La pregunta correcta no es si un plugin GPL es seguro. GPL es una licencia: indica qué puedes hacer con el código, y nada sobre lo que contiene el archivo. Lo que determina la seguridad es el archivo que llega a tu sitio, y eso se puede comprobar antes de instalar.
De dónde viene el riesgo
El riesgo no está en la licencia, está en quién distribuye. Un archivo compartido sin control puede llegar modificado: un fragmento que crea un usuario administrador oculto, que redirige a los visitantes o que inyecta enlaces de spam en las páginas. Es lo que aparece con frecuencia en los archivos ofrecidos gratis en foros y en sitios de descarga sin identificación.
Este tipo de modificación rara vez causa algún fallo de inmediato. El sitio sigue funcionando, y el problema solo aparece días después.
Qué comprobar antes de instalar
- Verificación antivirus del archivo. En el catálogo, cada ítem tiene en su página el sello de verificación: el ZIP que descargas pasó por un análisis antivirus, y al hacer clic en el sello puedes ver la fecha y el resultado. Todo el catálogo pasa por este análisis, y se repite cuando cambia el archivo.
- Versión y fecha. La página de cada ítem muestra la versión que se ofrece y cuándo se actualizó. Un archivo que se queda en una versión antigua acumula fallas de seguridad que el autor ya corrigió. Si quieres comparar con el fabricante, lee por qué la versión aquí puede ser diferente.
- Qué cambió en la versión. Cuando el autor publica las notas de la versión, aparecen en la página del ítem. Las correcciones de seguridad suelen indicarse allí.
- Quién sigue actualizando. Un archivo es seguro el día en que lo instalas. Sigue siendo seguro si alguien sigue proporcionando las versiones nuevas.
Conviene ser honesto sobre el límite: el análisis antivirus detecta código malicioso conocido. Es el primer filtro, y no sustituye los dos pasos siguientes.
Prueba antes de pasar al sitio real
Plugin nuevo, tema nuevo o versión nueva: instala primero en una copia. Es donde un conflicto aparece sin costo, y donde compruebas si el ítem hace lo que prometió. El paso a paso está en cómo crear un entorno de pruebas.
Actualizar también es seguridad
Buena parte de los ataques a WordPress entra por plugins desactualizados, no por plugins nuevos. Mantener los ítems en la versión actual cierra las fallas que el propio autor ya corrigió.
El Ultrapack Auto Updater lleva las actualizaciones del catálogo al panel de WordPress y guarda una copia del ítem antes de cada una. Si la versión nueva causa problemas, puedes volver al estado anterior desde el propio plugin.
Señales de alerta después de instalar
- un usuario administrador que no creaste;
- visitantes que son redirigidos a otro sitio, a veces solo en el celular o solo en la primera visita;
- enlaces extraños en el código de las páginas o en el pie de página;
- archivos
.phpnuevos dentro dewp-content/uploads/, una carpeta donde solo deberían existir imágenes y documentos.
Si aparece alguna: desactiva el ítem sospechoso, cambia las contraseñas de los administradores y restaura la copia de seguridad más reciente anterior a la instalación. Y habla con el soporte, indicando qué ítem y qué versión.
¿Y la licencia?
Lo que permite la GPL, y lo que no cubre, está en Qué es la licencia GPL.
