusión demasiado sencilla:
«Plugin generado con IA = plugin inseguro».
No funciona así.
Un desarrollador experimentado puede utilizar IA para escribir una parte del código, revisarlo, probarlo, auditarlo y mantenerlo durante años.
Y un desarrollador humano puede escribir desde cero un plugin lleno de vulnerabilidades.
La diferencia está en el proceso.
Un plugin fiable necesita bastante más que código que aparentemente funcione:
Una IA puede ayudar en muchas de esas tareas.
Lo que no hace automáticamente es garantizar que alguien haya realizado todas ellas.
Este fenómeno llega además en un momento especialmente delicado para el ecosistema.
Patchstack registró 11.334 nuevas vulnerabilidades en WordPress durante 2025, un 42 % más que en 2024. El 91 % estaba localizado en plugins y solo seis vulnerabilidades afectaron al propio núcleo de WordPress.
De ellas, 1.966 presentaban una severidad alta y podían ser susceptibles de explotación automatizada a gran escala.
Estos datos no significan que WordPress sea inherentemente inseguro.
Significan algo más útil: gran parte del riesgo está en todo lo que añadimos alrededor del núcleo.
Cada plugin incorpora potencialmente:
En por qué tu hosting no es todo tu equipo de seguridad explicamos precisamente esta diferencia: un buen servidor puede bloquear muchas amenazas genéricas, pero no puede corregir automáticamente toda vulnerabilidad lógica introducida por un plugin.
Y en nuestra guía sobre mantenimiento WordPress en 2026 analizamos por qué cuantos más componentes incorpora una web, más importante resulta controlar su mantenimiento.
La mayoría de los problemas no serán espectaculares.
El plugin probablemente se instalará.
Mostrará su pantalla de configuración.
Realizará aparentemente la función prometida.
Eso no demuestra que esté bien desarrollado.
WordPress dispone de un sistema de capacidades para decidir qué puede hacer cada usuario.
Un plugin mal diseñado puede permitir que una función destinada exclusivamente a administradores también pueda ejecutarse desde cuentas con menos privilegios.
Ese tipo de errores de control de acceso aparece de forma recurrente entre las vulnerabilidades de WordPress. Patchstack situó el Broken Access Control entre las categorías más frecuentes encontradas en 2025.
Formularios, URLs, peticiones AJAX y APIs reciben información desde el exterior.
Si el plugin confía directamente en esos datos pueden aparecer problemas como:
En los datos de Patchstack correspondientes a 2025, XSS fue la categoría más frecuente, seguida por otros fallos entre los que aparecen control de acceso, CSRF y SQL Injection.
Seguridad y rendimiento son problemas distintos.
Un plugin puede ser seguro y estar terriblemente optimizado.
Puede:
Una función aparentemente pequeña puede terminar ralentizando toda la web.
Ese problema conecta directamente con algo que explicamos en mantenimiento WordPress y SEO técnico: rendimiento, estabilidad y errores técnicos afectan también a la experiencia de usuario y a lo que Google puede rastrear.
WordPress no funciona en aislamiento.
Una web profesional puede combinar WooCommerce, un constructor visual, SEO, formularios, caché, seguridad, analítica, cookies, idiomas y desarrollos personalizados.
Un plugin nuevo debe convivir con todo eso.
Un proyecto generado rápidamente puede funcionar perfectamente en la instalación donde fue creado y romperse cuando coincide con:
Por eso «funciona en mi WordPress» no equivale a «está listo para distribuirse».
Hay una diferencia enorme entre crear software y mantener software.
Esta es probablemente una de las consecuencias más interesantes de la proliferación de plugins generados con IA.
Crear la primera versión se ha vuelto barato.
Mantenerla no.
Un plugin necesita vigilancia porque:
En el debate de Reddit, varios participantes apuntan precisamente al riesgo de que aparezca una gran cantidad de abandonware: extensiones creadas rápidamente que dejan de recibir actualizaciones cuando desaparece el entusiasmo inicial.
Y este problema no es teórico.
Patchstack encontró que el 46 % de las vulnerabilidades divulgadas en 2025 no habían recibido una corrección del desarrollador a tiempo para su publicación pública.
Por eso la pregunta importante no es:
«¿Funciona este plugin hoy?»
Sino:
«¿Quién responderá por él dentro de dos años?»
No existe un detector infalible de plugins malos.
Pero sí hay indicadores que justifican investigar un poco más.
Ser nuevo no significa ser malo.
Pero tampoco tiene todavía historial.
Si la funcionalidad no es urgente, esperar permite observar:
La recomendación aparecía también en la discusión de la comunidad: ser conservador con productos completamente nuevos y comprobar meses después si realmente han evolucionado.
Revisa:
No es necesario que exista una gran empresa detrás.
Muchos de los mejores proyectos de código abierto están mantenidos por equipos pequeños.
La cuestión es saber si hay alguien responsable.
Un historial como:
aporta muy poca información.
Un changelog detallado permite entender:
Desconfía de expresiones como:
Un plugin puede solucionar una función concreta.
Cuanto más gigantesca sea la promesa, más conviene comprobar qué hace realmente.
Este es probablemente el problema más habitual.
No necesitas un plugin nuevo simplemente porque haga algo útil.
La pregunta es si ya tienes esa función cubierta.
Un WordPress termina acumulando extensiones porque cada una parecía razonable individualmente.
