En serio, hay algunos plugins que son una maravilla pero otros pueden ser un coladero, y aparentemente no se distinguen, y no hay manera de saber si son buenos, malos o regulinchis.

La pantalla de descarga o instalación de plugins de WordPress no te cuenta si detrás hay alguien que controla lo que ha publicado o si es código soltado tal cual salió del primer prompt.

Pero antes de seguir creo que conviene separar dos cosas bien diferentes, te cuento…

Un plugin hecho por una IA, generado y subido sin que nadie lo revise, no tiene nada que ver con uno hecho con IA, donde una persona la usa de herramienta pero entiende, prueba y mantiene lo que sale.

Yo mismo uso Claude Code para casi todo, y no lo escondo, pero el papel principal lo llevo yo, estoy al mando, la IA es una herramienta más, y tampoco toma decisiones.

El problema no es que haya IA por medio, el problema está cuando no hay nadie al volante.

Si tú instalas plugins pero no los programas este artículo es para ti. No vamos a detectar si un plugin lo ha hecho una IA, eso ya lo conté en otro artículo, y además da bastante igual.

Lo que vamos a ver es cómo decidir si te puedes fiar de un plugin para meterlo en tu web, o en la de un cliente, da igual si detrás hay una persona, una IA, o las dos cosas a la vez.

«¿Lo ha hecho una IA?» ya no vale de filtro

A estas alturas la IA está metida en buena parte del código nuevo que se publica, así que saber que un plugin se hizo con IA no te dice nada sobre si es bueno o mediopensionista.

Hay código generado con IA y revisado a conciencia que es mejor que mucho código escrito a mano y mal programado, y también al revés.

Lo que de verdad cuenta es que haya detrás alguien competente que entiende lo que ha publicado, lo prueba, lo mantiene y responde cuando algo se tuerce, la herramienta es lo de menos.

Por eso lo que tienes que preguntarte es si te puedes fiar de quien hay detrás, y como tú no vas a leer el PHP o JavaScript línea a línea, esa confianza la vas a construir con señales que sí puedes ver desde fuera, más alguna comprobación que puedes hacer sin saber programar.

Vamos por partes.

Quién hay detrás es tu mejor pista si no eres programador

Cuando no puedes auditar el código la persona que lo mantiene es tu mejor garantía. No puedes o no sabes valorar si la programación está bien hecha, pero puedes evaluar a quien está detrás.

Quien entiende su plugin lo arregla cuando aparece un fallo, contesta las dudas con criterio y no desaparece al primer problema, pero quien ha escupido código que no entiende hace lo contrario, y eso se nota desde fuera mucho antes de instalar nada.

Esto es lo que miraría, más o menos por orden de importancia:

• Cómo responde en el foro de soporte, que es la prueba de fuego. Y no me refiero a que conteste rápido, sino a si contesta con cabeza. Entra en la pestaña de soporte del plugin en WordPress.org y lee las últimas consultas, porque si ante un «¿por qué tu plugin hace esto?» el autor explica el porqué, controla su código, y si suelta respuestas genéricas o no aparece es mala señal, ya que quien no sabe explicar su propio plugin tampoco suele saber leerlo, y menos mantenerlo.
• Si conoce en profundidad la solución para la que está diseñado el plugin. Cuando es de seguridad, que se le note que sabe de seguridad, porque es justo lo que le permite cazar lo que la IA hace mal. Un plugin de seguridad escrito por alguien que no controla de seguridad es de los inventos más peligrosos que te puedes echar a la cara.
• Su historial como desarrollador. Mira si tiene más plugins, pre-IA y post-IA, desde cuándo publica y qué reputación tiene fuera del repositorio, porque un nombre con recorrido y cara visible da bastante más tranquilidad que una cuenta recién creada con un único plugin y sin rastro de quién está detrás.
• Cómo reacciona ante un fallo de seguridad o errores graves, que es de lo más revelador. Busca si alguna vez le han reportado un problema serio y fíjate en cuánto tardó en sacar la corrección, porque un autor que parchea rápido y avisa a sus usuarios es justo lo que quieres, y uno que ignora el aviso durante meses no merece entrar tu web.
• Qué pasaría si desaparece el plugin. Pregúntate si el plugin sobrevive a que su autor se canse, porque uno de una sola persona sin nadie más detrás es bastante más frágil que uno con una empresa o una comunidad que pueda seguir manteniéndolo.
• Si no oculta el uso de IA, aunque con matices. Que el developer reconozca que la usa está bien como muestra de transparencia, pero no te fíes solo de eso, que reconocerlo ya es lo normal y lo hace igual quien trabaja bien y quien suelta basura. Lo que no se puede fingir es ser capaz de mantener y arreglar lo que has publicado.

Señales que cualquiera puede ver sin tocar el código

Antes incluso de mirar el código, la propia ficha del plugin te cuenta bastante si sabes dónde fijarte. Esto lo ve cualquiera desde la página del plugin en WordPress.org.

• Instalaciones activas y cómo evolucionan: No es lo mismo un plugin con 30 instalaciones que uno con 30.000, pero no te quedes solo con el número, porque un plugin que sube poco a poco indica que la gente lo instala y lo deja puesto, que es la mejor reseña que hay.
• Última versión compatible: Comprueba que esté probado con la última versión de WordPress o una muy cercana, porque si pone que se probó hace cuatro versiones, o está abandonado o el autor no lo sigue, y en ambos casos es un aviso.
• Registro de cambios: Échale un ojo al changelog, que si cada versión explica qué se ha arreglado con un mínimo de detalle hay alguien pendiente, y si son entradas genéricas tipo «mejoras varias y corrección de errores» repetidas una y otra vez, huele a volcado sin nadie revisando.
• Lee las reseñas, no solo la puntuación: No te quedes con la media de estrellas, vete a las de una y dos estrellas, que ahí es donde se ve si el plugin rompe webs, si el soporte pasa de la gente o si hay un problema recurrente que el autor no resuelve.
• Lo que promete frente a lo que pide: Desconfía de un plugin sencillo que pide permisos o accesos que no le pegan, o que promete mil funciones imposibles de mantener por una sola persona, porque cuanto más abarca algo hecho deprisa, más sitios hay para que algo se rompa o quede a medias.
• Si aparece en las bases de vulnerabilidades: Busca el nombre del plugin en Patchstack y en WPScan, que llevan el registro de fallos conocidos en plugins de WordPress. Que aparezca no es necesariamente malo, lo importante es que se corrigiera rápido, pero que tenga vulnerabilidades sin parchear sí es para salir corriendo.

Revisa el código aunque no sepas programar

Y ahora la parte más útil, porque puedes revisar el código de un plugin sin entender ni una línea de PHP, solo ayudándote en herramientas que lo leen por ti. Sí, sé lo que estás pensando, tú sigue leyendo…

Nada de esto es una auditoría de seguridad en condiciones, ojo, eso ya es otra liga, pero te sirve de sobra para oler problemas antes de meter el plugin en tu web.

Pásale el Plugin Check

El Plugin Check es el plugin oficial del equipo de revisión de WordPress.org, el mismo que se usa para revisar los plugins antes de aceptarlos en el repositorio.

Lo instalas en una web de pruebas, lo pasas sobre el plugin que estás evaluando y te muestra un informe con los problemas de seguridad, rendimiento y estándares que encuentra.

Tú no lees el código, lees el veredicto, así que si sale lleno de errores en rojo ya sabes lo que hay. Yo lo uso al crear mis plugins, pero funciona igual de bien para revisar el de otro.

Mira las alertas de Query Monitor

El Query Monitor es otro imprescindible para la web de pruebas. Con el plugin activado navega por tu web y fíjate en si aparecen alertas en rojo, como consultas lentas a la base de datos, errores de PHP o llamadas que tardan demasiado.

No necesitas entender qué pasa por dentro para ver que hay banderas rojas donde no debería haberlas.

Abre el archivo principal y busca señales gordas

Aunque no sepas programar puedes abrir el archivo principal del plugin con cualquier editor de texto y cazar algunas cosas a ojo:

• Que tenga una cabecera en condiciones con el nombre del autor, la versión y la compatibilidad.
• Que no haya claves de API escritas a pelo en mitad del código.
• Que no aparezcan bloques larguísimos de texto ilegible, lo que se llama código ofuscado y que casi siempre sirve para esconder algo, ni funciones con nombres como eval o base64_decode repartidas por todos lados.
• Que no llame a direcciones web externas raras que no pinten nada ahí.

Es posible, más que probable, que no entiendas la lógica, pero estas señales saltan a la vista.

Pídele a una IA que te lo audite

Acertaste, y sí,  aquí está el giro divertido, usar la IA para vigilar un plugin que probablemente se hizo con IA.

Descarga el plugin, sube el archivo o el zip a Claude Code o Codex de OpenAI  y pídele que te lo revise con un prompt directo, a la yugular, algo así:

Revisa este plugin WordPress y dime si tiene problemas de seguridad, qué datos envía a servidores externos y si sigue las buenas prácticas de WordPress

En un par de minutos te señala los puntos flojos que tú no sabrías ni por dónde mirar. Eso sí, la IA tampoco es infalible auditando, te da pistas muy buenas pero no un certificado, así que tómatelo como una opinión (documentada) más y no como la última palabra.

Y siempre, pruébalo en un sitio de pruebas

Esto vale para cualquier plugin, lo haya tocado una IA o no, nunca pruebes uno nuevo directamente en tu web en producción.

Móntalo primero en un WordPress local o en un staging donde puedas romper cosas sin consecuencias, actívalo, dale caña y comprueba que hace lo que dice sin romper nada más.

Si supera esa prueba y ha aguantado las comprobaciones anteriores, ya te puedes plantear ponerlo en serio.

Repaso rápido antes de instalar

Para que no se te olvide nada, este es el repaso que yo haría antes de meter un plugin en una web que me importe algo:

• Leer las últimas respuestas del autor en el foro de soporte y ver si contesta con criterio.
• Comprobar que está probado con la versión actual de WordPress o muy cercana.
• Mirar el registro de cambios y descartar los que solo ponen «correcciones varias» versión tras versión.
• Leer las reseñas de una y dos estrellas, no solo la media.
• Buscar el plugin en Patchstack y WPScan por si tiene vulnerabilidades sin corregir.
• Pasarle el Plugin Check en una web de pruebas y revisar el informe.
• Pedirle a una IA que le eche un vistazo al código y avise de lo que huela raro.
• Probarlo en local o en staging antes de tocar producción.

Y si quieres una chuleta de un vistazo con lo que te debe dar buen o mal rollo, pues nada, a mandar:

Un ejemplo que puedes comprobar tú mismo

Todo esto suena muy bien en teoría, así que aplícalo con cualquier plugin que te plantees instalar, los míos incluidos.

Pilla VigIA o cualquiera de mis otros plugins, que salieron de muchas horas de trabajo, con ayuda de IA por supuesto, no lo escondo, y pásales la lista.

Entra en sus foros, mira quién contesta las dudas (este aquí presente casi siempre), revisa el registro de cambios, comprueba con qué versión están probados, pásales el Plugin Check.

Lo que tienes que buscar es justo eso, que haya alguien dando la cara y manteniendo el invento, dé igual que el código lo escribiera a mano o con una IA al lado.

Esa es la idea con cualquier plugin que vayas a instalar. Olvídate de si lo ha hecho una máquina o una persona y fíjate en si hay alguien competente detrás que responde cuando algo se tuerce.

Y si te pica el gusanillo de entender qué falla cuando la IA programa sola, o de hacerte tú tus propios plugins, en el blog tienes cuándo merece la pena crear un plugin con IA y la guía completa de programar WordPress con IA para seguir aprendiendo.

El texto alternativo es lo que hace que tus imágenes se entiendan cuando no se ven, sobre todo para las personas que navegan con un lector de pantalla. Si lo pones bien ayudas a quien no puede ver la imagen y de paso le das a Google algo que entender. Si no lo pones, o lo pones mal, no le sirve a nadie.

En este tutorial vamos a ver que es el texto alternativo, para qué sirve, en qué se diferencia del título, la leyenda y la descripción, qué imágenes hay que describir y cuáles van vacías, cómo escribir un alt que sea útil, y cómo te puede echar una mano la IA sin que te la líe. Y sí, de camino te pones a bien con la accesibilidad, que cada vez es menos opcional.

Qué es el texto alternativo o alt y para qué sirve

El texto alternativo, o atributo alt, es la descripción que le pones a una imagen para cuando esa imagen no se puede ver. Y es eso, un atributo de la etiqueta de imagen, no una etiqueta en sí misma, que esto lo confunde muchísima gente. En el código se ve así:<img src="logo.png" alt="Logo de Ayuda WordPress">.

Sirve para tres cosas, y el orden es importante.

1. La primera, y la que justifica su existencia, es lo que un lector de pantalla le lee en voz alta a una persona ciega o con baja visión. Si la imagen aporta información y no tiene alt, a esa persona la pierdes como lector (o cliente).
2. El navegador muestra si la imagen no carga, porque el servidor falla o la conexión va a pedales.
3. Es una señal que Google usa para entender de qué va la imagen y colocarla en su buscador de imágenes.

Te lo apunto aquí porque es el origen de muchos malentendidos … y errores:

El alt es, primero accesibilidad, y luego, SEO, no al revés.

Cuando rellenas el alt pensando solo en meter la palabra clave, le estás colgando un cartel a alguien que no lo puede leer. No le aporta nada, y encima a Google hace años que no le cuela.

En los estándares esto es el criterio 1.1.1 de las WCAG, «Contenido no textual», y es de nivel A, o sea el suelo, el requisito de accesibilidad más básico que existe. Si no cumples ese, no cumples ninguno.

Alt, título, leyenda y descripción, para qué sirve cada uno

Cuando subes una imagen a WordPress te encuentras con cuatro campos para rellenar, y aquí empieza el jaleo, porque cada uno se guarda en un sitio distinto, acaba en un lugar distinto y se comporta de forma distinta.

Por resumirte, el único que de verdad importa para accesibilidad es el texto alternativo. El resto son … otra cosa.

Y ahora unas cuantas mentiras que conviene ir aparcando, porque llevan años circulando, y alguna la conté yo mismo hace siglos, todo hay que decirlo, que algo he aprendido 20 años después y si la cago la cago.

• WordPress no te rellena el alt con el nombre del archivo. Lo que autocompleta a partir del nombre del archivo es el campo título, no el alt, que sale vacío y lo tienes que escribir tú.
• El atributo título no es obligatorio ni hace falta para «cumplir el W3C», nunca lo fue. El navegador lo enseña como un globito al pasar el ratón por encima, en el móvil ni se ve, y los lectores de pantalla no lo leen de forma fiable. No te vale como sustituto del alt.
• El campo «Descripción» no es el atributo título. Son cosas distintas que van a sitios distintos.

Sobre la pregunta de siempre, la de si el título de la imagen ayuda al SEO, pues resulta que no, el alt sí, el título prácticamente nada. Si tienes que dedicarle tiempo a algo dedícaselo al alt.

¿Las imágenes decorativas necesitan alt?

No todas las imágenes hay que describirlas. Las que son puro adorno, una línea separadora, un fondo, un icono decorativo que no aporta información, tienen su propia regla, y es justo la que más se incumple.

Para una imagen decorativa el alt va vacío del todo. Así: alt="".

Con eso le dices al lector de pantalla que se salte la imagen, que no hace falta que la narre. Es como el hilo musical del ascensor, está bien que esté, pero no necesitas que nadie te lo vaya cantando.

Hay tres maneras de hacerlo y solo una es correcta:

• alt="" vacío del todo: correcto. El lector de pantalla la ignora y a otra cosa.
• Sin atributo alt: mal. Algunos lectores de pantalla, al no encontrar alt, leen el nombre del archivo o sueltan un «imagen» a secas, que es ruido.
• alt="-", un asterisco, un espacio o «lo que te apetezca»: mal, mal y mal. Eso es contenido, y el lector de pantalla lo lee. Le estás metiendo basura en los oídos a quien intenta navegar.

Para saber si una imagen es decorativa hay un truco sencillo, quítala mentalmente. Si al quitarla no se pierde nada de información, es decorativa y va con el alt vacío. Si se pierde algo, hay que describirla.

Y si quieres afinar caso por caso hay dos herramientas que vienen de perlas.

• El árbol de decisión del W3C, que te va preguntando por el tipo y la función de la imagen hasta decirte qué poner.
• El mapa de decisión en español de Olga Carreras, que es de lo mejor que hay sobre esto en nuestro idioma.

Cómo escribir un alt útil

El alt describe la función de la imagen en esa página, no solo lo que se ve en ella. Esa es la idea fundamental, porque la misma foto puede necesitar un alt distinto según para qué la has puesto.

