A pergunta certa não é se plugin GPL é seguro. GPL é uma licença: ela diz o que você pode fazer com o código, e nada sobre o que tem dentro do arquivo. O que decide a segurança é o arquivo que chega ao seu site, e isso dá para conferir antes de instalar.
De onde vem o risco
O risco não está na licença, está em quem distribui. Arquivo passado adiante sem controle pode chegar alterado: um trecho que cria um usuário administrador escondido, que redireciona os visitantes ou que injeta links de spam nas páginas. É o que aparece com frequência nos arquivos oferecidos de graça em fórum e em site de download sem identificação.
Esse tipo de alteração raramente quebra alguma coisa na hora. O site continua funcionando, e o problema só aparece dias depois.
O que conferir antes de instalar
- Verificação antivírus do arquivo. No catálogo, cada item traz na página o selo de verificação: o ZIP que você baixa passou por varredura antivírus, e ao clicar no selo você vê a data e o resultado. O catálogo inteiro passa por essa varredura, e ela é refeita quando o arquivo muda.
- Versão e data. A página de cada item mostra a versão servida e quando ela foi atualizada. Arquivo parado numa versão antiga acumula falhas de segurança já corrigidas pelo autor. Se quiser comparar com o fabricante, leia por que a versão aqui pode ser diferente.
- O que mudou na versão. Quando o autor publica as notas de versão, elas aparecem na página do item. Correção de segurança costuma estar escrita ali.
- Quem continua atualizando. Um arquivo é seguro no dia em que você instala. Ele continua seguro se alguém continua trazendo as versões novas.
Vale ser honesto sobre o limite: varredura antivírus encontra código malicioso conhecido. Ela é o primeiro filtro, e não substitui os dois passos abaixo.
Teste antes do site de verdade
Plugin novo, tema novo ou versão nova: instale primeiro numa cópia. É onde um conflito aparece sem custo, e onde você confere se o item faz o que prometeu. O passo a passo está em como montar um ambiente de teste.
Atualizar também é segurança
Boa parte das invasões de WordPress entra por plugin desatualizado, não por plugin novo. Manter os itens na versão atual fecha as falhas que o próprio autor já corrigiu.
O Ultrapack Auto Updater traz as atualizações do catálogo para o painel do WordPress e guarda uma cópia do item antes de cada uma. Se a versão nova der problema, você volta ao estado anterior pelo próprio plugin.
Sinais de alerta depois de instalar
- um usuário administrador que você não criou;
- visitantes sendo redirecionados para outro site, às vezes só no celular ou só na primeira visita;
- links estranhos no código das páginas ou no rodapé;
- arquivos
.phpnovos dentro dewp-content/uploads/, pasta onde só deveriam existir imagens e documentos.
Se aparecer algum: desative o item suspeito, troque as senhas dos administradores e restaure o backup mais recente anterior à instalação. E fale com o suporte, informando qual item e qual versão.
E a licença?
O que a GPL permite, e o que ela não cobre, está em O que é licença GPL.
