481 | Plugins abandonados: cómo detectar y gestionar el riesgo

En el episodio 481 de WordPress Semanal analizamos cómo identificar plugins abandonados en WordPress y qué medidas tomar para minimizar los riesgos de seguridad, compatibilidad y rendimiento en tu web. Vamos allá. Hola, hola, soy Gonzalo Navarro y Bienvenidos al episodio 481 de WordPress Semanal, el podcast en el que aprendes a crear y gestionar tus propias webs con WordPress en profundidad. Y hoy hablamos de los plugins abandonados, o mejor dicho, cómo detectar indicios de que un plugin está abandonado o puede llegar a estar abandonado. Cómo gestionar este riesgo. Porque en WordPress tenemos una cosa muy buena y es que hay un plugin para casi todo, es que casi cualquiera puede contribuir subiendo su plugin al directorio o incluso darte un plugin que ha desarrollado y compartirlo desde su web. Pero esto también entraña peligros, o mejor dicho, conlleva una responsabilidad por nuestra parte para analizar qué estamos instalando en nuestra web y no solo eso, sino después llevar un seguimiento. Entonces vamos a hablar de todo eso, de por qué es un problema esto, que ya te puedes hacer una idea de cómo detectar un plugin abandonado, qué opciones tenemos de qué hacer si lo detectamos y buenas prácticas para minimizar estos riesgos. En un momentito vamos con todo ello, pero antes, como siempre, novedades. ¿Qué está pasando en Gonzalo Navarro es esta semana? Pues tenemos nuevo vídeo de la zona código. Ya sabes que cada semana hay uno nuevo y son snippets de código que solo tienes que copiar y pegar. No tienes que saber código, ni ser desarrollador ni nada por el estilo, simplemente ves el vídeo, copias, pegas y lo tienes. Y en este caso te enseño a crear tablas de contenidos automáticas, es decir, índices de contenidos para tus entradas o si tienes un tipo de contenido personalizado, imagínate que se llama noticias o uno que se llama curso. Si tú vas publicando, pues en tus cursos lo tienes como dividido por encabezados y quieres que haya un índice de contenido al principio y funciona de tal forma que tú pulsas en uno de esos elementos del índice y te lleva a esa parte del contenido. Esto se puede hacer con plugins, esto se puede hacer con bloques específicos para el editor de Gutenberg que te vienen con, por ejemplo, Spectra y este tipo de plugins. Pero si prefieres ahorrarte esos plugins, si quieres hacerlo por código muy limpito, un código muy optimizado, muy chiquitito y dejarlo automatizado. Pues este es tu vídeo, así que ya te lo dejo en las notas del episodio. Recuerda que puedes acceder a ellas escribiendo en tu navegador Gonzalo es y el número del episodio, que en este caso es el 481. Así que Gonzalo Navarro es 481. Ahí verás también un enlace al curso de seguridad en WordPress porque va muy relacionado con lo que vamos a hablar hoy. También un enlace al curso de mantenimiento en WordPress, tanto si es para ti como si es para clientes. Ahí vemos varias opciones. Y luego un curso específico de Modular DS, que es un servicio en el que te das de alta y puedes llevar el mantenimiento de todas tus webs desde un único panel. También te voy a dejar el enlace a la newsletter de WordPress semanal o puedes ir a Gonzalo es lista y vas a ir directamente. Y si te gusta este podcast, te va a encantar la newsletter porque es un poco del estilo. Cada semana, pues vemos algo muy útil para los que utilizamos WordPress en el día a día e incluso te comparto descargas. Por ejemplo, en el último episodio del podcast hablé de cómo vale tu idea de negocio para una web de membresía. Pues a los miembros de la newsletter le envié un documento que puedes descargar o incluso rellenar desde tu ordenador. Todas esas preguntas que yo te recomiendo que te hagas para validar tu idea de negocio. Si te das de alta ahora en la newsletter y quieres este recurso, escríbeme, dime Gonzalo, me acabo de dar de alta, mándame el recurso del que hablas en el episodio de validar la idea de negocio o algo por el estilo. Simplemente con que me pongas un poco en contexto, pues te lo envío. Fantástico. Todo esto en cuanto a novedades. Vámonos ahora con el plugin de la semana que se llama Plugin Report. Y este plugin lo he encontrado investigando un poco para crear este episodio. Y es un plugin que precisamente te permite ver de forma rápida el estado de todos los plugins instalados en tu web, cuándo fue la última vez que se actualizó, qué incompatibilidad tiene con la versión actual de WordPress, si hay riesgos potenciales