Un sitio WordPress nuevo necesita cubrir seis funciones con plugins: seguridad, SEO, velocidad, copias de seguridad, formularios y estadísticas; la tienda solo si vendes. Los doce de esta lista cubren esas funciones con opciones gratuitas del directorio oficial, pero no se instalan todos: varios hacen lo mismo y hay que elegir uno por categoría.
Cada ficha indica qué hace el plugin, cuántas instalaciones activas declara el directorio de WordPress.org a fecha del 27 de septiembre de 2026 y con qué otro de la lista se solapa. La versión vigente de WordPress es la 7.1.2; todos los plugins salvo uno declaran compatibilidad con la rama 7.1.
Parte del éxito de WordPress está en su catálogo de plugins, que permite añadir funciones sin programar. El riesgo es el contrario: instalar de más. Cada plugin añade peso, actualizaciones que vigilar y una puerta más que un atacante puede probar.
Criterios de esta lista
- Disponible en el directorio oficial de WordPress.org, con versión gratuita útil.
- Mantenido: compatible con la rama actual de WordPress y con actualizaciones recientes.
- Con base de usuarios amplia, lo que suele traducirse en errores detectados y corregidos rápido.
- Una función clara, para poder decidir si lo necesitas o no.
Seguridad
Really Simple Security (antes Really Simple SSL)
Activa HTTPS en todo el sitio, corrige las URL mixtas que dejan el candado roto y añade cabeceras de seguridad y protección del inicio de sesión. El plugin cambió de nombre en 2024; si lo conocías como Really Simple SSL, es el mismo. Más de 3 millones de instalaciones activas.
Se solapa con: Headers Security Advanced en las cabeceras y con Jetpack en la protección del acceso.
WPS Hide Login
Cambia la dirección de acceso al panel, que por defecto es tudominio.com/wp-admin, por la que tú elijas. No sustituye una contraseña fuerte ni la verificación en dos pasos, pero reduce los intentos automáticos. Más de 2 millones de instalaciones. Guarda la nueva dirección en un sitio seguro: si la olvidas, tendrás que desactivar el plugin por FTP.
Headers Security Advanced & HSTS WP
Añade las cabeceras HTTP de seguridad (HSTS, política de contenido, protección contra iframes) sin tocar el servidor. Más de 90 000 instalaciones. Es el único de la lista que a la fecha de esta revisión declara compatibilidad probada solo hasta WordPress 7.0.6; funciona, pero conviene comprobar que se actualice.
SEO
Yoast SEO
El más instalado de su categoría, con más de 10 millones de instalaciones. Gestiona títulos y descripciones, mapa del sitio, datos estructurados y análisis de legibilidad. Tienes la configuración paso a paso en cómo configurar Yoast SEO.
Rank Math SEO
Cubre lo mismo que Yoast y añade en su versión gratuita redirecciones, monitor de errores 404 y más control sobre el esquema. Más de 4 millones de instalaciones. La guía completa está en Rank Math SEO para WordPress.
Elige uno. Tener Yoast y Rank Math activos a la vez duplica metaetiquetas y datos estructurados, y los buscadores reciben señales contradictorias.
Velocidad
W3 Total Cache
Guarda una copia estática de las páginas para no generarlas desde cero en cada visita, y minimiza CSS y JavaScript. Más de 900 000 instalaciones. Tiene muchas opciones; activa primero solo la caché de páginas y mide antes de tocar el resto.
Se solapa con: la caché que ya incluyen muchos hostings. Si tu proveedor tiene caché propia, pregúntale antes de añadir otra capa.
Copias de seguridad
UpdraftPlus
Programa copias de archivos y base de datos y las envía a Google Drive, Dropbox u otro almacenamiento externo. Más de 4 millones de instalaciones. Es la base de nuestra guía de copias de seguridad con UpdraftPlus.
Se solapa con: las copias de Jetpack (de pago) y las del hosting. Tener dos sistemas de copia no está mal; tener ninguno probado, sí.
Spam y comentarios
Akismet Anti-spam
Filtra el spam de comentarios y de formularios antes de que llegue a tu bandeja. Más de 5 millones de instalaciones. Viene preinstalado con WordPress, pero hay que activarlo con una clave; el uso personal es gratuito y el comercial requiere plan.
