Cómo revisar si un plugin de WordPress tiene malware antes de instalarlo

Instalar un plugin en WordPress es darle acceso a una parte muy sensible de tu sitio. Un plugin puede leer datos, crear tablas, modificar opciones, cargar scripts, comunicarse con servidores externos y ejecutar código PHP.

Por eso, antes de instalar un plugin de cualquier origen, especialmente si no viene directamente del desarrollador original o del repositorio oficial de WordPress, conviene hacer una revisión mínima de seguridad.

Esta guía no convierte a nadie en analista forense, pero sí ayuda a reducir riesgos comunes.

1. Revisa el origen del archivo

La primera pregunta no es técnica: ¿de dónde salió este ZIP?

Un plugin descargado desde WordPress.org, desde el sitio oficial del autor o desde un proveedor con reputación y soporte identificable no tiene el mismo riesgo que un ZIP compartido en un foro, grupo de Telegram o enlace anónimo.

Antes de instalar, verifica:

• Nombre del proveedor.
• Página del producto.
• Fecha de actualización.
• Versión del plugin.
• Política de soporte o reportes.
• Información clara sobre licencia.
• Canal de contacto real.

Si el archivo no tiene trazabilidad, no lo uses en producción.

2. Compara la versión

Busca cuál es la versión actual del plugin en el sitio del autor. Luego compara con la versión que descargaste.

Si el proveedor afirma tener una versión muy nueva pero no hay changelog, o si el número de versión no coincide con ninguna referencia pública, hay que investigar.

También presta atención a plugins "premium" que aparecen con nombres raros o carpetas distintas al producto original. No siempre es malware, pero sí es una señal para revisar mejor.

3. Inspecciona la estructura del ZIP

Un plugin WordPress suele tener una estructura relativamente clara:

• Carpeta principal del plugin.
• Archivo PHP principal con cabecera de plugin.
• Carpetas como includes, assets, admin, public, languages, templates.
• Archivos readme.txt, license.txt o documentación.

Señales sospechosas:

• Archivos PHP con nombres aleatorios.
• Carpetas ocultas.
• Archivos ejecutables innecesarios.
• PHP dentro de carpetas de imágenes.
• Archivos con extensiones dobles, como image.php.jpg.
• Código agregado fuera de la estructura normal.
• Muchos archivos modificados con la misma fecha sin explicación.

No todo archivo extraño es malware, pero todo archivo extraño merece revisión.

4. Busca código ofuscado

El código ofuscado intenta ocultar lo que hace. A veces tiene usos legítimos, pero en plugins WordPress es una señal de alerta, especialmente si aparece en lugares inesperados.

Busca patrones como:

• eval(
• base64_decode(
• gzinflate(
• str_rot13(
• shell_exec(
• exec(
• passthru(
• system(
• assert(
• preg_replace con modificador e en código antiguo
• Variables con nombres aleatorios muy largos
• Grandes bloques de texto ilegible

La presencia de una función no prueba malware por sí sola. Algunos plugins legítimos usan funciones avanzadas. Pero si encuentras combinaciones como eval(base64_decode(...)), detente.

5. Escanea el archivo antes de subirlo

Puedes usar herramientas como:

• Antivirus local.
• VirusTotal para archivos pequeños.
• Wordfence en un entorno de prueba.
• Sucuri SiteCheck para revisar el sitio después.
• Escáneres de hosting si tu proveedor los incluye.

Ten en cuenta que ningún scanner detecta todo. Un resultado limpio reduce riesgo, pero no garantiza seguridad absoluta.

6. Instala primero en staging

Nunca pruebes un plugin dudoso directamente en producción.

Un entorno de staging permite observar:

• Si el plugin crea usuarios.
• Si modifica archivos inesperados.
• Si genera errores PHP.
• Si hace llamadas externas.
• Si cambia opciones críticas.
• Si afecta rendimiento.
• Si rompe checkout, login o formularios.

Después de instalar, revisa logs del servidor, errores de WordPress y actividad de usuarios.

7. Revisa permisos y comportamiento

Después de activar el plugin, mira:

• Nuevos usuarios administradores.
• Nuevas tareas cron.
• Cambios en .htaccess.
• Archivos agregados en wp-content/uploads.
• Opciones nuevas en wp_options.
• Conexiones externas inesperadas.
• Redirecciones raras.
• Código insertado en posts o widgets.

Muchos ataques no muestran síntomas inmediatos. Algunos esperan días o semanas para activarse.

8. Mantén backups antes y después

Antes de instalar cualquier plugin importante:

• Backup de base de datos.
• Backup de archivos.
• Punto de restauración del hosting.
• Registro de versión instalada.

Si algo sale mal, restaurar rápido puede ahorrar horas de limpieza.

9. No instales más de lo necesario

Cada plugin agrega superficie de ataque. Incluso plugins legítimos pueden tener vulnerabilidades, como se ve regularmente en reportes de seguridad del ecosistema WordPress.

Buenas prácticas:

• Elimina plugins inactivos.
• Actualiza con frecuencia.
• Usa plugins mantenidos.
• Evita duplicar funciones.
• No mantengas plugins "por si acaso".
• Revisa vulnerabilidades conocidas antes de instalar.

10. Documenta el origen para tus clientes

Si eres freelancer o agencia, documenta:

• De dónde salió el plugin.
• Qué versión instalaste.
• Si incluye licencia oficial o no.
• Si el cliente tendrá soporte del autor.
• Cómo se harán futuras actualizaciones.
• Qué riesgos y límites existen.

Esto protege al cliente y también protege tu trabajo.

Checklist rápida

Antes de instalar:

• Conozco el origen del ZIP.
• La versión coincide con una versión real.
• El proveedor tiene reputación y contacto.
• Revisé estructura de archivos.
• Busqué código ofuscado sospechoso.
• Escaneé el archivo.
• Probé en staging.
• Hice backup.
• Verifiqué que no cree usuarios ni archivos extraños.
• Documenté el origen y limitaciones.

Conclusión

La seguridad en WordPress no depende solo de si un plugin es gratuito, premium o GPL. Depende de origen, integridad, mantenimiento, actualizaciones y criterio técnico.

Un plugin barato puede salir caro si compromete un sitio. Y un plugin caro también puede ser inseguro si está abandonado o mal configurado.

La regla más práctica: no instales archivos que no puedas rastrear, revisar o restaurar.

Si quieres conocer otros artículos parecidos a Cómo revisar si un plugin de WordPress tiene malware antes de instalarlo puedes visitar la categoría Ayuda y Soporte.