y más. Es una herramienta bastante útil para detectar posibles abandonos. Se llama Plugin Report y te dejo el enlace en las notas del episodio. Venga, Pues ahora sí, vámonos con el tema central, plugins abandonados. Cómo detectar y gestionar el riesgo con los plugins abandonados. ¿Y comenzamos diciendo por qué es todo esto un problema? ¿Por qué puede ser un problema que haya plugins abandonados? Si te funciona pues sigues con él y ya está, no te da igual. Bueno no, como te imaginarás no, sobre todo por las posibles vulnerabilidades de seguridad no corregidas. Esto de hay que tener la web actualizada, que siempre lo habrás escuchado, ve llevando un mantenimiento de tus webs, no se dice por decir, tiene una razón de ser y muy importante, y una de ellas es que constantemente se están detectando y corrigiendo posibles vulnerabilidades de seguridad y algunas pues son nimias y no tienen demasiada importancia, pero otras si son muy graves, pueden abrir una puerta a los hackers hacia tu web, por ejemplo que se puedan crear un usuario admin o barbaridades de estas que si lo consiguen pues te destrozan la web si quieren o te hacen algo que es muy típico y es que te ponen una especie de código en el que tú no te vas a dar cuenta hasta que sea demasiado tarde y pues a lo mejor te están poniendo anuncios en tu web que tú no ves, pero son anuncios a sitios de Viagra, a sitios de casino y entonces Google lo acaba viendo y te quita la web del posicionamiento y entonces ahí es cuando ya te das cuenta cuando es demasiado tarde. Entonces uno de estos riesgos es las vulnerabilidades de seguridad que no se corrigen, porque si el plugin deja de estar mantenido, es decir, es un plugin que ya el desarrollador no está encima de él, no va corrigiendo, no lo va actualizando, pues existe este riesgo. Otro posible riesgo son incompatibilidades con nuevas versiones de WordPress, si el plugin funciona no hay ningún problema de seguridad, pero WordPress va sacando novedades u otros plugins incluso con los que puede, imagínate que es un plugin relacionado con woocommerce, pues woocommerce va sacando novedades y este plugin está abandonado y no se actualiza esas novedades, pues puede haber incompatibilidades, puede haber errores y que directamente el plugin deje de funcionar. También otro posible riesgo es fallos de rendimiento o errores que aparecen de repente. Fallos de rendimiento también puede estar provocado con lo que he dicho antes, porque si el plugin antes daba buen rendimiento, pero ahora deja de darlo, pues puede ser que al haber alguna incompatibilidad con algo que haya también en tu web, el propio WordPress, otros teams, plugins y demás, pues que tengas ese problema. Y por último, también la falta de soporte o actualizaciones de funcionalidades, que aquí ya el peligro no está en que le pase algo a tu web desde el punto de vista del rendimiento o de la seguridad, sino en que si a ti te pasa algo, tienes algún problema, no sabes cómo configurar algo o tienes dudas sobre algo de ese plugin, no puedes contactar con nadie porque no hay nadie al otro lado. Históricamente en WordPress ha habido casos bastante sonados. Por ejemplo, hay un plugin que se llama Eval PHP que lleva más de 10 años abandonado y que en 2023, hace relativamente poco, se aprovechó para inyectar puertas traseras, que esto es lo que te comentaba antes, que esto permite a los atacantes, a los hackers, acceder, sacar datos y que incluso si tú eliminas el plugin sigan teniendo acceso porque ya te han inyectado el código malicioso y tienen esa puerta trasera que se llama backdoor en inglés. Entonces lo normal es que un plugin abandonado desde hace una década, pues que la gente lo elimine, pero había muchísimos usuarios que aún lo tenían. Entonces se aprovechó para eso. Y os voy a dejar un enlace del estado de la seguridad en WordPress en 2024, que es el más reciente que hay, que es de Patch Stack y que lo hicieron en colaboración con Sucuri, que es una de las empresas con más nombre o con mejor nombre para proteger de seguridad en WordPress. De hecho es lo que yo uso cuando me llega un cliente con una web hackeada o algo, yo uso ese sistema porque están especializados en ello, lo van a hacer más rápido que yo y es un servicio que está muy bien. En cualquier caso, alguna de las cosas que se dicen en este análisis es que se reveló que en 2023 al menos 827 plugins fueron declarados como abandonados y el 58% fue eliminado del directorio por graves fallos de seguridad. Es decir, la gente que colabora