Unas zapatillas en un artículo sobre running se describen de una forma, y esas mismas zapatillas en la ficha de producto de tu tienda, de otra.

Con eso claro, cuatro reglas sencillas:

• Describe lo importante, no todo: Ve a lo que aporta la imagen en ese contexto.
• No te repitas empezando con cosas como «imagen de» o «foto de»: El lector de pantalla ya avisa de que es una imagen, así que se lo estarías diciendo dos veces.
• Sé breve: Como referencia, unos 125 caracteres suelen bastar, pero sin obsesionarse, que lo que importa es que sea útil.
• Mete la palabra clave solo si encaja de forma natural: Si tienes que forzarla con calzador, fuera.

No te lo cuento, te lo muestro con ejemplos, que se entiende mucho mejor.

• Una foto informativa:
  • Mal: alt="foto".
  • Peor: alt="zapatillas running comprar mejores zapatillas baratas".
  • Bien: alt="Zapatillas de running azules con suela de espuma, vistas de perfil".
• Una captura de pantalla: Describe lo relevante de la captura, no pongas «captura de pantalla».
  • Bien: alt="Ajustes de Medios de WordPress con la opción de organizar por carpetas activada".
• Una imagen que es un enlace o un botón: El alt describe a dónde lleva o qué hace, no cómo es.
  • Para un logo que enlaza al inicio: alt="Ayuda WordPress, ir al inicio", no alt="logo".
• Una gráfica o una infografía: Resume el dato principal en el alt, y si lleva mucha chicha, pon el detalle en el texto de al lado o enlaza a una versión larga.

¿Vale generar el alt automáticamente?, con IA por ejemplo

Sí, es posible, y no es ni siquiera mala idea. WordPress no te genera el alt por su cuenta, así que necesitas un plugin, y hay dos formas de hacerlo automático que conviene no confundir, porque dan resultados muy distintos.

Usando plantillas, sin IA

Varios plugins de SEO rellenan el alt a partir de datos que ya tienes, el título de publicación, el nombre del archivo o la palabra clave.

• AIOSEO, por ejemplo, con su función de SEO para imágenes, te deja montar una plantilla con sus tags y aplicarla a toda la biblioteca de una tacada.
  El problema es que el alt o sale genérico y casi siempre repetido, porque todas las imágenes de un artículo acaban con el mismo texto, y para alguien con un lector de pantalla eso es casi tan inútil como no tener nada.
• SEOPress, por su parte, hace algo parecido, creando el alt a partir del nombre del archivo, así que depende de ti subirlos en nombres descriptivos.
  En este caso la dependencia eres tú, o los redactores, que no suban las imágenes como las captura la cámara, tipo DSC22999W.JPG o parecido.

La ventaja de estos sistemas, de ambos es que son automáticos, baratos y no te cuestan nada por imagen. Te sirven de red de seguridad para que ninguna imagen quede pelada, no para tener un alt bueno.

Con IA

La segunda es con modelos IA, plugins y servicios que de verdad miran la imagen y la describen.

Aquí entran incluso el propio WordPress, que tiene un plugin oficial de experimentos IA que también lo hace, pero eso sí, vale para trastear en entornos de pruebas, no para tenerlo en producción.

Da igual el que elijas, hay muchos, tienes que conectar tu clave de un proveedor como OpenAI, Google o Anthropic, y todos te cobran por uso.

Un aviso para los del editor clásico, que sois somos unos cuantos, casi todas estas funciones están pensadas para el editor de bloques, así que igual ni ves los botones, aunque la generación en lote desde la biblioteca suele funcionar igual.

Y tanto por plantilla como con IA, hay un techo que conviene tener clarísimo.

La IA describe lo que ve en la imagen, pero no sabe para qué la has puesto tú en esa página, ni cuándo una imagen es solo decoración.

Es como pedirle el pie de foto a alguien que no ha leído tu artículo, te describe la foto de maravilla, pero no tiene ni idea de qué pinta ahí. Te va a poner un alt a todo, incluida la línea separadora que debería ir vacía, y a la imagen que en realidad es un botón le describe el dibujito en lugar de decir a dónde lleva.

Incluso el plugin oficial intenta seguir el árbol de decisión del W3C que te enseñé antes, y aun así arrastra fallos con las imágenes decorativas.

Así que lo automático, sea plantilla o IA, úsalo como punto de partida para no tener miles de imágenes a cero, y repasa tú a mano las que importen de verdad.

Las decorativas, a vaciarles el alt, las que son enlaces o botones, a describir la acción, y las que cumplen una función concreta en el artículo, a comprobar que se entienden.

Lo automático te quita el ochenta por ciento del trabajo, pero el veinte por ciento que decide si cumples o no lo pones tú.

¿Y la accesibilidad? La regulación EAA

Y ya que hablamos de hacer las cosas bien, va un plus que quizá no tenías en la cabeza, y es que desde el 28 de junio de 2025 poner bien el texto alternativo, además de ser lo suyo, ahora también te lo pide la ley.

La European Accessibility Act, que en España se traspone con la Ley 11/2023, es de obligado cumplimiento desde esa fecha, y esta vez con sanciones de las que duelen, no como las recomendaciones de antes que no cumplía ni el tato.

La buena noticia, y va en serio, es que el alt es de los requisitos más fáciles de cumplir de toda la normativa.

La técnica de referencia es la norma EN 301 549, apoyada en las WCAG a nivel AA, y dentro de eso el alt, ese criterio 1.1.1 de antes, es nivel A, el básico.

También es de los más fáciles de auditar, porque un validador de accesibilidad te canta en segundos qué imágenes se han quedado sin alt.

¿Te afecta?, pues depende

Las microempresas que prestan servicios, menos de 10 trabajadores y menos de 2 millones de euros de facturación o de balance, están exentas de parte de los requisitos, aunque ojo, que la exención hay que poder justificarla si te la vienen a mirar, no es un «como soy pequeño paso de todo».

Y, por supuesto, si tienes una tienda online, vendes a consumidores o prestas según qué servicios, lo más probable es que sí estés dentro.

No voy a entrar en un análisis jurídico sobre EEA, ni de lejos, no es lo mío ni procede, de momento quédate con lo práctico, pon bien el alt de tus imágenes y este requisito, el más visible y el más fácil de comprobar, lo tienes cubierto.

Por cierto, si quieres ver cómo queda esto por escrito, tienes mi propia declaración de accesibilidad como ejemplo. Y si tienes una web con la que te juegas algo y prefieres que alguien le eche un vistazo serio a la accesibilidad, para eso está mi consultoría.

¿Y las imágenes que ya tengo sin texto alternativo?

Si llevas años publicando, tendrás un buen montón de imágenes sin alt, y ponerte al día es parte del trabajo. La cosa tiene dos fases, encontrarlas y arreglarlas.

Para encontrarlas tienes herramientas de accesibilidad como WAVE o la extensión axe DevTools, que te marcan en la propia página qué imágenes van sin alt, y el informe de accesibilidad de Lighthouse, dentro de las herramientas de desarrollo de Chrome, que te lista los fallos de una URL.

Y más visual, mi analizador de accesibilidad online y gratis.

Para una entrada suelta, a veces basta con abrir el código fuente y buscar las etiquetas de imagen sin alt, para arreglarlas en lote valen los mismos dos enfoques de antes (plantilla, automatismos, con o sin IA)

Una cosa muy chula que poca gente sabe es que el plugin oficial de pruebas de WordPress trae hasta un comando de consola, wp ai alt-text generate, para lanzarlo por WP-CLI.

Sea como sea prioriza con sentido común y lógica de equilibrio entre esfuerzo y resultados. Primero ponte con las imágenes que aportan información en tus artículos más visitados, que son las que más gente con lector de pantalla se va a encontrar. Las decorativas las vacías, y para el resto, lo automático como red y el repaso a mano de las que son importantes.

Preguntas rápidas

¿Pongo el título o el alt cuando la imagen es un enlace?

Lo que importa es el alt, y debe describir a dónde lleva el enlace o qué hace el botón, no cómo es la imagen. El título del enlace aporta poco y no te hace falta.

Lo importante es que quien no ve la imagen entienda qué va a pasar si hace clic.

¿Puedo poner el mismo alt en varias imágenes?

Si son la misma imagen cumpliendo la misma función se puede repetir sin problema.

Lo que no tiene sentido es copiar y pegar el mismo altTu código aquí en imágenes distintas por pereza, porque cada una muestra algo diferente y merece su propia descripción.

¿Cambia algo en las imágenes de productos de WooCommerce?

El criterio es el mismo, pero en una ficha de producto el alt de la imagen principal debería describir el producto de forma útil, con el modelo, el color o algún detalle que lo identifique, que además es justo lo que te ayuda a aparecer en Google Imágenes. Nada de rellenar con la palabra clave repetida una y otra vez.

¿Hago algo ya mismo?

Si quieres terminar el día habiendo hecho algo de provecho esto es lo mínimo:

1. Abre tus 5 entradas más visitadas y revísalas imagen por imagen.
2. La que no tenga alt, o tenga el nombre del archivo metido como alt, arréglala ahora describiendo su función en ese artículo.
3. La que sea pura decoración déjale el alt vacío.

En diez minutos le has arreglado el día a alguien que navega con lector de pantalla, y de paso le has dado a Google algo mejor que entender.

Lo demás, la auditoría completa, el repaso de toda la biblioteca, dejarlo automático con IA, lo puedes ir haciendo con calma. Pero ese primer paso dalo ya hoy.

Si te ha quedado alguna duda, o no ves claro si una imagen va con alt o sin él, me tienes ahí abajo en los comentarios. Cuéntamelo y lo vemos.

Es en realidad el mismo plugin, mismo sitio en el repositorio, en parte la misma filosofía de optimizar WordPress con el mínimo esfuerzo, pero con un cambio de fondo que llevabais tiempo pidiéndome muchos.

Si lo que buscas es la optimización que te daría un WP Rocket pero sin conexiones a servicios externos ni dependencias de terceros, todo funcionando en tu propio servidor y gratis, este es el camino que ha tomado el plugin.

No es un plugin de caché de página, de eso ya se encarga tu hosting, sino todo lo demás, y sin que nada salga de tu servidor.

Te cuento de dónde viene el cambio, qué tienes que hacer si ya lo tenías (prácticamente nada) y todo lo que trae de nuevo.

El viaje de WPO Tweaks a DietPress

WPO Tweaks es uno de mis plugins más veteranos, de casi 10 años, que nació con una idea muy simple, activarlo y olvidarte.

Quita de un plumazo todo lo que WordPress carga por defecto y que la mayoría de webs no necesita, los emojis, los Dashicons en la parte pública, un montón de líneas de la cabecera, esas cosas que no aportan nada pero suman peticiones y milisegundos.

Con el tiempo fue creciendo y dejó de ser solo un limpiador para convertirse en un plugin de rendimiento de verdad, con CSS crítico, defer de JavaScript, optimización de imágenes para mejorar el CLS, resource hints, y reglas de caché de navegador, GZIP y Brotli en el .htaccess.

En la versión 2 le cambié el nombre a Zero Config Performance Optimization, porque ya hacía mucho más que cuatro retoques. Y ahí estaba el problema, del que no me daba cuenta del todo.

Justo por no dejarte configurar nada, el plugin se había quedado estancado.

Mucha gente quería elegir qué activar y qué no, y alguna optimización podía chocar con un tema o un maquetador concreto. Sin un interruptor para apagar solo esa, la única salida era desactivar el plugin entero, que es una pena cuando el resto te funciona de maravilla.

Mientras tanto, yo tenía otro plugin rondando que se llamaba precisamente DietPress (su nombre interno era core-diet).

Salió de mi guía sobre todas las funcionalidades de WordPress que puedes desactivar y planteaba justo lo contrario, una interfaz completa de ajustes organizada por nivel de riesgo, con unas setenta opciones de optimización, todas desactivadas por defecto.

Buena interfaz, una idea chula, funcionamiento perfecto, y además potente, pero poca gente lo usaba.

Así que la jugada estaba clara, juntarlos, tomar el esqueleto configurable de DietPress y montarle encima el motor de rendimiento de WPO Tweaks. Un solo plugin, con lo mejor de los dos.

Si ya tenías WPO Tweaks, no tienes que hacer nada

Esto es importante, porque un cambio así puede dar respeto, pero no hay de qué preocupase pues todas las optimizaciones que el plugin aplicaba hasta ahora siguen activas por defecto cuando actualizas, así que tu web se va a comportar inicialmente exactamente igual que antes.

La única diferencia es que ahora cada una de esas optimizaciones es una opción que puedes afinar o apagar si te hace falta.

Hay algún detalle que además mejora respecto a antes. Me refiero a la parte del CSS crítico que a veces provocaba un parpadeo raro al cargar (el típico flash sin estilos) ahora es una opción aparte, marcada como experimental y desactivada por defecto.

La parte segura, el CSS crítico en línea, se queda activa, y si alguna vez notaste ese parpadeo, ya no lo vas a tener salvo que lo actives a propósito.

Y si eres de los que personaliza el plugin con código, los filtros para desarrolladores han cambiado al prefijo dietpress_. Los antiguos siguen funcionando para no romperte nada, pero quedan marcados como obsoletos, así que cuando puedas pásate a los nuevos.

Si tenías el DietPress antiguo (core-diet)

Y si lo que tenías era el otro, ese DietPress, queda retirado, con honores. Dentro de nada lo cierro en el repositorio de WordPress, así que dejará de poder descargarse y de recibir actualizaciones.

Si lo tienes instalado no se va a romper nada, pero conviene que te pases al nuevo, y es muy fácil:

• Instala y activa el nuevo DietPress desde su página en WordPress.org o el instalador de plugins de tu web.
• Tus ajustes se conservan sin hacer nada, porque los dos plugins los guardan en el mismo sitio, y el core-diet antiguo se desactiva automáticamente para que no haya conflictos.
• Con el nuevo DietPress ya activo, puedes borrar tranquilamente el plugin viejo desde tu pantalla de plugins.

Lo único importante es instalar el nuevo antes de borrar el viejo, así no pierdes la configuración. Y si no haces nada el plugin antiguo seguirá funcionando, pero sin actualizaciones ni soporte.

¿En qué se ha convertido WPO Tweaks… perdón, DietPress?

La fusión toma las optimizaciones de rendimiento de WPO Tweaks, la configurabilidad de DietPress y, de paso, el nombre y la interfaz del segundo, que es más simpática y deja más claro el concepto, poner tu WordPress una dieta y quitarle todo lo que le sobra.

Ahora el plugin tiene su propio menú en la administración, DietPress, y el montón de opciones (decenas) están repartidas por nivel de riesgo, igual que en mi guía de funcionalidades.

Tienes las que puedes quitar sin pensártelo, las que conviene valorar antes según tu web y las más específicas de cada caso. Cada opción te explica qué hace y qué podrías perder, para que decidas con criterio y no a ciegas.

Me tomé mucho tiempo en redactar textos para cada ajuste, para que sepas qué pasa exactamente si lo activas, así que de paso es casi un tutorial de optimización WordPress.

La pantalla de inicio funciona como una báscula (de hecho se llama así), y te muestra de un vistazo lo que estás ahorrando (peticiones que quitas, CSS y JavaScript de los que te libras, consultas a la base de datos que evitas) y trae un par de cosas que vienen muy bien.

Tienes perfiles rápidos para aplicar de golpe una configuración pensada para blog personal, tienda WooCommerce, página de aterrizaje o limpieza máxima.

También incorpora un analizador que mira tu web y tus plugins activos y te sugiere qué tiene sentido desactivar en tu caso concreto.

Por último (de momento) si gestionas varias webs, puedes exportar tu configuración a un archivo y aplicarla igual en las demás, sin ir opción por opción.

Ya no hay ajustes de seguridad, lógico

Hay una decisión de diseño que quiero explicarte, porque si vienes de mi guía de funcionalidades te puede chirriar, pero la lógica nos dice que un plugin de rendimiento y dieta no debería andar tocando la seguridad de tu web.

Por eso DietPress no incluye las opciones de seguridad que tenía core-diet, como ocultar la versión de WordPress, desactivar XML-RPC, bloquear las contraseñas de aplicación o esconder los errores de inicio de sesión.

Todo eso es terreno de Vigilante, mi plugin de seguridad, que es su lugar natural.

En la guía de desactivar funcionalidades sí tienes el código para hacer esos cambios a mano, pero dentro de un plugin lo lógico es separar responsabilidades, DietPress adelgaza y optimiza, Vigilante protege. Cada uno a lo suyo y los dos gratis.