Formularios
WPForms
Editor de formularios de arrastrar y soltar. La versión gratuita cubre el formulario de contacto habitual; pagos, encuestas y lógica condicional requieren la versión de pago. Más de 5 millones de instalaciones. Combínalo con Akismet o con un captcha para frenar los envíos automáticos.
Estadísticas
MonsterInsights (Google Analytics for WordPress)
Conecta Google Analytics y muestra un resumen dentro del panel de WordPress. Más de 2 millones de instalaciones. Si te manejas bien en la interfaz de Google Analytics, puedes insertar la etiqueta directamente y ahorrarte el plugin; si prefieres ver los datos sin salir de WordPress, este es el camino.
Jetpack
Paquete de Automattic con estadísticas propias, protección contra ataques de fuerza bruta, carga de imágenes desde su red y, en planes de pago, copias y seguridad avanzada. Más de 3 millones de instalaciones. Es útil si quieres cubrir varias necesidades básicas con un solo plugin; es pesado si solo quieres una de ellas.
Tienda
WooCommerce
Convierte WordPress en una tienda con catálogo, carrito, pagos e inventario. Más de 7 millones de instalaciones. Solo tiene sentido si vas a vender: añade tablas, páginas y scripts que un blog no necesita. Para pasarelas de pago en Perú revisa qué extensiones existen para tu banco o procesador antes de decidir.
Qué instalar según el tipo de sitio
| Sitio | Imprescindibles | Opcionales |
|---|---|---|
| Blog personal | Really Simple Security, Yoast o Rank Math, UpdraftPlus, Akismet | W3 Total Cache, WPS Hide Login |
| Web de negocio o servicios | Really Simple Security, Rank Math o Yoast, UpdraftPlus, WPForms | MonsterInsights, Headers Security, WPS Hide Login |
| Tienda online | WooCommerce, Really Simple Security, UpdraftPlus, Rank Math o Yoast | W3 Total Cache, Jetpack, MonsterInsights |
Reglas para no acumular plugins
- Uno por función. Un plugin de SEO, uno de caché, uno de copias. Los duplicados generan conflictos, no seguridad extra.
- Revisa la ficha antes de instalar: fecha de la última actualización, compatibilidad declarada con tu versión de WordPress y valoraciones recientes.
- Desinstala lo que desactivas. Un plugin inactivo sigue en el servidor y puede tener vulnerabilidades.
- Haz copia antes de actualizar versiones mayores de WordPress, del tema o de WooCommerce.
- Mide después de cada cambio. Si añades un plugin de velocidad y la web no carga más rápido, no lo necesitas.
Conclusión
Con cuatro o cinco plugins bien elegidos un sitio WordPress queda cubierto: Really Simple Security para HTTPS y accesos, Yoast o Rank Math para el SEO, UpdraftPlus para las copias, Akismet contra el spam y WPForms si necesitas un formulario. El resto se añade cuando aparece la necesidad, no antes. Si estás empezando, el orden de instalación está en la guía para crear un blog en WordPress.
Preguntas frecuentes
¿Cuántos plugins son demasiados?
No hay un número fijo. Importan la calidad, el mantenimiento y que no se solapen. Un sitio con quince plugins bien mantenidos funciona mejor que uno con ocho abandonados o duplicados.
¿Los plugins gratuitos son seguros?
Los del directorio oficial pasan una revisión inicial, pero la seguridad depende de mantenerlos actualizados: la mayoría de los ataques aprovechan versiones antiguas con fallos ya corregidos.
¿Necesito Yoast y Rank Math a la vez?
No. Cumplen la misma función y activarlos juntos provoca metaetiquetas duplicadas. Elige uno y, si cambias, usa la herramienta de importación del nuevo para no perder títulos y descripciones.
¿Qué pasa si mi hosting ya incluye caché y copias?
Entonces W3 Total Cache y UpdraftPlus pueden ser redundantes. Comprueba con tu proveedor qué cubre exactamente y, sobre todo, prueba a restaurar una copia antes de confiar en ella.
Fuentes consultadas
- Directorio oficial de plugins de WordPress, fichas de cada plugin consultadas el 27 de septiembre de 2026 para nombre, instalaciones activas y compatibilidad declarada.
- Descarga de WordPress (versión 7.1.2), consultada el 27 de septiembre de 2026.
Kodflux
Pagatu
Nebluxa