en WordPress. ¿Org llevando este seguimiento diciendo que plugins pueden entrar, qué plugins no y todo esto, pues eliminaron de esos 827 el 58% por? Pues ya digo, porque habían descubierto que provocaban fallos de seguridad, pero claro, si te pilla antes de que los eliminen o lo que sea, pues puedes tener ese problema. Bueno, creo que los riesgos están bastante claros, son bastante evidentes, así que vamos a ver cosas útiles. ¿Cómo podemos detectar un plugin abandonado? Bueno, de esto he hablado incluso en varios vídeos, en el curso de seguridad lo vemos y podemos hacer algunas cosas nosotros revisando manualmente y otras ayudándonos de herramientas. Por ejemplo nosotros manualmente pues obviamente revisar la ficha del plugin en el directorio oficial, ver la última actualización del plugin, si hace más de un año pues ya hay cuidado, ver la compatibilidad con la versión actual de WordPress, ver el número de instalaciones que tiene activas, si antes tenía muchas y ahora tiene pocas, pues es una mala señal que esto no lo puedes ver, no puedes ver que va bajando, pero bueno, si ves que tiene pocas y que tiene malas reseñas, que esto es otra cosa que puedes mirar las reseñas recientes, si por ejemplo hay reseñas que tú ves que la gente se queja pero responde el desarrollador diciendo esto lo corregiremos o esto no es fallo nuestro, es fallo de otro, para mí eso no es mala señal, para mí es buena señal porque quiere decir que el desarrollador está ahí. También fíjate que en algunos plugins te pone el soporte, lo damos desde nuestra web, no contestamos por aquí, entonces también puedes irte a su web, escribirles y si ves que responden con soporte y demás, pues entonces perfecto. Esto en plugins del directorio oficial, si son en plugins premium, pues entonces te tienes que irte a la web del desarrollador, hablar con él, puedes irte siempre o casi siempre va a haber una página de changelog, que esto es un registro de cambios, entonces cada vez que hay una actualización lo van a publicar ahí, a lo mejor pone corregida vulnerabilidad, no sé qué, no sé cuánto o añadida funcionalidad extra, pues esto lo puedes ver, y si la última que se puso del changelog, lo mismo desde hace un año, pues dices uy, o no están actualizando esta página donde ponen los cambios nuevos o lo tienen abandonado, entonces de nuevo escribes o lo que sea, y si por lo que sea lo compras antes de hacer todo esto, les contactas por soporte y ves que ahí no hay nadie, pues también malísima señal. Ahora algunas herramientas que te pueden hacer esto más fácil, pues por ejemplo WP Hive, que es un servicio que también te lo puedes instalar como addon, esto lo vemos ya digo en el curso de seguridad, te lo puedes instalar como addon de navegador y cuando vas a la página de WordPress. Org te muestra con un tick en verde o con una cruz pues algunas de las cosas que hemos hablado, por ejemplo si se actualiza regularmente, si hay fallos en el código, ya sea JavaScript o PHP, si es compatible con las versiones más recientes de WordPress y lo ves como de forma más visual con tics. Yo lo tengo instalado de hecho y lo suelo utilizar bastante para un primer vistazo. Hay otros, por ejemplo WPScan también incluso, que te avisan, si lo das de alta tu web te avisa de si se detecta alguna vulnerabilidad en alguno de los plugins que tienes. Esto ya no es tanto enfocado a que estén abandonados, sino a saber si hay vulnerabilidades de los plugins que estás usando en tu web. Luego si usas servicios como ManageWP que vemos en el curso de mantenimiento en WordPress o como Modular DS, también te avisa si se detecta vulnerabilidades y normalmente cuando te avisa de esto, si el plugin está correctamente mantenido, ya habrán sacado los del plugin una actualización, porque estas herramientas que escanean la seguridad y demás, lo que suelen hacer es avisar a los desarrolladores del plugin antes de publicarlo, antes de hacerlo, para que tengan tiempo de poner un parche y que incluso los hackers no puedan aprovechar esta información, puedan decir venga, aquí hay una vulnerabilidad, voy a atacarla. Entonces primero avisan a los desarrolladores y ya luego cuando hay una versión lo publican, salvo que el desarrollador no haga caso, en cuyo caso puede estar abandonado y entonces ahí hay que cargarse ese plugin. Y luego si usas los típicos plugins de seguridad como Item security del que tienes un curso workfens y todo esto, pues lo mismo, también tienes una parte donde pues hacer ese monitoreo de seguridad. Vale, digamos