Un optimizador gratis y con todo bajo control

La diferencia de fondo con un plugin de pago como WP Rocket está en que todo lo que hace DietPress ocurre en tu propio servidor sin servicios externos, ni cuenta que crear, ni cuota mensual, ni tu CSS o tus métricas viajando a la nube de nadie.

Es software libre, gratis 100%, y lo que pasa en tu web se queda en tu web.

Eso tiene un límite, como lo que te comenté de que no hace caché de página, pero si tienes un alojamiento decente ya la tienes funcionando a nivel de servidor.

Hay además cosas que necesitan sí o sí infraestructura externa para ir bien, como analizar página por página para quitar el CSS que no se usa, y eso no está en el plugin a propósito, porque hacerlo bien exige servidores dedicados y hacerlo mal te rompe la web.

DietPress hace todo lo que se puede hacer bien en local y lo deja ahí.

Así que si lo que buscabas era esa optimización a lo WP Rocket pero sin ataduras ni dependencias de terceros, por ahí van los tiros.

Hacia dónde va

Esto es solo el primer paso de DietPress, pero se avecinan montones de mejoras que lo van a convertir poco a poco en un imprescindible para quien quiera optimizar WordPress a tope y gratis.

Pronto vendrá, por ejemplo, una pestaña para controlar todos los correos automáticos que WordPress envía por su cuenta, los avisos de actualización, los de comentarios, los de usuarios nuevos y compañía, que sé que a más de uno le saturan la bandeja.

La base la expliqué en mi guía de los emails de WordPress, y pronto lo vas a poder hacer desde DietPress con un clic.

También tengo pensado incorporar la carga selectiva, para que WooCommerce, Contact Form 7 o los bloques de Gutenberg no carguen sus archivos en las páginas donde no se usan.

Algo que va a entrar seguro es  el alojamiento local de las fuentes de Google, que mejora la privacidad, te quita una dependencia externa más y cumple el RGPD sin despeinarte.

La filosofía no cambia, quitar lo que sobra y optimizar todo lo que se pueda, en tu servidor y gratis.

Y poco más, DietPress ya está en el repositorio, listo para instalar o actualizar.

Si te va más tocar cada cosa a mano con código, tienes la guía completa con todos los snippets, pero si prefieres todo eso a base de clics, más las optimizaciones de rendimiento y sin complicarte, instala DietPress y a volar.

Ya me cuentas, si eso, qué te parece el cambio/evolución, estoy deseando leerte (abajo, en los comentarios, que las redes se las lleva el viento)

¡De nada!

Y es que resulta que cuando cambias el slug de una entrada en WordPress, la URL antigua sigue funcionando con una redirección a la nueva, eso lo hace una función nativa, del core, que se llama wp_old_slug_redirect().

Ni plugin ni nada, esta joyita viene de serie, pero casi nadie sabe que está ahí, ni que se puede incluso tocar para que haga lo que tú quieras.

Te cuento cómo funciona por dentro, dónde están sus límites (las páginas, sobre todo) y cómo personalizarla para que haga lo que necesites.

Cómo funciona la redirección automática de slugs antiguos

Cuando editas el slug de una entrada ya publicada, por ejemplo cambias /mi-articulo/ por /articulo-definitivo/, WordPress no se limita a cambiar la URL.

Lo que hace es guardar el slug antiguo en la tabla wp_postmeta con la clave _wp_old_slug asociada a esa entrada. De eso se encarga la función wp_check_for_changed_slugs(), que compara el slug nuevo con el anterior cada vez que actualizas algo.

A partir de esoe moment entra en juego wp_old_slug_redirect(), enganchada al hook template_redirect.

Cuando alguien llega por la URL antigua, en vez de entregar un feo error 404, esta función busca si ese slug está guardado en algún _wp_old_slug y, si lo encuentra, hace un 301 permanente a la URL actual con wp_redirect( $link, 301 ).

Así la URL vieja sigue viva, no rompes los enlaces que apuntan desde fuera y el SEO no se resiente, porque el 301 traspasa la autoridad de enlaces.

Un par de detalles más que conviene que sepas.

• Guarda todos los slugs antiguos, no solo el último. Si le cambias el slug tres veces a una entrada, las tres URLs viejas siguen redirigiendo bien a la actual.
• También cubre los cambios en enlaces permanentes con estructura de fecha. Si tu URL lleva año y mes y cambias la fecha de publicación, el core guarda un _wp_old_date y la redirección lo tiene en cuenta igual.

Cómo personalizar el comportamiento

WordPress ofrece dos filtros para tocar estas redirecciones sin reescribir nada, y para lo que no cubren puedes montarte tu propia versión.

Cambiar la URL de destino

El filtro old_slug_redirect_url (disponible desde WordPress 4.4) te deja modificar la URL de destino a la que se redirige, justo antes de que se ejecute el 301.

Es perfecto si quieres añadir parámetros de seguimiento, o mandar el tráfico de las URLs viejas a otro sitio. Aquí tienes un ejemplo:

/**
 * Modifica la URL de destino usada para redirecciones de slugs antiguos
 *
 * @param string $link La URL a la que va a redirigir WordPress
 * @return string La (posiblemente modificada) URL de destino
 */
add_filter( 'old_slug_redirect_url', 'ayudawp_old_slug_redirect_url' );
function ayudawp_old_slug_redirect_url( $link ) {

	// Ejemplo: etiqueta las URLs viejas para poderles rastrearlas en Google Analytics
	return add_query_arg( 'utm_source', 'old-slug', $link );
}

Si devuelves una cadena vacía o false cancelas la redirección para esa petición y dejas que WordPress siga su curso, que normalmente acaba en el 404.

Decidir a qué entrada apunta

El otro filtro, old_slug_redirect_post_id (desde WordPress 4.9.3), actúa un paso antes y cambia el ID de la entrada que WordPress ha localizado a partir del slug antiguo.

Lo normal es usarlo para casos puntuales, como redirigir el slug antiguo de una entrada que has borrado hacia otra que la sustituye. Si devuelves 0 desactivas la redirección para esa petición.

/**
 * Cambia qué entrada resuelve un slug antiguo antes de que salte la redirección
 *
 * @param int $id El ID de la entrada asignado al antiguo slug
 * @return int E ID de la entrada a la que redirigir (devuelve 0 para cancelar la redirección)
 */
add_filter( 'old_slug_redirect_post_id', 'ayudawp_old_slug_redirect_post_id' ); 
function ayudawp_old_slug_redirect_post_id( $id ) {

	// Devuelve 0 para cancelar la redirección o a un ID distitno para apuntar a otro sitio.
	return $id;
}

Desactivar completamente la redirección

Si prefieres que WordPress no haga ninguna de estas redirecciones automáticas, porque las gestionas con un plugin o porque te han dado guerra, basta con quitar la función del hook.

// Desactivar las redirecciones automáticas de WordPress de antiguos slugs en todo el sitio 
remove_action( 'template_redirect', 'wp_old_slug_redirect' );

Ponlo en un mu-plugin para que no dependas del tema o de un plugin de códigos. A partir de este momento los _wp_old_slug que ya tengas guardados dejan de redirigir, aunque siguen ocupando sitio en la base de datos hasta que los borres.

Eso con las entradas ¿funciona también con páginas?

Esto es un poco putada. Todo lo anterior funciona con entradas y con tipos de contenido personalizados sin jerarquía, pero no con las páginas.

Si cambias el slug de una página WordPress ni siquiera guarda el _wp_old_slug, así que la URL vieja te devuelve un 404 a pelo.

No es un despiste de WordPress, está hecho aposta.

La función wp_check_for_changed_slugs() descarta los tipos de contenido jerárquicos, y wp_old_slug_redirect() hace lo mismo con un if ( is_post_type_hierarchical( $post_type ) ) return;.

El motivo es por rendimiento, porque en las páginas la URL se crea con la jerarquía de las superiores (si las hay), así que cambiar el slug de una página madre o superior afectaría a las URLs de todas sus hijas, y resolver eso bien obligaría a una búsqueda por árbol que el core prefiere ahorrarse.

Pero…

… puedes hacer que funcione también con páginas

Como el core pasa de las páginas, si las necesitas cubiertas con redirecciones automáticas te toca hacer dos cosas por tu cuenta, guardar el slug antiguo cuando cambie y montar después la redirección.

Lo primero es guardar el slug antiguo de la página al actualizarla, que es justo lo que el core no hace.

/**
 * Almacena el slug antiguo de las páginas que WordPress evitaba hacer al ser
 * las páginas un tipo de contenido jerárquico
 *
 * @param int     $post_id     El ID de la página
 * @param WP_Post $post_after  La página después de actualizar
 * @param WP_Post $post_before La página antes de actualizar
 */
add_action( 'post_updated', 'ayudawp_save_old_page_slug', 10, 3 ); 
function ayudawp_save_old_page_slug( $post_id, $post_after, $post_before ) {

	// Solo páginas publicadas cuyo slug haya cambiado
	if ( 'page' !== $post_after->post_type || 'publish' !== $post_after->post_status ) {
		return;
	}

	if ( '' === $post_before->post_name || $post_after->post_name === $post_before->post_name ) {
		return;
	}

	// Almacena el slug anterior, evitando duplicados
	$old_slugs = (array) get_post_meta( $post_id, '_wp_old_slug' );

	if ( ! in_array( $post_before->post_name, $old_slugs, true ) ) {
		add_post_meta( $post_id, '_wp_old_slug', $post_before->post_name );
	}
}

Y lo segundo es la redirección en sí, que solo salta en los 404 para no cargar el resto de páginas.

/**
 * Redirect an old page slug to its current permalink.
 * WordPress core only does this for non-hierarchical post types.
 */
add_action( 'template_redirect', 'ayudawp_old_page_slug_redirect' ); 
function ayudawp_old_page_slug_redirect() {

	// Actúa solo en los 404 en los que se solicitó una ruta de página
	if ( ! is_404() || '' === get_query_var( 'pagename' ) ) {
		return;
	}

	// Usa el último segmento de ruta como el slug donde buscar
	$parts = explode( '/', untrailingslashit( get_query_var( 'pagename' ) ) );
	$slug  = end( $parts );

	$pages = get_posts(
		array(
			'post_type'   => 'page',
			'post_status' => 'publish',
			'numberposts' => 1,
			'meta_key'    => '_wp_old_slug',
			'meta_value'  => $slug,
		)
	);

	if ( ! empty( $pages ) ) {
		wp_safe_redirect( get_permalink( $pages[0]->ID ), 301 );
		exit;
	}
}

Con esto cubres el caso normal, que es cambiar el slug de una página concreta.

Lo que no resuelve es cuando cambias el slug de una página superior y quieres que redirijan también las URLs antiguas de sus hijas, porque ahí entra el lío del árbol de jerarquías del que se libra el core.

Y como aquí el código de estado lo controlas tú, si quieres un 302 temporal en vez del 301, solo tienes que cambiar el número en el código.

Cuidado con los plugins de redirecciones

Si tienes instalado un plugin de redirecciones del tipo Redirection o las herramientas para redirecciones de los plugins de SEO como Rank Math, porque pueden pisar el sistema nativo.

A más de uno le ha pasado que tras instalarlo los _wp_old_slug que WordPress había guardado dejan de redirigir y las URLs antiguas acaban en un 404.

No pasa siempre ni con todos los plugins pero si cambias un slug y la redirección automática no salta como esperabas, revisa si algún plugin está interceptando antes el template_redirect.

Cómo limpiar los _wp_old_slug que se acumulan

Cada cambio de slug deja un registro nuevo en wp_postmeta, y eso en una web con muchos años y muchos cambios se va acumulando, y aunque no es nada grave, si quieres hacer limpieza o te encuentras con una redirección rara que apunta donde no debe, puedes borrarlos.

La forma más directa es por SQL, y como siempre, antes haz una copia de seguridad, porque esto elimina de golpe todas las redirecciones de slug que tengas en marcha. Cambia wp_ por el prefijo real de tu instalación.

DELETE FROM wp_postmeta WHERE meta_key = '_wp_old_slug';

Si usas WP-CLI lo lanzas con wp db query, y si solo quieres limpiar una página o entrada concreta puedes usar wp post meta delete con el ID de esa entrada y la clave _wp_old_slug, sin tocar el resto.

¿Redirección nativa o plugin?

Para que lo tengas como resumen, esto es lo que cubre el sistema nativo y cuándo igual es mejor usar otra cosa.

Mi consejo es que no instales un plugin de redirecciones solo porque has cambiado un par de slugs de entradas, que para eso WordPress ya se apaña solo.

Guárdate el plugin para cuando de verdad lo necesites, como cambios masivos de estructura o migraciones, y para las páginas tira del código de aquí arriba, te lo deja resuelto sin cargar el sitio con otro plugin más.

Crónicas WordPress: WordCamp Europe, seguridad y novedades del core

Lo más gordo de la semana ha sido la WordCamp Europe en Cracovia, y por eso me salté un par de citas las semanas anteriores, que no era por vaguería. Pasaron por allí más de 2.400 entradas, con un Contributor Day en el que estuve desde el primer día revisando plugins y traduciendo, charlas muy chulas sobre desarrollo y futuro de WordPress, y sobre todo mucho conocer gente, que al final es lo que más mola.

En la sesión de preguntas no estuvo Matt Mullenweg, pero sí Mary Hubbard, Matías Ventura y Rich Tabor. De Matías no tengo más que buenas palabras, atiende a todo el mundo con una educación que da gusto. Yo además di un taller sobre SEO el último día.

Una de las charlas que más me gustó fue la primera, sobre que el CERN, sí, el de Suiza donde investigan el origen del universo, ha elegido WordPress para su web después de evaluar varios gestores. Ahí lo dejo. Y apunta esto en la agenda, que la WordCamp Europe de 2027 será en Málaga, del 27 al 29 de mayo. Si puedes ir, ve, y si te animas a colaborar en la organización, mejor todavía. Reserva hotel pronto, que Málaga llena todo el año.

En cuota de mercado WordPress ha bajado un pelín, alrededor de un punto, así que tampoco nos volvamos locos. Lo que sube de verdad es la categoría de webs sin CMS, esos HTML estáticos que ahora mucha gente genera con IA para cosas que, siendo sinceros, tampoco necesitaban un WordPress entero. Wix, Shopify y compañía suben miajas.

La vulnerabilidad gorda de la semana fue la de Kirki, esa biblioteca que usan un montón de temas. Un fallo crítico, 9,8 sobre 10, que permitía colarse y escalar privilegios por el mecanismo de restablecer la contraseña. Ya está parcheado en la 6.0.7 y se resolvió antes de la WordCamp. Quien lo encontró se llevó 6.400 dólares del programa de recompensas de Wordfence. Lo bueno de WordPress es justo esto, que las vulnerabilidades se conocen, se publican y se arreglan en el minuto cero.

A mí mismo un investigador me avisó hace poco de una posibilidad en un shortcode de uno de mis plugins, y lo dejé arreglado esa misma tarde antes de que nadie corriera peligro.

Y vamos con la noticia de seguridad más importante en años. A partir de ahora las actualizaciones de plugins también pasan revisión antes de distribuirse. Hasta hace nada solo se revisaban los plugins nuevos, así que alguien podía subir un plugin limpio de 20 KB y colar malware en la siguiente actualización.

Eso se acabó. Lo han llamado Protect the Shire, con su Wapuu Gandalf y todo, y refuerza muchísimo la seguridad de WordPress.

En WordPress.org han renovado un par de cosas más. La bolsa de empleo (jobs.wordpress.net) estrena cara para publicar ofertas y ofrecerte como candidato, y los perfiles han cambiado por completo, con medallas por código, comunidad o traducciones y una medición del impacto de tus contribuciones. La métrica está todavía verde, que a mí las revisiones de traducciones, que son las que más hago, me las puntúa flojas, pero la idea está bien.

De Gutenberg 23.3 te digo lo de siempre, que mola mucho pero no lo instales en producción. Es un plugin de pruebas y todo lo que trae acaba llegando a WordPress tarde o temprano. Lo más llamativo es el nuevo escritorio personalizable, que enseño en el Doctor del miércoles, el editor de medios en ventana emergente y la colaboración en tiempo real, que se retrasa de la 7.0 a la 7.1. Esa función la pedimos todos y no la va a usar casi nadie, pero hay que sacarla para llegar por fin a la fase 4, el multiidioma, que es lo que de verdad necesitamos fuera del mundo anglosajón.

También soy muy fan de la paleta de comandos (Comando + K en el escritorio), que tiene una pinta estupenda como interfaz para la IA dentro de WordPress, y cualquiera que haga plugins puede añadirle sus propios comandos con dos archivos. En Vigilante ya le he metido alguno.