El resultado puede ser:
En nuestra guía sobre actualizar WordPress por seguridad insistimos en una regla sencilla: eliminar extensiones y temas que no sean necesarios reduce código y simplifica el mantenimiento.
La reputación importa, pero no hay que convertirla en falsa seguridad.
Plugins muy populares también sufren vulnerabilidades.
De hecho, una extensión con cientos de miles de instalaciones puede resultar especialmente atractiva para un atacante: descubrir un fallo permite potencialmente atacar muchísimas webs.
Por tanto, las instalaciones activas son una señal positiva de madurez, pero deberían combinarse con:
Incluso Patchstack señala que los plugins premium no son automáticamente más seguros: durante 2025 encontró vulnerabilidades graves también en componentes comerciales, algunos con menor escrutinio público precisamente porque su código resulta menos accesible a investigadores.
La conclusión correcta no es «gratis malo, premium bueno».
Es software mantenido y revisado frente a software sin garantías suficientes.
A veces aparece una cifra mágica:
«Nunca instales más de 20 plugins».
No existe.
Una web con treinta plugins pequeños y bien mantenidos puede funcionar perfectamente.
Otra con ocho extensiones pesadas, duplicadas o defectuosas puede ser un desastre.
El número importa porque cada componente añade algo que:
Por eso el objetivo no debe ser alcanzar un número arbitrariamente bajo.
Debe ser tener únicamente los plugins que justifican su presencia.
Antes de instalar uno nuevo, hazte tres preguntas:
Si la respuesta a cualquiera de ellas no está clara, probablemente todavía no necesitas instalarlo.
La web que genera clientes no debería ser el entorno de pruebas.
Crea una copia independiente y prueba allí el plugin.
Especialmente si afecta a:
La producción debería recibir cambios que ya han sido comprobados.
No confíes únicamente en que «parece igual de rápida».
Comprueba:
Un plugin puede no romper nada visible y añadir medio segundo a todas tus páginas.
Después de activarlo:
En mantenimiento WordPress en 2026 explicamos por qué actualizar o instalar componentes debería incluir pruebas posteriores, no limitarse a comprobar que la portada sigue visible.
Todo esto no implica evitar la inteligencia artificial.
Sería absurdo.
La IA está resultando especialmente útil para:
En nuestra guía sobre cómo utilizar IA en WordPress defendemos precisamente un uso progresivo: empezar por tareas de menor riesgo y aumentar la automatización cuando el proceso ya está controlado.
La diferencia está en quién conserva el control.
Un profesional pide código a la IA.
Después:
Eso es programación asistida.
El usuario pide:
«Hazme un plugin de WordPress que gestione mis clientes».
Descarga un ZIP.
Lo instala directamente en producción.
No sabe qué datos almacena, qué permisos utiliza, qué llamadas realiza ni qué ocurrirá cuando algo falle.
Ahí cambia completamente el nivel de riesgo.
Incluso herramientas experimentales impulsadas desde el propio ecosistema WordPress, como Telex, recomiendan verificar el resultado y probarlo en entornos aislados antes de utilizarlo en producción.
Existe además otro aspecto diferente de la calidad del código: los datos.
Un plugin conectado con un modelo de IA puede enviar información hacia servicios externos.
Dependiendo de su función, puede procesar:
Antes de instalarlo conviene saber:
Una política de privacidad clara debería pesar tanto como las estrellas del repositorio.
No tendría problema en utilizar uno cuando reúna condiciones razonables:
Especialmente si resuelve un problema real como:
El criterio debe ser el mismo que para cualquier otra extensión.
La palabra «IA» no debería dar confianza adicional ni provocar rechazo automático.
Para una pyme, revisar todo esto puede acabar siendo otro trabajo más.
Ahí es donde un mantenimiento profesional aporta algo más que pulsar «Actualizar».
Podemos revisar el stack actual para identificar:
El resultado no consiste necesariamente en borrar muchos plugins.
Consiste en saber por qué está instalado cada uno.
En una web empresarial debería estar claro:
Esto reduce mucho el clásico problema de descubrir meses después un plugin que alguien instaló «solo para probar».
También podemos diseñar formas de aprovechar IA manteniendo separado lo que no necesita ejecutarse dentro del CMS.
Por ejemplo, generar o revisar contenidos externamente y publicar después el resultado puede ser mucho más sencillo que instalar permanentemente un plugin que conecta cada página con servicios de terceros.
Cuando una integración sí necesita residir en WordPress, se puede evaluar:
El problema de los nuevos plugins generados con IA no es que una máquina haya escrito PHP.
El problema aparece cuando confundimos generar código con desarrollar software.
La IA ha reducido radicalmente el coste de producir una primera versión.
No ha eliminado la necesidad de:
Para una web experimental, probar puede ser parte del juego.
Para una web que representa a una empresa, capta clientes o procesa pedidos, el criterio debe ser distinto.
Antes de añadir otro plugin porque es nuevo, gratuito y promete automatizar algo con IA, merece la pena hacerse una pregunta bastante menos emocionante:
¿quién va a hacerse responsable de este código cuando deje de funcionar?
Si no conoces la respuesta, quizá el problema no sea encontrar otro plugin.
Quizá sea revisar los que ya tienes.
En Arreglo tu Web podemos auditar tu instalación, detectar extensiones innecesarias o de riesgo y dejar un stack más sencillo, mantenible y preparado para utilizar IA donde realmente aporta valor.