que detectamos que tenemos un plugin abandonado, ¿Qué hacemos? Bueno, primero evaluar el impacto qué está haciendo ese plan en nuestra web. ¿Para qué lo usamos? ¿Existen alternativas? ¿Es crítico para mi negocio? No. Es decir, ¿Lo necesito sí o sí para que funcione mi web? Y luego dependiendo de la respuesta hay algunas cosas obvias. Si no es crítico y te lo puedes cargar, pues adiós. Pero si no pues vamos a buscar un reemplazo. Podemos preguntar a chat GPT, podemos buscar en Google de alternativas, podemos hacer una comparativa, por ejemplo le decimos a chat GPT tengo este plugin instalado que se ha abandonado, lo principal para mí de este plugin es que hace esto, esto y esto. El resto de funcionalidades no son tan importantes, dime una alternativa que 100% cumpla con esto. Y luego para la sustitución puedes crear una copia de tu web ya sea en local o en staging, que esto lo vemos en el curso de cómo trabajar en local y pruebas con WordPress, haces el cambio de los plugins y ves qué tal funciona en ese entorno de prueba que va bien, pues replicas el cambio en tu web en producción y una vez lo cambies en producción pues también haz tus pruebas y demás para asegurarte de que todo va bien. Esto depende, si es un plugin muy importante pues tendrás que hacer más pruebas, si es una cosita más menor pues tampoco, simplemente quitando uno y configurando el otro pues seguramente ya lo tengas. Venga y por último vamos a ver buenas prácticas para minimizar el riesgo en general, para en el día a día que no tengamos que preocuparnos demasiado para que cada dos por tres veamos que tenemos plugins abandonados en nuestra web. Entonces muchas cosas son de sentido común, por ejemplo, vamos a evitar plugins con pocos usuarios activos o desarrolladores individuales indie que no den soporte activo. Ya sé que es un poco porque claro, tendrán que empezar de alguna manera, pero es que hay muchos desarrolladores que crean algo para ellos y que luego lo comparten con la comunidad, entonces lo hacen de forma altruista y lo dejan ahí y luego pues no lo van actualizando porque no es su negocio esto de digamos crear plugins y ofrecerlos y luego tener una parte premium. Normalmente los que te ofrecen una parte gratuita y luego una parte de pago van a estar más actualizados porque al final ellos tienen un beneficio económico, entonces es lógico. Esto por un lado. Luego por otro pues siempre tienes que revisar periódicamente los plugins instalados, mínimo cada, no sé, tres meses. Si llevas un buen sistema de mantenimiento no deberías preocuparte por esto porque lo vas a hacer semanalmente. Algunas cosas las tendrás automatizadas, pero esto tienes que tenerlo en mente. Luego, esenciales del mantenimiento WordPress realiza copias de seguridad completas antes de hacer cualquier cambio, si quieres date de alta en algún blog, alguna newsletter que vaya avisando del tema de la seguridad. Normalmente si usas algún plugin de seguridad te animan a que te apuntes newsletter y te van avisando de lo que sea. Yo particularmente no lo hago así porque prefiero ver los avisos pues en el sistema que esté utilizando yo en ese momento para la seguridad. En mi caso ahora mismo sigo utilizando ManageWP, cuando modular lo tenga todo afinado, justo lo que yo quiero, pues me pasaré a Modular, aunque sí que lo uso con algunas webs porque me gusta apoyarles y además me gusta saber qué van sacando nuevo y probarlo yo mismo, entonces lo tengo como en tres o cuatro webs sí que uso Modular y en el resto uso ManageWP que son servicios similares para centralizar el mantenimiento de todas tus webs e incluye esta parte de avisos de seguridad cuando hay vulnerabilidades y demás. ¿De acuerdo? Bueno, te voy a dejar el enlace a todo lo que he ido comentando. Recuerda en Gonzalo Navarro es 481 y si te interesa este tema desde el punto de vista de poner cosas en práctica, pues en Gonzalo Navarro es tienes todos los cursos que necesitas. Si tienes alguna duda de por dónde empezar, qué curso hacer, cuál es lo mejor para tu caso, pues escríbeme desde la pestaña de soporte de tu cuenta o incluso ya sabes que si eres miembro tienes acceso también a la comunidad privada en Telegram y le puedes preguntar a los otros usuarios qué hacen ellos, qué prefieren ellos, porque al final yo te doy mi opinión pero tú puedes estar en un punto diferente al mío y pues te interesa a lo mejor más la opinión de otras personas que estén en el mismo punto que tú. Nada más por este episodio, nos seguimos escuchando, adiós.