En el blog he publicado bastante sobre seguridad estos días. Por ejemplo, cómo proteger WordPress de ataques XSS, un glosario interactivo de términos de seguridad y un tutorial para personalizar el widget de actividad del escritorio. Y ahí va el recordatorio de siempre, que no me canso de repetir.

El código que pongo en Ayuda WordPress está probado y con capturas, no es un copia y pega de ChatGPT. Sobre hacer plugins con IA, que me preguntáis mucho, monté unas preguntas frecuentes. La clave es contestarte con sinceridad a unas cuantas preguntas antes de lanzarte, y la más importante es si sabrías entender, actualizar y arreglar ese código el día que te quedes sin IA. Si la respuesta es no, malo. Y ojo si hay dinero, datos personales o identificaciones de por medio, que ahí te metes en un jardín de responsabilidades.

Del SEO, o AEO, o como queramos llamarlo ahora, Google ha sacado un informe de rendimiento para las búsquedas con IA, con las impresiones, en qué consultas apareces, desde qué países y demás. Tráfico, lo que se dice tráfico, trae bien poco. Enlazado con el taller de la WordCamp, publiqué también una reflexión sobre si los plugins de SEO siguen sirviendo de algo, qué funciones ya no tienen sentido y cuáles puedes resolver con un plugin ligerito o directamente con código.

Dos apuntes caseros para cerrar. Mi plugin de seguridad, Vigilante, ya ha pasado las 1.000 instalaciones activas y las 12.000 descargas, y eso que lo lancé a mediados de febrero. En la 2.6 he metido detección de plugins cerrados y más refuerzos en el cortafuegos. Y si no la conoces, échale un vistazo a la página de herramientas gratis de Ayuda WordPress: generadores de código, analizador de seguridad, optimizador de imágenes (que uso a diario) y hasta una calculadora para freelances.

Tienes la sesión completa en el vídeo de las Crónicas WordPress de esta semana.

Doctor WordPress: cómo cumplir gratis con el derecho de desistimiento de la UE

El miércoles me salté un poco el guion porque me había surgido la necesidad. Desde el 19 de junio de 2026, una directiva europea (la 2023/2673) obliga a todos los comercios online de la UE, o que vendan a clientes de la UE, a ofrecer una función de desistimiento digital que sea como mínimo tan fácil de usar como el propio proceso de compra. Y me tocó la moral ver que a varios clientes les estaban ofreciendo por email soluciones de pago que no cumplían ni la mitad de lo que pide la ley. Así que me informé bien, consulté con abogados especializados en derecho del consumidor y me hice un plugin.

Se llama EU Withdrawal Compliance, es 100% gratis y funciona tengas WooCommerce o no. Lo subí a mediados de mayo y en menos de un mes ya pasa de las 1.000 instalaciones. Esto es, por encima, lo que hace:

• Crea automáticamente la página de desistimiento con su formulario, y también puedes colocarlo donde quieras con un shortcode.
• Confirmación en dos pasos y acuse de recibo en soporte duradero, descargable en PDF y con un hash de verificación.
• Registro a prueba de manipulaciones: queda guardado cualquier cambio, lo haga el cliente o la propia tienda, por si surgen disputas.
• Formulario de desistimiento según el anexo I-B de la directiva, incluida una versión imprimible para quien lo prefiera en papel.
• Doble consentimiento en la página de pago y aviso público de los productos excluidos, los del artículo 16, como los servicios ya iniciados, los perecederos, los hechos a medida o los precintados por higiene, por categoría o producto a producto.
• Columna de desistimientos en los pedidos, exportación a CSV, acciones por lotes y trazabilidad completa de cada solicitud.
• Integración con las herramientas de privacidad de WordPress, para exportar y borrar datos personales.

Voy ampliándolo según me lo pedís en el foro: un widget de escritorio con contadores de solicitudes pendientes, exclusión de clientes B2B, un campo para el IBAN, filtros de búsqueda para tiendas grandes y emails un poco más monos. Si lo pruebas y te sirve, se agradecen las reseñas, y si tienes dudas al foro, que contesto a todo.

Como siempre, el directo se fue por las ramas para bien. Comentamos que Wordfence acaba de poner de pago la verificación en dos pasos que antes era gratis, repasé la comparativa de plugins de seguridad (cada vez quedan menos opciones decentes y gratis, y por eso sigo ampliando Vigilante) y caímos otra vez en la IA, el tema de moda últimamente. Te resumo mi postura. WordPress va a seguir siendo clave, no hay nada tan compatible con todo, y menos para una tienda online. La IA es una herramienta estupenda y quien no la use se quedará atrás, pero no te vuelvas loco gastando IA de pago en tareas que resuelves en dos clics desde el escritorio. Para lo demás ya integro Abilities API y MCP en mis plugins (Vigilante tiene su propio MCP), y así le pides las cosas a Claude directamente.

Tienes el Doctor WordPress completo, con la demo del plugin paso a paso, en el vídeo Derecho de desistimiento de la UE.

Y hasta aquí la semana. Nos vemos en directo el lunes en las Crónicas y el miércoles en el Doctor, en el canal de Ayuda WordPress. Si te pasas pregunta lo que quieras, que para eso estamos.

Es una duda razonable, así que vale la pena resolverla antes de tocar ningún ajuste, porque de poco sirve el cómo si no tienes claro el porqué.

Un resumen no te quita lectores, retiene a los que ya se iban

Quien aterriza en tu entrada y no tiene treinta segundos de paciencia se va a marchar igual, le pongas resumen o no. La diferencia es que con un resumen breve se lleva al menos la idea principal y tu marca en la cabeza, en vez de volver a Google y meterse en el blog de al lado.

Ese resumen compite con el botón de atrás del navegador, que es por donde se te escapa la gente, no con tu artículo.

Además, puede ir plegado por defecto, así que el que viene a leerse el texto entero ni lo abre ni le estorba. Solo lo despliega quien tenía prisa y quería el atajo, con lo que no le restas nada al lector de fondo y le das una salida al que iba a rebotar.

Hay otra razón que pesa más cada día, y es que ya no escribes solo para personas. Las IAs rastrean y resumen tu contenido quieras o no, y unas veces lo hacen bien y otras se inventan media historia. Si publicas tu propio resumen, con un enlace a tu fuente y bien marcado para los buscadores, pones tu versión por delante, en lugar de dejar que la máquina improvise la suya.

Y luego está lo de siempre, que la gente escanea antes de comprometerse a leer nada largo. Los estudios de usabilidad del Nielsen Norman Group llevan años midiéndolo, y un visitante medio lee solo entre un 20 y un 28% de lo que hay en una página. Un resumen es justo para ese visitante que está decidiendo si tu artículo le merece la pena, que casualmente es el que más rebota.

Eso sí, un resumen no hace milagros, porque si la entrada es corta no merece la pena, porque resumir algo que se lee en un minuto no aporta. Y cuando lo genera una máquina a veces sale flojo, así que los artículos que de verdad te importan conviene repasarlos y retocarlos a mano.

Con el SEO ándate con cuidado, porque un resumen no te va a subir puestos por sí solo, y mal planteado hasta puede competir con tu propio artículo en Google. Luego vemos cómo evitarlo.

Generar el resumen: con IA, sin IA o tirando del chatbot del lector

Antes de mirar plugins conviene que sepas que hay tres maneras distintas de ofrecer resúmenes, y no dan el mismo resultado ni cuestan lo mismo.

1. Generar el resumen con IA en tu propio sitio: Un proveedor como OpenAI, Anthropic o Google redacta el resumen en frases nuevas y se guarda en la entrada. Es la opción de más calidad, porque redacta de verdad, pero el consumo lo pagas tú.
2. Generarlo sin IA, por extracción: Aquí no hay ningún proveedor de por medio, el propio plugin analiza tu texto y se queda con las frases más representativas. Sale más básico, porque recorta y pega en vez de redactar, pero es gratis y funciona en cualquier WordPress.
3. No generar nada en tu web, mandar al lector al chatbot: El botón abre ChatGPT, Claude o el que sea con tu contenido, y el resumen se genera allí con la cuenta del propio lector. No te cuesta nada, pero el resumen no queda guardado en tu sitio ni lo ven los buscadores, es cosa de cada visitante.

Según la vía cambian tres cosas, quién paga el consumo, si el resumen queda guardado en tu web y si necesitas WordPress 7.0. Tenlo presente, porque es justo lo que diferencia a unos plugins de otros.

Qué plugins hay para generar resúmenes de contenidos y en qué se diferencian

Antes de enseñarte el que uso yo, conviene separar el grano de la paja, porque aquí se mezclan cosas que no son lo mismo.

Unos plugins generan un resumen y lo dejan en tu web, y otros solo ponen un botón que manda a tu lector a un chatbot. Lo segundo está bien, pero es lo que ya hace cualquier botón de compartir, no un resumen en tu sitio.

Dicho esto, vamos a ver qué tenemos por ahí.

Plugins que generan el resumen en tu web

• SummarAIze genera las cinco ideas clave de cada entrada con IA y las muestra en la página, arriba, abajo o en una ventana emergente. El plugin es gratis pero la IA funciona con tu propia clave de OpenAI o Gemini metida en su panel, no con los conectores de WordPress, así que el consumo lo pagas tú directamente a OpenAI o a Google, no al plugin. Solo admite esos dos proveedores, y el resumen lo generas tú desde el editor o en lote, no hay botón para que lo lance el visitante.
  Un detalle es que alega que sus resúmenes están preparados para posicionar por sí mismos, o sea que no hace nada por evitar que compitan con tu artículo en Google. Esto sinceramente no lo entiendo, o soy nuevo en Internet o la idea debería ser justo la contraria.
• TLDRWP es más parecido a lo que estamos hablando, porque lo genera con IA en tu sitio, guarda el resumen y deja que el visitante lo pida desde la entrada, pagando tú el consumo.
  La diferencia es que se apoya en otro plugin (AI Services) para conectar con la IA, no tiene vía gratis sin IA ni usa los conectores de WordPress y, de momento, está en GitHub y no en el directorio oficial de WordPress.
• AI Share & Summarize genera el resumen de las dos maneras, con IA si tienes un conector de WordPress configurado y, si no, con un sistema de extracción en PHP que funciona gratis.
  Lo muestra dentro de la entrada, en un bloque plegable que el lector despliega cuando quiere. Y además de resumir, pone botones para compartir en redes sociales y en los principales asistentes de IA, y lleva su propia analítica de clics para que veas qué se comparte y por dónde. Como es el que uso para el tutorial, todo esto lo explico en detalle luego.

Plugins que solo mandan al lector a un chatbot

• Sumtics no genera ningún resumen en tu web. Pone un botón, flotante o dentro del contenido, que abre el asistente que elija el lector (ChatGPT, Gemini, Claude, Grok o Perplexity) para que el resumen se haga allí, con la cuenta del propio lector. Es gratis para ti y no te cuesta consumo, pero el resumen no queda en tu sitio. Su ficha lo vende como generación automática de resúmenes, pero no es verdad, son botones de enviar a IA, el mecanismo es ese.
• AI Post Summarizer hace lo mismo que Sumtics, aunque su ficha hable de resúmenes TLDR. Su propio readme aclara que el botón abre ChatGPT o Google AI en una pestaña nueva con tu contenido, que todo pasa en el navegador del lector y que no se guarda nada. La versión gratis se queda en esos dos asistentes, y la Pro, de pago, añade Claude, Gemini, Perplexity, Grok y DeepSeek, más un motor de diseño, analítica y ajustes por entrada, pero sigue siendo un botón que abre el chatbot, no un resumen en tu web.

Comparativa rápida de plugins para generar resúmenes con IA

¿Me lo «resumes»? ¿cuál es mejor?

Si lo que quieres es un botón que mande a tu lector a su chatbot, Sumtics o AI Post Summarizer te valen, también AI Share & Summarize, y no consumen tokens de IA, pero eso ya lo hace cualquier botón de compartir y el resumen no queda en tu web.

Si lo que buscas es un resumen de verdad, integrado, sin salir de la web, guardado en la entrada y visible para lectores y buscadores, los que compiten son SummarAIze, TLDRWP y AI Share & Summarize, que además este último es el único que genera también sin IA y el único que funciona gratis sin pagar a ninguna IA, sin necesitar siquiera WordPress 7.0.

Y ya que el que mejor encaja es AI Share & Summarize, sí, el mío, te cuento cómo va. Es gratis del todo, sin versión premium ni sorpresas. Si le falta algo, me lo pides y lo añado, que actualizo mis plugins casi cada semana y me paso por los foros de soporte a diario. Yo mismo lo uso, porque los plugins los hago para que me convenzan a mí antes que a nadie, y te aseguro que más quisquilloso y exigente que yo no hay en todo el directorio, ni en el resto del universo conocido, hasta donde se sabe.

Ahora que ya lo he dejado claro, te explico cómo hacer esta cosa de los resúmenes, con AI Share & Summarize, que ya te habrás dado cuenta de que es el más completo.

Cómo activar los resúmenes paso a paso

Si todavía no lo tienes, instala AI Share & Summarize desde Plugins > Añadir nuevo, busca su nombre, instálalo y actívalo. Si ya lo usabas para los botones de compartir, te basta con actualizarlo a la versión 2.0.0 o superior.

Vete a Ajustes > AI Share & Summarize > Ajustes y haz clic en la sección Resumen con IA. Si tienes WordPress 7.0 o superior con un conector configurado verás un aviso en verde que confirma que el cliente de IA está disponible. Si no aparece, no pasa nada, o lo conectas y activas un proveedor IA, o podrás. usar eel sistema por extracción mediante PHP, sin nada que configurar.

Marca la casilla Generar y mostrar resúmenes con IA para activar la funcionalidad. A partir de ese momento, cada vez que publiques o actualices una entrada se genera el resumen automáticamente en segundo plano, sin que el editor se quede esperando a la IA, y los usuarios podrán ver el resumen en tu web.

Configurar cómo y dónde aparece el resumen

Justo debajo tienes el resto de ajustes para dejarlo a tu gusto:

• Resúmenes por tipo de contenido: Eliges en qué tipos se generan, entradas, páginas o cualquiera que tengas registrado. Es independiente de dónde muestras los botones de compartir, así que puedes tener resumen en sitios donde no haya botones y al revés.
• Posición del resumen: Decides dónde sale, justo antes de los botones de compartir, justo después, antes del contenido, o que no se muestre pero se genere igual, opción útil si solo lo quieres para el shortcode o para las IAs.
• Plegado por defecto: Si lo dejas marcado, el resumen aparece plegado y el visitante lo despliega cuando quiere. Si lo desmarcas, sale abierto nada más cargar la página.
• Contador de frases del resumen: De una a cinco frases. Este número se le pasa a la IA como parte de la instrucción, y el sistema por extracción lo usa como tope máximo. Por defecto son tres, que es un buen punto de partida.

Resúmenes automáticos con IA

Si quieres el mejor resultado posible lo ideal con diferencia es el resumen redactado con IA. El paso clave está fuera del plugin, en la pantalla de conectores que trae WordPress a partir de la versión 7.0. Entra en Ajustes > Conectores, elige tu proveedor, mete la clave de API de tu cuenta y guarda. Con eso hecho, el plugin detecta la conexión y empieza a usarla para los resúmenes.

La ventaja es que la clave la pones una vez en el núcleo de WordPress y vale para todos los plugins compatibles, no tienes que ir dándola plugin por plugin. Si quieres entender bien cómo funcionan los conectores y la nueva capa de IA de WordPress 7.0 te lo conté en este artículo.

Nota: Si la generación falla, por ejemplo porque la clave está mal o el proveedor se ha quedado sin saldo, el plugin guarda el último error y te lo enseña en su propia página de ajustes, así que no necesitas activar el modo de depuración para enterarte de qué ha pasado.

Resúmenes automáticos sin IA

Si no tienes WordPress 7.0 o superior, o no quieres pagar por una API, deja marcada la casilla Usar el alternativo por extracción. Con eso el plugin genera el resumen analizando tu propio texto, se queda con las frases que mejor lo representan y descarta las que se repiten.

No esperes la misma calidad que con la IA, porque aquí no hay redacción, son frases tuyas recortadas y unidas lo mejor posible mediante unos algoritmos predefinidos, y luego usa PHP para generar el texto.

Para muchos artículos cumple de sobra, sobre todo si escribes con frases claras y bien rematadas, porque entonces las que elige el sistema ya tienen sentido por sí solas. Si tus párrafos son muy enrevesados el resultado se resiente, puede quedar raro a veces.

¿Añadimos resúmenes a las entradas antiguas?

