Plugin se instala em um clique, e é justamente por isso que ele se acumula. Um para o formulário, outro para o slider que ninguém usa mais, um terceiro que alguém testou em 2021 e esqueceu ligado. Cada um é código a mais para carregar, atualizar e, principalmente, para ser atacado.
Este guia mostra como fazer o inventário dos plugins do seu WordPress, identificar os que estão abandonados e decidir o que sai, com um exemplo de antes e depois e um roteiro que você pode seguir em uma tarde.
Por que isso importa
- Segurança: cada plugin é uma porta em potencial. Os abandonados são os piores, porque as falhas descobertas nunca são corrigidas.
- Velocidade: muitos plugins carregam arquivos e fazem consultas ao banco em todas as páginas, mesmo quando só são usados em uma.
- Manutenção: quanto mais plugins, mais chances de conflito a cada atualização.
Passo 1: o inventário
Abra a lista de plugins e anote, para cada um: o nome, para que serve, quem usa e se está ativo. Inclua os desativados, que continuam no servidor e continuam podendo ser explorados. A pergunta central é simples: o que quebra se eu remover este?
Uma planilha com cinco colunas resolve: plugin, função, última atualização, ativo ou não e decisão. Preencha uma linha por plugin e deixe a última coluna em branco até terminar o levantamento.
Passo 2: os sinais de alerta
Marque os que se encaixam em algum destes casos:
- sem atualização há mais de um ano;
- desenvolvedor sem resposta ou plugin removido do repositório oficial;
- função repetida por outro plugin (dois de SEO, dois de cache);
- origem duvidosa, como plugin "premium" baixado fora do site do autor;
- falhas de segurança conhecidas na versão que você usa.
Para checar falhas conhecidas, consulte o registro público de vulnerabilidades de plugins do WordPress, mantido por empresas de segurança, e procure pelo nome e pela versão.
Passo 3: decidir o destino
Para cada item, escolha uma de quatro saídas: manter, atualizar, substituir por uma alternativa mantida, ou remover. Muitas funções simples, como inserir um código de medição ou um botão, não precisam de plugin e cabem em poucas linhas no tema.
Antes e depois: um exemplo
Um site institucional chega à auditoria com 31 plugins instalados, 6 deles desativados. No inventário aparecem dois plugins de cache, um slider que não aparece em nenhuma página, um plugin de formulário antigo ao lado de um novo, três plugins de SEO e um plugin de redes sociais sem atualização havia dois anos.
A decisão fica assim: um dos plugins de cache sai, o slider sai, o formulário antigo sai depois de conferir que nenhum formulário o usa, dois dos plugins de SEO saem e o de redes sociais é substituído por um link simples no rodapé. Os desativados são excluídos. O site fica com 19 plugins, todos mantidos e conhecidos, e carrega mais rápido sem nenhuma mudança visível para o visitante.
Os números do exemplo são ilustrativos, e o ganho real depende de cada site. O que se repete na prática é a lógica: menos código, menos risco.
Passo 4: remover com cuidado
Faça backup, desative um por vez e navegue pelo site: páginas principais, formulários, carrinho. Se tudo estiver certo, exclua o plugin, e não apenas desative. Depois confira se sobraram tabelas ou arquivos que ele deixou para trás. Alguns plugins guardam dados no banco mesmo depois de excluídos, e vale revisar isso com um profissional quando o plugin tratava formulários ou dados de clientes.
Passo 5: transformar em rotina
Revise a lista a cada trimestre e adote uma regra para novos plugins: antes de instalar, confira a data da última atualização, o número de instalações ativas, a avaliação e se a função justifica o peso. Registre quem pediu o plugin e para que ele serve, assim a próxima auditoria é mais rápida.
Lista de conferência
- Inventário completo, incluindo os desativados.
- Plugins sem atualização há mais de um ano marcados.
- Duplicidades de função identificadas.
- Falhas conhecidas consultadas para cada versão.
- Backup feito antes de remover.
- Remoção um por vez, com teste do site depois de cada uma.
- Data da próxima revisão marcada.
Perguntas frequentes
Desativar o plugin basta? Não. Um plugin desativado continua no servidor e pode ser explorado. Se não vai usar, exclua.
Quantos plugins são demais? Não existe um número mágico. O que importa é que cada plugin tenha uma função clara, seja mantido e esteja atualizado.
Posso trocar um plugin por código no tema? Para funções simples, sim, mas só se alguém for manter esse código. Código sem dono também vira problema.
Recursos e quando chamar ajuda
O diretório oficial de plugins mostra data de atualização, versões compatíveis e avaliações. Para falhas conhecidas, consulte bases públicas de vulnerabilidades. Chame um profissional quando o site tiver loja, quando houver plugins muito customizados ou quando a auditoria encontrar sinais de invasão, como arquivos desconhecidos ou usuários que você não criou.
Quer uma auditoria dos plugins do seu WordPress? A Linkti faz esse levantamento junto com a rotina de atualização na Hospedagem Gerenciada, e o time responde no WhatsApp.