La generación automática salta al publicar o actualizar, así que tus entradas anteriores a la instalación del plugin se quedan sin resumen hasta que las vuelvas a guardar.

Para no reeditar cientos de entradas, y para no generar automáticamente cientos o miles de publicaciones, con el consiguiente y enorme gasto en IA, el plugin puede mostrar a los visitantes un botón de Generar resumen con IA en las que todavía no lo tienen. El primer visitante que lo pulse genera el resumen y queda guardado para los siguientes.

Aquí hay una decisión que conviene que tomes con la calculadora delante. El ajuste de La parte pública solo usa el generado por extracción hace que ese botón use únicamente el resumen por extracción, que no cuesta nada.

Si desactivas este ajuste, cada clic de un visitante puede lanzar una llamada de pago a tu proveedor de IA, así que piénsatelo bien si tienes mucho tráfico y/o contenidos previos. Eso sí, al menos el botón solo admite una generación por IP y minuto, para que nadie se dedique a aporrearlo y te arruine a base de clics.

Esto es más que relevante, porque los conectores de IA de WordPress es que no traen un tope de gasto propio, ni siquiera visualización, y ya ha habido avisos en la comunidad de que varios plugins que comparten una misma clave pueden disparar la factura en cuestión de minutos. Dejando el botón en solo extracción te curas en salud.

Oye, y sino prueba, desactiva esa casilla (por defecto viene activa para que no te arruines sin saberlo), vigila el gasto de tokens, y si lo consideras razonable pues nada, lo dejas.

Cómo editar o rehacer un resumen a mano

El resumen automático está bien para salir del paso, pero los artículos más importantes agradecerán un repaso. Tienes dos formas según el editor que uses.

Si utilizas el editor de bloques, en la barra lateral aparece un panel del plugin donde ves el resumen actual, lo puedes editar a mano y lanzar una regeneración al momento. Ojo con un detalle, en cuanto editas un resumen a mano queda bloqueado, es decir, ya no se regenera solo cuando actualices la entrada, para que no te machaque tus cambios.

Si usas el editor clásico, tienes una caja meta que hace lo mismo, ves el resumen, lo editas y puedes forzar que se rehaga en el próximo guardado. Si la generación con IA da algún error, ahí mismo te sale un aviso explicando qué ha fallado.

El ajuste de SEO para no competir contigo mismo

Esto requiere un momento de atención, porque hay algún plugin por ahí que lo hace fatal.

Cuando pones un resumen de tu artículo en la propia página, corres el riesgo de que Google lo coja como fragmento destacado y acabe enseñando tu resumen en los resultados en lugar de tu artículo. O sea, que tu propio resumen te robaría el sitio en las búsquedas.

Para evitarlo, el plugin (AI Share & Summarize, que este sí lo hace bien) marca el bloque del resumen con el atributo data-nosnippet, que le dice a Google que no use ese trozo como fragmento en los resultados. De paso le añade microdatos de Schema.org (CreativeWork y abstract) para que buscadores e IAs entiendan que eso es un resumen derivado de tu contenido, no el contenido en sí.

Es un detalle pequeño, pero te ahorra un problema de canibalización que puede hacer polvo tu estrategia de posicionamiento de contenidos si te descuidas y usas cualquier otra cosa.

Insertar el resumen donde quieras con un shortcode

Si no quieres que el resumen salga de forma automática y prefieres colocar el resumen tú a mano en un lugar concreto, tienes un shortcode:

[ayudawp_aiss_summary]

Lo pegas donde quieras dentro de una entrada y ahí aparece su resumen. Y si necesitas mostrar el resumen de otra entrada distinta, le pasas su identificador:

[ayudawp_aiss_summary post_id="123"]

Y de paso, controla qué hacen las IAs con tu contenido

Los resúmenes son una pata de un asunto más grande, el de controlar qué hacen las IAs con lo que publicas. La otra pata es saber qué rastreadores entran en tu web y qué se llevan, y para eso tengo otro plugin gratuito, VigIA, que registra el paso de GPTBot, ClaudeBot, PerplexityBot y compañía.

Si tienes los dos activos, AI Share & Summarize cruza sus datos de clics con las visitas de esos rastreadores que detecta VigIA, así ves de un vistazo si el interés de las IAs por un artículo va en paralelo con lo que hace tu audiencia.

Una última cosa, si has llegado hasta aquí abajo, este artículo no te hacía falta resumido, pero fíjate que ahí abajo tiene su propio resumen, generado con el mismo plugin del que te he hablado.

Despliégalo y mira cómo queda en una entrada de verdad, y si te ha quedado cualquier duda, déjamela en los comentarios y la vemos.

La idea es sencilla, el lector marca las webs en las que confía y a partir de ahí las ve más a menudo cuando busca.

La novedad es que ya no afecta solo al carrusel de noticias, sino también a lo que la gente ve cuando le pregunta a la IA de Google.

Vamos a ver qué son, si tu web puede salir en las fuentes preferidas de Google (te enseño la mía, que sale) y cómo conseguir que tus lectores te elijan como fuente preferida.

Y te aviso de algo desde el principio para que no pierdas el tiempo, no hay nada que instalar ni configurar en WordPress, esto depende de los ajustes de Google de cada usuario, para bien y para … no tan bien. Pero no anticipemos, te cuento…

Qué son las fuentes preferidas de Google

Cuando buscas algo de actualidad, a veces, aparece el bloque con las noticias destacadas.

Pues bien, al lado de ese bloque hay un icono con forma de estrella, si lo pulsas, puedes buscar y marcar las webs que quieres ver más, y al recargar los resultados esas webs salen con más frecuencia cuando publican algo nuevo sobre lo que buscas.

No desaparece el resto, los demás sitios siguen apareciendo, así que no te encierras en ninguna burbuja, es una personalización de fuentes de información de las que te fías.

Puedes marcar tantas fuentes como quieras y cambiarlas cuando te apetezca. Si prefieres gestionarlas todas de golpe sin esperar a encontrarte el icono, tienes la herramienta en google.com/preferences/source.

Si es algo que ya existía ¿por qué ese interés renovado?

Hasta hace nada las fuentes preferidas existían solo en los resultados normales, pero desde mayo del 26 también aparecen en las vistas creadas con IA y en el modo IA, con una insignia de «Preferido» que destaca tus webs marcadas dentro de la respuesta.

Aquí está el matiz que igual deberías tener en cuenta, y es que hoy esa insignia solo sale cuando tu web ya aparece por sí misma en la respuesta de la IA.

No te hace aparecer más, pero Google ya ha dicho que está trabajando en usar las fuentes preferidas como señal de posicionamiento en sus funciones de IA, para que lo que el usuario marca salga más a menudo, pero eso todavía no está activo.

Dicho de otra forma, hoy es un distintivo pero mañana podría ser un empujón de tráfico, a pesar de las respuestas creadas con IA.

Eso sí, también ten en cuenta que si montas tu estrategia de tráfico dando por hecho lo segundo te puedes a llevar un chasco.

En el mismo anuncio Google metió algunas cosas más que pueden ser interesantes. Por un lado está un carrusel que resalta fuentes para preguntas sobre temas en desarrollo, y también ha anunciado una insignia para señalar las fuentes más citadas, lo que en inglés han llamado «Highly Cited».

Para que te hagas una idea del tamaño del asunto, la gente ya ha seleccionado más de 345.000 fuentes distintas.

Por qué te interesa aunque no tengas un medio de noticias

Si buscas guías sobre esto por ahí, la mayoría en ingles, verás que todas lo plantean como cosa de periódicos y portales de noticias, y te empujan a meter el schema NewsArticle y a optimizar para las noticias destacadas.

Pero ahí hay un malentendido que podemos aprovechar en nuestro beneficio. Sin ir más lejos, este blog, Ayuda WordPress (ayudwp.com), no es un medio de noticias, no usa NewsArticle, y aun así aparece en la herramienta de fuentes.

Cualquier blog temático que publique con constancia también entra en las posibilidades de ser fuente preferida de noticias. Lo que cambia es de dónde te llega el beneficio.

Para un blog de tutoriales como este salir en las noticias destacadas es raro, porque ese bloque va de noticias calientes, de tendencias, y por mucho que nos guste, nuestros nichos tienen su público, pero de ahí a ser noticias relevantes o que abran portadas como que no.

El retorno realista está más en Google Discover y en las vistas creadas con IA, que es justo donde tus lectores fieles se encontrarán de manera habitual con tu contenido.

Eso sí, sé realista con lo que da de sí, esto no es un grifo de tráfico, solo te ayuda con quien ya te ha marcado como fuente preferida y cuando tienes algo reciente y relevante para esa búsqueda.

El único dato que ha soltado Google es para cogerlo con pinzas, pues dicen que la gente hace clic el doble de veces en una web después de marcarla como fuente preferida, pero lo dijeron sin explicar cómo lo miden, así que tómalo como una señal de que la cosa funciona, no como una promesa de duplicar visitas.

¿Comprobamos si tu web puede ser fuente preferida?

Antes de prometerle nada a nadie mira si tu web aparece. Con tu sesión de Google iniciada, entra en esta dirección cambiando el dominio por el tuyo: https://google.com/preferences/source?q=tudominio.com

Si tu web sale en la lista, ya puedes pedir que te marquen. En mi caso aparece sin problema:

Dos cosas que conviene saber:

1. Solo valen los dominios y subdominios, no las subcarpetas, así que tudominio.com o blog.tudominio.com sirven, pero tudominio.com/blog no.
2. Las webs que no se actualizan con regularidad pueden no estar disponibles, o sea que publicar a menudo no es opcional para esto.

¿Y cómo consigo que me añadan como fuente preferida?

Aquí está el cambio de mentalidad que tienes que hacer. Con el SEO de toda la vida intentas gustarle al algoritmo, pero esto va de gustarle a las personas hasta el punto de que te añadan manualmente.

No hay nada técnico que puedas tocar en WordPress para forzarlo, solo te queda pedírselo a tu audiencia y, sobre todo, merecértelo. Esto es lo más importante, porque es más cómodo enseñarte a poner un botón que a ganarte la confianza de tu gente.

Lo divido en tres frentes, de menos a más importante, el enlace y el botón, dónde los colocas y, lo que sirve de algo de verdad, la estrategia de contenidos.

El enlace directo y el botón, lo básico que ofrece Google

Lo primero que ofrece Google en la página de información sobre esto de las fuentes preferidas es un enlace directo que lleva al lector a la herramienta de añadir como fuente de preferencia, lo que hemos visto antes, con este formato cambiando mi dominio por el tuyo:

https://google.com/preferences/source?q=ayudawp.com

El lector solo tiene que pulsar y marcar la casilla que aparece junto a tu nombre. Es lo más cómodo que le puedes dar y funciona en cualquier sitio donde pongas un enlace.

Otro recurso que ofrece es una especie de botón oficial que Google te deja descargar en un ZIP desde su centro de ayuda para editores, o pillarlos de aquí, son los mismos:

Lo que pasa es que son botones muy básicos, por eso muchos medios, en vez de usar el botón tal cual, lo recrean con su propio diseño y lo enlazan al enlace directo de antes.

Mi consejo, y esto ya es criterio mío de andar por casa, no algo que diga Google, es que para tus lectores un botón propio, con tu mensaje personalizado convierte mejor que uno genérico aunque te cueste cinco minutos más prepararlo.

Dónde colocar la llamada a la acción

El botón o el enlace por sí solos no hacen magia si los entierras en una esquina. Estas son las ubicaciones que más sentido tienen, y el porqué de cada una.

• La caja de autor al final de cada artículo, junto a tus iconos sociales. Es el sitio natural, el lector acaba de leerte y es cuando más predispuesto está a seguirte.
• El final del propio contenido, después de la última idea útil. Si le ha gustado lo que ha leído, ahí lo tienes receptivo.
• La barra lateral o el pie de la web, para que esté siempre a mano sin depender de un artículo concreto.
• La newsletter, que es donde tienes a la gente que ya te ha dado su confianza. Esos son justo los que más fácil te van a marcar.

La estrategia de contenidos para ser fuente preferida

Muchos medios han publicado un artículo entero dedicado a pedirle a sus lectores que los añadan como fuente preferida, con su paso a paso y su enlace directo. No es una rareza, es ya una táctica habitual, y la puedes copiar adaptándola a tu estilo.

La idea es escribir un artículo breve explicando qué son las fuentes preferidas, por qué le viene bien al lector añadirte (que no se entere de que el favor te lo hace a ti, sino de lo que gana él, no perderse tus publicaciones) y cómo hacerlo en dos pasos con tu enlace. Lo dejas fijado o lo enlazas desde la newsletter y desde tus redes. Sí, algo parecido a esto mismo, pero menos útil, muucho menos.

Eso sí, hazlo con cabeza, que aquí es fácil pasarse de frenada. Te propongo un par de criterios que te ahorran quedar como un plasta:

• Pídelo de vez en cuando, no en cada artículo ni cada semana. Si machacas con ello, cansas y consigues el efecto contrario.
• Aprovecha el momento, que ahora mismo la funcionalidad es novedad y eso te da una excusa natural para contarlo sin que parezca que mendigas.
• Céntralo en lo que gana el lector, no en lo que ganas tú. «Así no te pierdes nada de lo que publico» funciona mejor que «Ayúdame a crecer».
• Ponle un par de capturas del proceso para que no tenga ni que pensar. Cuanto más fácil se lo pongas, más gente lo hará.

Con todo la parte más incómoda de toda esta estrategia es la que ninguno queremos oír, y es que ningún botón ni ningún artículo de «añádeme» va a salvarte si tu contenido no merece que te añadan.

La funcionalidad de fuentes preferidas premia a quien publica con constancia y aporta algo, y de hecho el propio Google avisa de que las fuentes que no se actualizan con regularidad pueden ni siquiera aparecer en la herramienta.

La mejor estrategia para que te marquen como fuente preferida es la misma de siempre, publicar bien y a menudo. El botón es una posible ayuda, no es el truco secreto para ganar tráfico desde búsquedas y respuestas creadas con IA.

Qué puedes medir y qué no

Otra alegría para el cuerpo. No hay panel ni informe de fuentes preferidas, Google no nos da ningún dato de cuánta gente ha marcado nuestra web como preferida ni de cuánto nos aporta.

Lo más que puedes hacer es aproximarte mirando en Search Console cómo evolucionan Discover y las noticias destacadas, preguntar a tu audiencia cómo te ha encontrado y, si pones el enlace o el botón, medir cuántos clics se lleva. De momento es lo que hay, o sea nada.

Pues ya estaría ¿no?

Si te ha parecido útil esta cosa que te he contado, ya sabes lo que toca, marcar este maravilloso blog como fuente preferida en Google desde este enlace y así me leerás más (sí, es posible leerme más) cuando busques cosas interesantes, únicas, tope relevantes de WordPress.

Y si quieres seguir trabajando tu visibilidad de cara a las IAs échale un vistazo a cómo posicionar en las AI Overviews de Google y a cómo saber si las IAs te recomiendan. También te pueden ayudar mis plugins (graaatis) de compartir y resumir en IAs o de optimizar y analizar la visibilidad en IAs.

Buscas una imagen que subiste hace tres meses, no recuerdas el nombre del archivo, te plantas delante de un mosaico interminable y empiezas a hacer scroll y clics hasta encontrarla … o desistir.

Esto pasa porque la gestión de medios de WordPress en general, y la biblioteca en particular, a estas alturas, sigue sin tener un modo de organización decente, ni clasificación por carpetas de forma nativa, ni siquiera un buscador instantáneo decente , y parece ser que esto sí que alguien ha decidido que sea territorio plugins, o no se, buscarte la vida.

Total, que vamos a ver qué opciones tenemos de organizar ese desastre que es la (no) organización de medios en WordPress, que haberlas haylas.

Empezaremos repasando los plugins más interesantes, y luego te cuento algún apaño más.

Ojito con esto: carpetas virtuales y carpetas físicas

Antes de elegir plugin tienes que entender una cosa que no te cuentan bien, porque hay dos formas de organizar la biblioteca con carpetas, y casi no se suele decir, y es importante, al menos yo creo que lo es.

Carpetas virtuales

El plugin no toca tus archivos, lo que hace es crear una taxonomía o estructura interna en la base de datos que asocia cada imagen con una «carpeta».

En el servidor todo sigue en /wp-content/uploads/2026/04/ como siempre, ordenado por año y mes. Si miras por FTP, ahí no hay carpetas que valgan, solo cambia lo que ves en el escritorio de WordPress.

Carpetas físicas

El plugin mueve los archivos de verdad, de modo que si creas una carpeta «catálogo» y metes una imagen, el archivo se traslada a /wp-content/uploads/catalogo/imagen.jpg.

La URL del archivo cambia, y por tanto el plugin tiene que reescribir todas las referencias en la base de datos para que nada se rompa.

Cada enfoque tiene ventajas y problemas:

• Las virtuales son más seguras, rápidas y no rompen nada al activarlas, pero te atan al plugin de por vida (luego vemos por qué).
• Las físicas son más limpias, mejores para SEO y FTP, pero el proceso de migración es delicado y puede dejar enlaces rotos si algo va mal.

¿Qué pasa con las carpetas virtuales cuando desactivas el plugin?

Aquí está la trampa principal y donde se nota la diferencia entre plugins. Si todas tus carpetas son virtuales y un día decides desactivar o cambiar de plugin, esto es lo que pasa:

• Los archivos siguen en el servidor, en sus carpetas /uploads/año/mes/ de toda la vida, sin cambios. Eso es lo bueno.
• La estructura de carpetas que habías montado durante meses o años desaparece de la vista en cuanto desactivas. La biblioteca vuelve a ser ese mosaico infinito de antes.
• Si te pasas a otro plugin de carpetas virtuales, la mayoría tienen herramienta de importación, así que se puede migrar. Pero solo si el otro plugin sigue mantenido y tiene importador para el tuyo.
• Si el plugin muere o el desarrollador desaparece, dependes de que otro plugin meta soporte para importar desde él, y eso no siempre pasa.

O sea, con carpetas virtuales te casas con el plugin. Tu organización de medios deja de ser tuya, pasa a vivir en la base de datos del plugin que tengas instalado. No es un problema todos los días, pero el día que toca cambiar, si cambias, lo es.

Con carpetas físicas pasa lo contrario, pues si desinstalas el plugin los archivos siguen organizados en el servidor como los habías dejado.

La biblioteca de WordPress los seguirá viendo, porque la URL de cada imagen está guardada en su tabla de adjuntos. Pierdes la interfaz cómoda de carpetas en el escritorio, pero no pierdes la organización.

¿Lo tienes claro? pues empezamos, y si ya has tomado alguna decisión te saltas la parte que no te interesa.

Plugins para organizar la biblioteca de medios

Dicho lo anterior, para que te sea más fácil decidirte, te ordeno los plugins bajo este criterio, así sabes por dónde te andas.

Plugins que usan el sistema de carpetas virtuales

Son la mayoría, y funcionan a base de taxonomía personalizada para adjuntos.

FileBird

El más popular con diferencia, con más de 200.000 instalaciones activas en WordPress.org. Tiene versión gratuita generosa (carpetas ilimitadas, drag and drop, búsqueda) y Pro desde 25 USD con licencia de por vida para un sitio.

Importa la estructura de prácticamente todos los demás, es compatible con Elementor, Divi, Gutenberg, WPBakery, WooCommerce, WPML y Polylang.

Tiene un punto débil, y es que en los últimos años se le han reportado y parcheado varias vulnerabilidades de seguridad, así que mantenlo actualizado siempre.

HappyFiles (Pro)

Este es de lo más limpio y rápido del mercado, pero retiró la versión gratuita en 2022 y actualmente solo se vende Pro a 59 USD de pago único para sitios ilimitados, con devolución de 60 días.

La gran ventaja sobre los demás es que organiza también entradas, páginas, productos de WooCommerce y cualquier tipo de contenido personalizado, no solo medios, así que si vas a tener carpetas para todo el escritorio, este es el que tiene más sentido.

Folders

También está gratis en WordPress.org  y tiene versión Pro de pago. Organiza medios, páginas y entradas, importa desde FileBird, Real Media Library, WP Media Folder, HappyFiles y otros.

Tiene una interfaz sencilla, buen punto de entrada para quien empieza.

Real Media Library (Lite)

Tiene versión Lite gratis con carpetas principales ilimitadas, y Pro desde 17 USD que añade subcarpetas, accesos directos en varias carpetas a la vez y más.

Es de los plugins mejor mantenidos del grupo y la curiosidad es que es un modelo mixto, porque su versión básica es virtual, pero si necesitas carpetas reales tiene una extensión que sí las mueve (lo vemos en la siguiente familia).

CatFolders

El recién llegado al sector, con una interfaz moderna, rendimiento decente, buen ajuste con Gutenberg. Va ganando cuota poco a poco.

Si te gusta probar lo nuevo o no te han convencido los otros plugins échale un ojo.

Plugins que usan el sistema de carpetas físicas

Si prefieres tener todo organizado como en tu ordenador, en directorios de verdad, estos son los que merece la pena probar.

WP Media Folder

Funciona por defecto con carpetas virtuales, pero en sus ajustes hay una opción que se llama justamente «Physical Folders» que las convierte en reales.

El propio fabricante avisa en su documentación de que activarla es delicado, porque desactiva algunas funciones del propio plugin y porque la migración toca muchas tablas.

Es el plugin más caro de la lista (desde 69 USD anuales con add-ons), pero también el único que integra sincronización con Google Drive, Dropbox, OneDrive y S3 de serie.

Real Media Library + Real Physical Media

Instalas Real Media Library de antes, para tener el árbol de carpetas, y encima la extensión Real Physical Media reflejada esa estructura en el servidor.

Cuando mueves un archivo se mueve de verdad, físicamente, con redirecciones 301 automáticas para que nada quede roto. Tiene cola en segundo plano para no tumbar el servidor con muchos archivos.

Es la opción más profesional para quien quiere de verdad carpetas físicas con SEO bien resuelto.

Media Library Folders

Este plugin de Max Foundry esta disponible gratis en WordPress.org y con versión Pro. Crea carpetas reales en el servidor desde el primer momento.

No hay modo virtual ni nada que activar, las carpetas que ves son carpetas de verdad, y lo bueno es la simplicidad conceptual, pues lo que ves es lo que hay.

Lo malo es que para sitios grandes con muchos enlaces internos a imágenes, la reorganización inicial puede ser dura.

Comparativa rápida

¿Y no se puede hacer algo sin plugins? ¡Taxonomías al rescate!

WordPress permite asignar taxonomías a los adjuntos, por si no lo sabías. Es en realidad lo mismo que usan por dentro casi todos los plugins virtuales.

Así que si te animas te olvidas de los plugins, y con unas líneas de código puedes registrar una taxonomía «carpeta» y empezar a clasificar tus imágenes desde la propia ficha de cada archivo.

Ya te aviso antes de empezar que esto no te va a dar interfaz de arrastrar y soltar, ni árbol de carpetas en la biblioteca. Lo que te ofrece son categorías que puedes asignar a cada imagen una a una, y filtros para luego encontrarlas y mostrarlas.

Si tienes la biblioteca a base de cientos de archivos y quieres organización rápida con clics, esto no es lo que necesitas, pero si lo tuyo es bibliotecas pequeñas o eres desarrollador y prefieres no depender de un plugin más, te sirve más que de sobra.

<?php
/**
* Plugin Name: Carpetas para organizar la biblioteca de medios
* Plugin URI: https://servicios.ayudawp.com
* Description: Organización ligera y todo con funciones nativas para crear y organizar medios usando carpetas mediante una taxonomía personanlizada.
* Version: 1.0
* Author: Fernando Tellado
* Author URI: https://tellado.es
* License: GPL-2.0-or-later
* Text Domain: ayudawp
*/

if ( ! defined( 'ABSPATH' ) ) {
exit;
}

/**
* Registro de la taxonomía media_folder para los adjuntos.
*/
function ayudawp_register_media_folders_taxonomy() {

$labels = array(
'name' => 'Carpetas de medios',
'singular_name' => 'Carpeta de medios',
'search_items' => 'Buscar carpetas',
'all_items' => 'Todas las carpetas',
'parent_item' => 'Carpeta principal',
'parent_item_colon' => 'Carpeta principal:',
'edit_item' => 'Editar carpeta',
'update_item' => 'Actualizar carpeta',
'add_new_item' => 'Añadir nueva carpeta',
'new_item_name' => 'Nombre de la nueva carpeta',
'menu_name' => 'Carpetas',
);

$args = array(
'hierarchical' => true,
'labels' => $labels,
'public' => true,
'publicly_queryable' => false,
'show_ui' => true,
'show_in_menu' => true,
'show_admin_column' => true,
'show_in_rest' => true,
'query_var' => true,
'rewrite' => false,
);

register_taxonomy( 'media_folder', array( 'attachment' ), $args );
}
add_action( 'init', 'ayudawp_register_media_folders_taxonomy' );

/**
* Reemplazar la entrada de texto por defecto para media_folder en la pantalla de edición de adjuntos
* y la ventana emergente de medios con un menú desplegable.
*
* Usamos los slugs de los términos como valores de opción porque el núcleo de WordPress procesa
* las taxonomías de adjuntos como cadenas separadas por comas después de que se ejecute este filtro.
* Si pasamos IDs numéricos de términos, el núcleo intentará encontrar un slug que coincida con ese
* número y, si falla eso, crear un nuevo término con ese nombre.
*/
function ayudawp_replace_folder_field_in_modal( $form_fields, $post ) {

$taxonomy = 'media_folder';

if ( ! isset( $form_fields[ $taxonomy ] ) ) {
return $form_fields;
}

$terms = get_terms(
array(
'taxonomy' => $taxonomy,
'hide_empty' => false,
'orderby' => 'name',
'order' => 'ASC',
)
);

if ( is_wp_error( $terms ) || empty( $terms ) ) {
$form_fields[ $taxonomy ]['input'] = 'html';
$form_fields[ $taxonomy ]['html'] = '<em>Primero crea carpetas en Medios &gt; Carpetas.</em>';
return $form_fields;
}

$assigned = wp_get_object_terms( $post->ID, $taxonomy, array( 'fields' => 'slugs' ) );
$assigned = is_wp_error( $assigned ) ? array() : $assigned;

$name = 'attachments[' . absint( $post->ID ) . '][' . $taxonomy . ']';
$id = 'attachments-' . absint( $post->ID ) . '-' . $taxonomy;

$html = '<select name="' . esc_attr( $name ) . '" id="' . esc_attr( $id ) . '" style="min-width:200px;">';
$html .= '<option value="">(none)</option>';

foreach ( $terms as $term ) {
$selected = in_array( $term->slug, $assigned, true ) ? ' selected' : '';
$html .= '<option value="' . esc_attr( $term->slug ) . '"' . $selected . '>' . esc_html( $term->name ) . '</option>';
}

$html .= '</select>';

$form_fields[ $taxonomy ]['input'] = 'html';
$form_fields[ $taxonomy ]['html'] = $html;

return $form_fields;
}
add_filter( 'attachment_fields_to_edit', 'ayudawp_replace_folder_field_in_modal', 20, 2 );

/**
* Añade un menú desplegable de filtro de carpetas a la vista de lista de la biblioteca de medios.
*/
function ayudawp_add_folder_filter_to_media_list( $post_type ) {

if ( 'attachment' !== $post_type ) {
return;
}

$taxonomy = 'media_folder';
$terms = get_terms(
array(
'taxonomy' => $taxonomy,
'hide_empty' => false,
)
);

if ( is_wp_error( $terms ) || empty( $terms ) ) {
return;
}

$current = isset( $_GET[ $taxonomy ] ) ? sanitize_key( wp_unslash( $_GET[ $taxonomy ] ) ) : '';

echo '<select name="' . esc_attr( $taxonomy ) . '">';
echo '<option value="">Todas las carpetas</option>';

foreach ( $terms as $term ) {
echo '<option value="' . esc_attr( $term->slug ) . '" ' . selected( $current, $term->slug, false ) . '>' . esc_html( $term->name ) . '</option>';
}

echo '</select>';
}
add_action( 'restrict_manage_posts', 'ayudawp_add_folder_filter_to_media_list' );

/**
* Añade un menú desplegable de filtro de carpetas a la vista de cuadrícula de la biblioteca de medios y a la ventana emergente,
* usando wp_add_inline_script adjunto al manejador media-views.
*/
function ayudawp_add_folder_filter_to_grid_view() {

$terms = get_terms(
array(
'taxonomy' => 'media_folder',
'hide_empty' => false,
'orderby' => 'name',
'order' => 'ASC',
)
);

if ( is_wp_error( $terms ) || empty( $terms ) ) {
return;
}

$folders = array();
foreach ( $terms as $term ) {
$folders[] = array(
'slug' => $term->slug,
'name' => $term->name,
);
}

$js = '(function() {
if ( typeof wp === "undefined" || ! wp.media || ! wp.media.view || ! wp.media.view.AttachmentFilters ) {
return;
}
var folders = ' . wp_json_encode( $folders ) . ';
var FolderFilter = wp.media.view.AttachmentFilters.extend({
id: "media-attachment-folder-filter",
createFilters: function() {
var filters = {};
filters.all = {
text: "Todas las carpetas",
props: { media_folder: "" },
priority: 10
};
folders.forEach(function(folder, index) {
filters["folder_" + folder.slug] = {
text: folder.name,
props: { media_folder: folder.slug },
priority: 20 + index
};
});
this.filters = filters;
}
});
var originalCreateToolbar = wp.media.view.AttachmentsBrowser.prototype.createToolbar;
wp.media.view.AttachmentsBrowser.prototype.createToolbar = function() {
originalCreateToolbar.call( this );
this.toolbar.set( "mediaFolderFilter", new FolderFilter({
controller: this.controller,
model: this.collection.props,
priority: -75
}).render() );
};
})();';

wp_add_inline_script( 'media-views', $js );
}
add_action( 'admin_enqueue_scripts', 'ayudawp_add_folder_filter_to_grid_view' );

/**
* Filtra la consulta de adjuntos AJAX para que la vista de cuadrícula y la ventana emergente de medios
* respeten la carpeta seleccionada.
*/
function ayudawp_filter_attachments_query( $args ) {

if ( empty( $_REQUEST['query']['media_folder'] ) ) {
return $args;
}

$slug = sanitize_key( wp_unslash( $_REQUEST['query']['media_folder'] ) );

if ( '' === $slug ) {
return $args;
}

$args['tax_query'] = array(
array(
'taxonomy' => 'media_folder',
'field' => 'slug',
'terms' => $slug,
),
);

return $args;
}
add_filter( 'ajax_query_attachments_args', 'ayudawp_filter_attachments_query' );

Pega este código en un plugin propio o en un mu-plugin, no lo metas en el functions.php del tema porque el día que cambies de tema te quedas sin carpetas y sin selector.

Si lo guardas como /wp-content/mu-plugins/ayudawp-media-folders.php se activa solo, que es lo más cómodo para uso personal.

Al activarlo te encuentras esto:

• En el menú de medios aparece «Carpetas» para crear y gestionar las carpetas como si fueran categorías, con jerarquía padre-hijo incluida.
• En la ficha de edición de cada adjunto sale la caja meta de carpetas a la derecha, con casillas de selección.
• En la ventana emergente de insertar imagen aparece el campo «Carpetas» con un desplegable.
• En el listado de medios en vista de lista hay una columna nueva «Carpeta» y un filtro.
• En la vista de cuadrícula de la biblioteca y en el modal de medios aparece también un filtro de carpetas en la barra de herramientas superior.

Algunas pequeñas limitaciones

• Solo permite una carpeta por archivo en el selector de la ventana emergente. La caja meta de la ficha permite varias por ser de tipo checkbox. Si quieres consistencia ajusta uno de los dos.
• No hay arrastrar y soltar, ni árbol al estilo Finder, esto son selectores y desplegables. Para interfaz más cómoda, plugin al canto.
• El filtro de la vista de cuadrícula aparece también en la ventana emergente de insertar imagen en el editor de entradas y páginas, pues ambos usan el mismo componente de WordPress. Si te molesta en la ventana emergente hay forma de limitarlo solo a la pantalla principal de la biblioteca pero alarga el código.
• Si tienes muchas carpetas (más de veinte o treinta), el desplegable se hace incómodo. Cualquier plugin profesional resuelve esto con un árbol lateral, aquí no lo tienes.

Aun con esas limitaciones, hace su trabajo y te deja la organización guardada en tablas estándar de WordPress (wp_terms, wp_term_taxonomy, wp_term_relationships), sin dependencia de un plugin de terceros que pueda desaparecer mañana.

Si un día decides instalar FileBird o cualquier otro, la mayoría tienen importador de taxonomías estándar y pueden recuperar la organización sin que tengas que reasignar las imágenes a mano.

Y entonces ¿cuál elijo?

Respuesta corta y al grano:

• Si quieres lo más sencillo, gratis y popular: FileBird. Manténlo actualizado siempre por las vulnerabilidades pasadas.
• Si llevas una agencia o varias webs y vas a usar carpetas para entradas, páginas y productos además de medios: HappyFiles.
• Si te importa el SEO de las imágenes, quieres URLs limpias y descriptivas y no te asusta el proceso de migración: Real Media Library con el add-on Real Physical Media.
• Si combinas WordPress con Google Drive, Dropbox o almacenamiento en la nube: WP Media Folder.
• Si quieres carpetas físicas reales sin complicarte con add-ons: Media Library Folders de Max Foundry.
• Si eres desarrollador o prefieres montar tu propio sistema mínimo sin atarte: taxonomía personalizada con el código de arriba.

Sea cual sea tu elección, antes de instalar pregúntate si podrías vivir si esE plugin desaparece mañana. Si la respuesta es que no, estás eligiendo mal, o estás eligiendo bien pero asumiendo el riesgo conscientemente, que también vale.

Y sobre todo, antes de tocar la biblioteca de medios de una web en producción, haz copia de seguridad, y si vas a migrar a carpetas físicas, prueba primero en un staging.

Estas operaciones tocan miles de archivos y registros, y un fallo a mitad puede dejarte la biblioteca con imágenes huérfanas y enlaces rotos en posts antiguos.

No fue un fallo de programación ni una vulnerabilidad clásica de las que se publican en una base de datos y se parchean en dos semanas, fue otra cosa.

Alguien con dinero compró el catálogo entero de plugins de un desarrollador conocido, heredó sus permisos de WordPress.org y subió una actualización envenenada que llegó a cientos de miles de webs como si fuera una mejora más.

Aviso por si te suena lejano, la misma semana cayó otro plugin con 800.000 instalaciones, y un par más al poco tiempo. Esto va a más, y conviene que sepas cómo defenderte.

Los 3 casos que la liaron parda

No es un caso aislado, es un patrón. En muy poco tiempo se descubrieron al menos tres ataques con el mismo guion, aunque el tipo de amenaza fue diferente.

Essential Plugin: el catálogo de plugins comprado en Flippa

Un comprador con perfil en SEO, criptomonedas y marketing de juego online adquirió en Flippa el catálogo completo de Essential Plugin (que antes se llamaba WP Online Support) por una cifra de seis dígitos a principios de 2025.

Eran más de treinta plugins con años de desarrollo legítimo y unas 400.000 instalaciones declaradas entre todos.

El 8 de agosto de 2025, en la versión 2.6.7 de los plugins, el nuevo dueño subió una actualización con un registro de cambios tan inocente que daba pereza leerlo, como tantos otros: «Check compatibility with WordPress version 6.8.2».

Detrás de ese texto venían 191 líneas extra de PHP con una puerta trasera de deserialización, que estuvo durmiente ocho meses.

El 5 de abril de 2026, el atacante activó la puerta trasera desde su servidor (analytics.essentialplugin.com) y las webs infectadas empezaron a servir spam SEO camuflado solo para Googlebot.

Los visitantes humanos veían la web normal, el propietario de la web veía el escritorio normal, pero Google veía una web llena de enlaces a chiringuitos de apuestas.

Patchstack y Anchor Hosting destaparon la liada y el 7 de abril WordPress.org cerró los 31 plugins de golpe.

Smart Slider 3 Pro: el servidor de actualizaciones comprometido

La misma semana el plugin Smart Slider 3 Pro (800.000 instalaciones) cayó por otra vía. Aquí no hubo compra del plugin, pero alguien consiguió acceso al servidor desde el que se distribuyen las actualizaciones premium y metió código malicioso en una versión normal.

El efecto para el usuario final fue el mismo, o sea, instalas una actualización oficial firmada por el autor de siempre y te llevas malware de regalo.

Widget Logic, Countdown Timer Ultimate y los que vendrán

El mismo patrón se ha visto en Widget Logic y Countdown Timer Ultimate, descubiertos en las semanas siguientes, y más que vendrán mientras no se le ponga algún tipo de freno.

El método es demasiado rentable como para que algún joputa no lo repita, porque no necesitas saber explotar una vulnerabilidad, ni buscarla, ni pelearte con un cortafuegos, compras la confianza ya forjada por otro y la usas contra los usuarios.

Cómo lo llaman a esta putada en inglés … y qué es exactamente

En la prensa especializada anglosajona lo llaman supply chain attack (ataque a la cadena de suministro), que no se tú, pero a mi no me dice nada, suena como a tomarse un te macha en una terraza de verano o poco más.

Y ya lo entiendo, que realmente no está mal traído, pues el término viene de la idea de que tu plugin no es solo el código que ves, es también el desarrollador, el repositorio, el servidor de actualizaciones y todos los eslabones intermedios.

Trata de definir que si uno de esos eslabones se corrompe, el código que tú instalas en tu web ya no es el que tú creías que era, aunque venga por el canal oficial.

La diferencia con un ataque tradicional es importante, porque en un ataque clásico los malos buscan un fallo en tu plugin para colarse. Aquí no necesitan buscar nada porque el plugin viene ya envenenado de origen.

La actualización que rompe tu web no es un exploit, es una versión oficial firmada por el autor original, distribuida por WordPress.org, instalada por tu sistema de actualizaciones automáticas como ha hecho mil veces antes. Por eso es tan difícil de parar.

Venga, acepto el nombre, pero a mi me pega más algo como cabronada, plugins envenenados o burra vieja, no se, ya me entiendes, soy más de andar por casa.

Por qué WordPress es el caldo de cultivo perfecto

Esto no pasa solo en WordPress, pero en WordPress pasa con especial facilidad por varias razones que conviene tener claras.

Los plugins se compran y se venden como cualquier otro activo digital

En marketplaces como Flippa puedes encontrar plugins en venta con sus 50.000, 100.000 o 400.000 instalaciones activas.

El comprador, sea quien sea y tenga las intenciones que tenga, hereda el acceso SVN al repositorio de WordPress.org y puede subir actualizaciones desde el minuto uno.

No hay un proceso de revisión del nuevo dueño, ni un aviso público en el escritorio del usuario diciendo «este plugin ha cambiado de manos, revisa antes de actualizar», nada.

Las actualizaciones automáticas funcionan en tu contra cuando esto pasa

Si tienes las activadas las actualizaciones automáticas para todos los plugins, que es la recomendación habitual razonable, recibes la versión envenenada sin enterarte.

De hecho muchos hosting incluso fuerzan las actualizaciones automáticas por defecto, por buena intención, pero aquí te das de bruces contra una putada que pervierte una buena idea original.

WordPress.org no firma el código

Otros ecosistemas como Debian, Microsoft Store o iOS exigen firma criptográfica para que el software que ejecutas pueda comprobarse contra una clave del autor original.

En WordPress eso no existe, si alguien hereda los permisos del autor puede subir lo que quiera sin que nadie compare nada contra nada.

No se tú, llámame loco, pero esto debería revisarse en las directrices del directorio de plugins, no es complicado de implementar, no es algo raro, y nos quitaría de mucho cabronazo malintencionado de estos.

El modelo de negocio del plugin gratuito empuja a vender

Mantener un plugin con miles de instalaciones es caro en tiempo, en soporte y en mantenimiento, y si no monetizas con versión premium ni con servicios llega un momento en el que abandonas o vendes.

Los compradores con intenciones limpias existen, la mayoría lo hacen por ese digno objetivo de ganar dinero lícitamente, pero también están los otros, que prefieren hacerse ricos a tu costa, y sin tu consentimiento.

¿He dicho ya que me cago en todos sus muertos?, por si acaso.

Cómo saber si tu web está infectada con plugins envenenados

Si tienes las actualizaciones automáticas activadas y alguno de los plugins comprometidos estaba instalado entre agosto de 2025 y abril de 2026, posiblemente tu sitio sirvió contenido manipulado durante un tiempo.

Estos son los indicadores que tienes que mirar ahora mismo.

Busca en wp-config.php

La puerta trasera de Essential Plugin se inyectaba en wp-config.php justo en la misma línea que el require_once ABSPATH . 'wp-settings.php';.

No estaba en una línea aparte, en la misma, para que sea fácil pasarlo por alto si revisas el archivo a ojo.

Abre tu wp-config.php por SFTP o desde el gestor de archivos del hosting y busca esa línea. Si ves cualquier cosa pegada a continuación o el archivo es notablemente más grande de lo normal (la inyección añade unos 6 KB), tienes un problema.

Busca el archivo wp-comments-posts.php

El payload activado creaba un archivo llamado wp-comments-posts.php en la raíz del WordPress. Si lo ves ahí no es tuyo, no es de una instalación normal, WordPress no tiene ningún archivo con ese nombre por defecto.

Revisa el listado de plugins cerrados

Entra en tu listado de plugins instalados, abre los detalles de cada uno y mira si aparece el aviso de «cerrado», o algo más claro en la página del plugin, pero tampoco para tirar cohetes.

Si lo ves lo desinstalas inmediatamente, no lo dejes ahí «por si lo reabren» o «por si arreglan algo». Los archivos siguen ejecutándose mientras estén ahí, aunque el plugin esté desactivado en WordPress.

Plugins de Essential Plugin

Si no recuerdas todos los plugins que tienes (o tenías), la lista completa de los 31 plugins de Essential Plugin afectados la mantienen actualizada en el análisis de Anchor Hosting.

Compara con tu lista de plugins instalados, incluso si están desactivados.

Mira los logs de Cloudflare o del hosting

Si tienes Cloudflare o cualquier CDN delante, revisa el tráfico saliente hacia analytics.essentialplugin.com en los últimos meses.

Si tu hosting te deja acceder a los logs de salida (no todos lo hacen), busca peticiones a ese dominio, es un indicador casi infalible.

Cómo te defiendes para el próximo ataque

Porque va a haber uno, no te quepa duda. La defensa contra este tipo de ataques no es una sola medida, son varias capas que tienen que trabajar juntas, te las cuento por orden de prioridad.

Detección de plugins cerrados

Cuando WordPress.org cierra un plugin (por vulnerabilidad grave, por código malicioso o por incumplir las normas del repositorio), no te avisa de manera clara.

Se marca el aviso en el listado de plugins, pero si no entras a esa pantalla a diario y miras los detalles de los plugins, te puedes pasar semanas con el plugin comprometido instalado sin enterarte. Esto es lo primero que tienes que automatizar.

Dos opciones para esto, estas:

• Wordfence detecta plugins cerrados y abandonados desde 2017. Es la opción más conocida, pero lo hace dentro de su escaneo de malware general, que la gente programa cada semana. Si el plugin se cierra el lunes y tu escaneo es el viernes, tienes cuatro días de margen.
• El plugin Vigilante tiene esta función, con un par de detalles que ayudan bastante. Por un lado, lanza una consulta diaria a la API de WordPress.org para cada plugin instalado (activado o no) y avisa el mismo día con un email crítico. Por otro, recuerda qué plugins estaban vivos antes, y si la API empieza a devolver 404 para un plugin que ayer respondía, lo trata como cierre con la misma gravedad que un cierre explícito (algunos cierres por motivos graves esconden la metadata del plugin entera, y si solo miras lo que devuelve la API te lo puedes perder). Además, los plugins cerrados aparecen en el escritorio como recomendación crítica con enlace directo, en la auditoría de seguridad como evento, y se siguen mostrando en cada email de resumen hasta que los desinstalas o los marcas como ignorados de forma explícita.

Cualquiera de las dos opciones es mejor que nada. Si ya tienes Wordfence lo dejas, si quieres detección más rápida y dedicada o no quieres meter Wordfence por su peso prueba con Vigilante.

Integridad de archivos

La inyección de la puerta trasera cambia archivos en el plugin y a veces en el wp-config.php. Un escáner de integridad de archivos que compare lo que hay en tu instalación con las sumas de comprobación oficiales de WordPress.org detecta cambios sospechosos.

Esto lo hacen Kadence Security, Vigilante y otros. Lo activas, lo programas cada día, y recibes un email cuando hay un archivo modificado que no esperabas. El truco está en no ignorar los avisos.

Cuando WordPress se actualiza, también te llegan avisos de archivos modificados (porque efectivamente se modifican), y la mayoría de nosotros nos acostumbramos a marcarlos como leídos sin mirar, y no, no lo hagas.

Si un email te avisa de cambios en plugins que no has actualizado, abre y mira.

Auditoría y registro de actividad

Tener un registro que te diga quién instala, activa, actualiza o desactiva plugins en tu web es un seguro barato, de hecho gratis.

Si alguien con acceso al admin de WordPress mete un plugin envenenado o activa uno que ya estaba desactivado queda registrado.

Lo incluyen casi todos los plugins de seguridad medianamente serios (como Vigilante), y sino también hay plugins específicos que son solo para esto.

Actualizaciones automáticas selectivas

Aquí va a ir contra lo que has leído mil veces, pero hay matices, porque sí, las actualizaciones automáticas son buena idea para plugins pequeños y/o bien mantenidos, especialmente si no son críticos para tu negocio.

Pero para plugins que tocan dinero o datos sensibles (WooCommerce, pasarelas de pago, formularios que recogen tarjetas, plugins de membresía, plugins de email transaccional) la actualización automática es una muy mala idea.

Te bajas la actualización a staging, miras el registro de cambios, esperas 48 horas a ver si alguien grita en los foros, y entonces actualizas a producción.

El caso Essential Plugin se distribuyó precisamente gracias a las actualizaciones automáticas. Quien las tenía desactivadas y revisaba los registros de cambios se salvó, aunque fuese por suerte o casualidad.

Protegiendo la comarca

Afortunadamente, el 5 de junio, coincidiendo con WordCamp Europe, se anunció que WordPress está poniendo en la nevera las actualizaciones de plugins durante 24 horas, para precisamente evitar cosas como lo que estamos hablando, para dar tiempo al equipo de plugins a revisar todas las actualizaciones, por supuesto ayudados de una IA especializada, a la que han llamado Gandalf, para que tenga de todo.

De momento son eso, 24 horas de espera, pero se irán reduciendo los tiempos a medida que se mejore el sistema.

Es una buenísima noticia, sí, pero no exime a nadie de responsabilidades, tampoco a ti.

Lo que no hace ningún plugin por ti

Ningún plugin de seguridad te salva de todo, hay cosas que tienes que hacer tú, con tu equipo o contratando a alguien que se ocupe por ti, y no hay automatización que las sustituya.

Revisar el registro de cambios antes de actualizar plugins críticos es una de ellas. Un changelog que dice «Check compatibility with WordPress version 6.8.2» y la actualización pesa 6 KB más, debería levantarte la ceja. No siempre se nota tan claro, pero a veces sí, y conviene mirar.

Suscribirte a feeds de bases de datos de vulnerabilidades es otra. Patchstack, WPScan y Wordfence Intelligence publican avisos a diario. No necesitas leerlos todos, pero suscribirte a sus newsletters semanales te da una visión general del panorama sin esfuerzo.

Seguir el foro de soporte de los plugins que usas en webs importantes también ayuda. Si un plugin con muchas instalaciones se ha vuelto raro, los foros se llenan de quejas a las pocas horas, y tener cinco o seis plugins críticos en favoritos del foro de WordPress.org no cuesta nada.

Desconfiar de cualquier plugin que cambie de dueño y desinstalarlo si puedes vivir sin él es la medida más radical, pero también la más segura. Si te enteras de que un plugin que usas ha sido vendido te tomas un par de horas para evaluar alternativas y mantenerte preparado por si la cosa va mal. No siempre va mal, pero cuando va ya no hay tiempo.

Y mantener backups, sí, otra vez. Copias de seguridad de verdad, fuera de tu servidor, probados, recientes y restaurables en menos de una hora.

Si te ha pasado lo de Essential Plugin y no quieres pelearte con la limpieza, lo más rápido suele ser restaurar a antes de la infección y aplicar lo aprendido para no caer otra vez.

Lista de tareas para ya

Si has llegado hasta aquí, dedica un rato hoy mismo a hacer esto. No te lleva más de una hora, dependiendo del tamaño de tu web.

• Revisa el listado de plugins instalados (incluso los desactivados) y comprueba si aparece alguno con el aviso de «cerrado». Si lo hay, desinstálalo.
• Cruza tu listado contra el de lo 31 plugins de Essential Plugin del enlace de Anchor Hosting que te he puesto más arriba. Si te coincide alguno, asume que tu web estuvo comprometida y empieza la limpieza desde wp-config.php.
• Abre tu wp-config.php por SFTP y busca código extraño junto a la línea de require_once ABSPATH . 'wp-settings.php';. Si lo ves, restaura el archivo desde un backup limpio.
• Comprueba si existe un archivo wp-comments-posts.php en la raíz de tu WordPress. Si está lo borras sin piedad.
• Instala y activa un plugin de seguridad que tenga detector de plugins cerrados. Wordfence o Vigilante, el que prefieras.
• Activa el escáner de integridad de archivos con email diario del plugin de seguridad, y si no tiene esa herramienta cambia de plugin de seguridad.
• Activa también la auditoría de registro de actividad para saber quién toca qué.
• Desactiva las actualizaciones automáticas en los plugins que tocan dinero o datos sensibles. Planifica un proceso manual de revisión semanal.
• Suscríbete al boletín de Patchstack o Wordfence Intelligence. Cinco minutos a la semana leyendo te ahorra muchos disgustos.
• Si gestionas webs de clientes, comprueba estos mismos puntos en todas las que mantienes. Si tienes diez webs, una hora por web es un día de trabajo bien invertido.

Lo del software libre que confías a desconocidos por defecto va a seguir pasando.

Mientras WordPress.org no obligue a firmar el código y a auditar las transferencias de propiedad (que no parece que vaya a pasar pronto), la mejor defensa eres tú.

Aplícate al cuento, sigue estos consejos que te he dado, no pasa nada por ser un poco paranoico con los plugins críticos, dormirás más tranquilo, es mucho peor ser confiado con las cosas del comer.

Pues bien, ahora tengo que decirte algo que incluso me cuesta un poquito, y es que la mayoría de lo que hacen los plugins de SEO ya no te sirve de nada.

No es que sean malos plugins, algunos son muy buenos, el problema es que fueron diseñados para un mundo donde Google mostraba diez enlaces azules y tú competías por estar entre los tres primeros, ese mundo se está acabando.

Las AI Overviews responden directamente en la página de resultados, ChatGPT y Perplexity dan respuestas sin que nadie visite tu web, y el tráfico orgánico lleva meses cayendo en casi todos los sectores. Se le ha llamado el gran desacoplamiento, y si aún no lo has notado en tu Search Console dale tiempo.

La pregunta que hay que hacerse no es si tu plugin de SEO funciona bien, la pregunta es si lo que hace tu plugin de SEO sigue siendo relevante.

Vamos a repasar función por función, sin ánimo de hacer leña de nadie, pero también sin andarme con jilipolleces o medias tintas.

Las funciones de los plugins de SEO que ya no pintan (casi) nada

Vamos a ver juntos, funcionalidad a funcionalidad (casi todas) las herramientas que ofrecen los plugins de SEO que a día de hoy tiene poco o ningún sentido utilizar.

Focus keyword y densidad de keywords

Qué te ofrecen

Escribes una «palabra clave objetivo» y el plugin analiza tu contenido para decirte si la has usado suficientes veces, si aparece en el título, en el primer párrafo, en algún H2, en el texto alternativo de una imagen.

Es una de las funciones más reconocibles de cualquier plugin de SEO, es la base de los famosos semáforos.

Por qué ya no tiene sentido

Los motores de búsqueda con IA no cuentan cuántas veces aparece una palabra en tu texto, entienden de qué va tu contenido por contexto semántico. Puedes escribir un artículo completo sobre «cómo migrar WordPress a otro hosting» sin usar esa frase exacta ni una sola vez, y tanto Google como ChatGPT van a entender perfectamente de qué hablas.

La keyword density fue una métrica útil cuando los algoritmos de búsqueda eran básicos y necesitaban pistas explícitas. Los LLMs (modelos grandes de lenguaje) procesan el significado, no la repetición. De hecho, un texto donde se fuerza la keyword suena peor, se lee peor y probablemente la IA lo descarte antes que uno escrito con naturalidad.

El concepto mismo de «optimizar para una keyword» se ha quedado viejo. Ahora se trata de responder a una intención, de cubrir un tema con profundidad, y eso no se mide contando palabras.

¿Sirve aún de algo?

Como recordatorio de que tu contenido debe tener un enfoque claro, sí, como herramienta de optimización real, no.

Si necesitas un plugin para saber si tu artículo trata sobre lo que se supone que trata, el problema no es de SEO, es de redacción.

Plantillas de title y description

Qué te ofrecen

Patrones automáticos para generar el title tag de tus entradas y páginas: %%title%% | %%sitename%%, %%title%% - %%category%% | %%sitename%%, etc.

Por qué ya no tiene sentido

La meta tag title sigue existiendo y Google sigue usándolo, pero cada vez lo reescribe más. Google modifica la tag title en más del 60% de los resultados de búsqueda, y para las IAs que procesan tu contenido el title es un dato más dentro de la página, no la señal principal que determina si te van a citar o no.

La idea de que un patrón como «Keyword | Marca» te daba ventaja competitiva ya no se sostiene. Lo que importa es que el título sea descriptivo y realista, y eso lo puedes escribir tú directamente en WordPress sin plantillas de por medio.

¿Sirve aún de algo?

Para sitios grandes con cientos o miles de páginas donde poner títulos coherentes a mano sería inviable (tiendas online, directorios) las plantillas siguen siendo prácticas. Para un blog o web de contenidos donde escribes cada título individualmente no aportan nada.

Yo mismo hace más de 2 años que no lo uso.

Optimización de title y description

Qué te ofrecen

Un campo para escribir las metas title y description de cada entrada y página, con un contador de caracteres y sugerencias para hacerlas atractivas y que el usuario haga clic en tu resultado.

Por qué ya no tiene sentido

Dos razones principalmente.

La primera es que Google reescribe los title y description cuando le da la gana, y cada vez lo hace con más frecuencia. Ignora las que tú escribes más de la mitad de las veces y genera otras a partir del título y contenido de la página, así que gran parte del tiempo estás escribiendo para nadie.

La segunda, más gorda, pues resulta que si una AI Overview responde a la búsqueda directamente, el usuario ni siquiera llega a ver tu snippet. No hay clic que optimizar si no hay resultado que mostrar, tu title y tu meta description perfectamente redactadas se quedab ahí, invisibles, mientras la IA le da al usuario lo que busca sin que puedas hacer nada ni por impedirlo ni por modificar ese resultado.

¿Sirve aún de algo?

Para las búsquedas donde aún no aparecen AI Overviews (que todavía las hay, más en español) siguen teniendo cierta utilidad. Pero el tiempo que dedicas a escribir etiquetas title y  meta descriptions personalizadas para cada artículo tiene un retorno cada vez menor.

Si escribes mucho contenido probablemente no merece la pena hacerlo a mano para cada entrada. Un título de tu publicación bien elegido y una meta description decente generada automáticamente a partir de tu extracto o primer párrafo, sobre todo si los defines conscientemente de su valor, suelen ser más que suficiente.

Puntuaciones de legibilidad

Qué te ofrecen

Análisis del texto con métricas tipo Flesch-Kincaid, que miden la longitud de frases, uso de voces pasivas, variedad de conectores, complejidad de vocabulario, etc. El típico semáforo que te dice si tu texto es «fácil de leer» o no.

Por qué ya no tiene sentido

Estas puntuaciones miden la legibilidad mecánica no la calidad del contenido. Un artículo técnico sobre configuración de servidores puede tener frases largas y vocabulario especializado y ser exactamente lo que tanto un lector experto como una IA necesitan.

La IA no penaliza las frases largas, la IA no busca textos «fáciles» busca textos que respondan bien a una pregunta, con autoridad y precisión.

Además, estas métricas de legibilidad se diseñaron para textos educativos en inglés. Su aplicación al español siempre ha sido discutible, y en el contexto de optimización para IAs es directamente irrelevante.

¿Sirve aún de algo?

Escribir claro siempre es buena idea pero no necesitas un plugin que te ponga un semáforo para eso. Si llevas tiempo escribiendo en la web ya sabes cuándo un párrafo es demasiado denso. Fíate más de tu criterio y de la respuesta de tus lectores que de una fórmula matemática pensada para otro idioma y otra época.

Mapas del sitio XML de los plugins SEO

Qué te ofrecen

Generación de sitemaps XML personalizados, con opciones para incluir o excluir tipos de contenido, establecer prioridades y frecuencias de actualización.

Por qué ya no tiene sentido

WordPress genera mapas del sitio nativos desde la versión 5.5. Funcionan bien, Google los lee sin problemas y, lo más importante ahora, los bots de IA también los devoran. Si miras los logs de tu servidor con VigIA verás que los crawlers de ChatGPT, Claude, Perplexity y compañía van directos a tu sitemap para saber qué contenido tienes y por dónde empezar a rastrear.

Los plugins de SEO lo primero que hacen es desactivar los sitemaps nativos de WordPress y sustituirlos por los suyos. ¿Por qué?, pues porque así te crean una dependencia, para que si desactivas el plugin te quedes sin mapa del sitio (en teoría).

Para la inmensa mayoría de sitios WordPress el mapa del sitio nativo de WordPress es más que suficiente.

¿Sirve aún de algo?

Si necesitas personalizar el mapa del sitio que ya crea WordPress (excluir ciertas taxonomías, ajustar qué se incluye, añadir tipos de contenido personalizados), puedes hacerlo sin un plugin de SEO enorme. Visibility, entre otras cosas, te permite configurar los sitemaps nativos de WordPress sin desactivarlos ni sustituirlos por otros, que es justo lo que tiene sentido ahora que los bots de IA dependen tanto de ellos.

Editor de robots.txt

Qué te ofrecen

Una interfaz para editar el archivo robots.txt desde el panel de WordPress, con reglas para permitir o bloquear el acceso de bots a distintas partes de tu sitio.

Por qué ya no nunca tiene sentido

WordPress genera un robots.txt virtual (accesible en /?robots=1) que para la mayoría de sitios es suficiente. Los plugins de SEO te ofrecen un editor gráfico que parece más complejo de lo necesario, pero sobre todo es que ¡es un puñetero archivo de texto!.

Estoy aún esperando que alguien me explique qué sentido tiene usar un plugin para algo que no cambia a diario, ni todas las semanas, ni todos los meses, algo que normalmente configuras una vez y lo repasas cada mucho tiempo.

Pero la cosa es aún peor, porque hay plugins de SEO que, ahora, tratan de justificar su inclusión bajo el pretexto de que así puedes bloquear a los bots de IA que no quieras, a GPTBot, ClaudeBot, PerplexityBot, Bytespider, CCBot y otros crawlers de IA.

Pues no, resulta que los disallow en el robots.txt son meramente declarativos, y no es que los bots de IA no los hagan caso, es que ni Google los tiene en cuenta.

¿No te lo crees? Instala y activa VigIA, dale a bloquear mediante robots.txt a cualquier rastreador, vas a descubrir (también tiene una utilidad para ver eso) que pasan totalmente, que lo único que los detiene es bloquearlos mediante PHP.

¿Sirve aún de algo?

El editor en sí es una comodidad menor, para algo que no hace falta. Lo que de verdad necesitas es informarte sobre qué crawlers de IA existen y cuáles quieres permitir, y eso es una decisión estratégica que ningún plugin puede tomar por ti. Un simple fichero robots.txt editado a mano o con un plugin ligero cubre cualquier necesidad que pienses que necesitas más que de sobra.

Etiquetas canónicas

Qué te ofrecen

Gestión automática de la etiqueta rel="canonical" para evitar problemas de contenido duplicado, con opción de personalizar la URL canónica de cada entrada.

Por qué ya no tiene sentido

WordPress genera etiquetas canónicas de forma nativa desde casi siempre y para el 90% de los sitios la canónica automática que pone WordPress es correcta. Los casos donde necesitas personalizar la canónica manualmente (contenido sindicado, variaciones de URL con parámetros, contenido duplicado entre dominios) son bastante específicos y no justifican un plugin de SEO completo.

Además, a los LLMs la etiqueta canónica les da bastante igual. Procesan el contenido que encuentran, no las instrucciones de indexación pensadas para Googlebot.

¿Sirve aún de algo?

Si tienes un sitio con problemas reales de contenido duplicado (tienda con productos en varias categorías, contenido publicado en varios dominios), sí puede ser útil. Para un blog o web de contenidos normal, lo que hace WordPress solo es suficiente.

Meta tags para redes sociales (Open Graph, Twitter Cards)

Qué te ofrecen

Generación automática de las etiquetas Open Graph y Twitter Cards para que cuando alguien comparta tu contenido en redes sociales aparezca con título, descripción e imagen correctos.

Por qué ya no tiene sentido

El tráfico desde redes sociales también va en caída libre para la mayoría de webs, nos empeñamos, pero la realidad es que la gente lee lo que pones en su red, y raramente visitan tu web para saber más que lo que les ofrece el titular, ¿no te has dado cuenta de que la gente comenta tus contenidos en sus redes, no en tu web?

Facebook reduce el alcance orgánico cada trimestre, Twitter/X es un caos algorítmico, y las plataformas donde sí se comparte contenido (LinkedIn, Threads) cada vez priorizan más el contenido nativo sobre los enlaces externos.

Que tu enlace se vea bonito cuando alguien lo comparte está bien, pero el impacto real en tráfico es mínimo para la mayoría de sitios.

¿Sirve aún de algo?

Si las redes sociales son una fuente de tráfico importante para ti sí merece la pena tenerlo. Pero muchos temas WordPress ya generan Open Graph básico sin necesidad de un plugin de SEO aparte.

Y si no compartes activamente en redes o tu audiencia no llega por ahí, es una función que ocupa espacio en tu base de datos, aumentan el peso de tu HTML y no te aporta nada.

Marcado Schema automático

Qué te ofrecen

Generación automática de datos estructurados (Schema.org) para artículos, páginas, breadcrumbs, organización, autor, etc. Los plugins más avanzados añaden tipos como FAQ, HowTo, productos, recetas, eventos.

Por qué ya no tiene sentido

Bueno, esta función sí tiene sentido, pero no como la implementan la mayoría de plugins de SEO por un par de motivos, a saber:

1. El Schema que añaden por defecto (Article, BreadcrumbList, Organization) es tan básico que apenas aporta diferenciación. Google ya es capaz de entender que un artículo es un artículo sin que se lo digas con JSON-LD.
2. El Schema que de verdad te puede ayudar a aparecer en AI Overviews y en respuestas de IAs (FAQ, HowTo, datos de producto con precio e inventario, reseñas con puntuación, datos con fuentes citadas) requiere un trabajo manual y específico que los plugins de SEO automatizan mal o directamente no ofrecen en sus versiones gratuitas.

¿Sirve aún de algo?

Los datos estructurados siguen siendo importantes, quizá más que nunca, pero la forma de implementarlos tiene que cambiar.

Necesitas JSON-LD bien pensado y específico para tu contenido, no el Schema genérico que un plugin genera automáticamente para todos tus artículos o páginas.

Los tipos de datos que interesan a las IAs son los que aportan información práctica verificable, como precios, fechas, pasos de un proceso, respuestas a preguntas concretas.

Auditorías y puntuaciones SEO

Qué te ofrecen

Un panel con una puntuación global de tu SEO, alertas sobre «problemas» (entradas sin meta description, títulos demasiado largos, imágenes sin texto alternativo, enlaces rotos) y recomendaciones para mejorar.

Por qué ya no tiene sentido

Estas auditorías miden lo que era importante en 2018. Te dicen que tienes 47 entradas sin meta description y tú sales corriendo a escribirlas todas, pero ninguna de esas métricas tiene correlación con que aparezcas o no en una AI Overview, ni con que ChatGPT te cite como fuente.

Que sí, que nos seguimos empeñando, que los hábitos no se curan en unos meses, pero en serio, pasa ya de eso, no sirve de nada, solo te hace perder tiempo y vida.

Lo que no te dice ninguna auditoría de plugin SEO:

• Si los bots de IA están rastreando tu sitio (y cuáles).
• Si tu contenido aparece citado en respuestas de IAs.
• Si tu Schema es el adecuado para los formatos de respuesta de AI Overviews.
• Si tu sitemap está siendo consumido correctamente por los crawlers de IA.
• Si la estructura de tu contenido facilita que una IA extraiga una respuesta directa.

Básicamente, te auditan para un juego que se está terminando y te ignoran el que está empezando.

¿Sirve aún de algo?

Como lista de revisión de higiene técnica básica, como imágenes sin alt, enlaces rotos o títulos duplicados sigue siendo útil, pero no necesitas un plugin de SEO para eso.

Hay plugins específicos más ligeros para cada una de esas tareas, y la mayoría se pueden comprobar con herramientas externas gratuitas.

SEO automático con IA integrada en el plugin

Qué te ofrecen

Los plugins de SEO más recientes han añadido funciones de IA para generar metas, títulos, esquemas de contenido e incluso artículos completos desde el propio editor de WordPress.

Por qué ya no tiene sentido

Aquí la cosa tiene miga, porque usar una IA para generar contenido que luego va a ser evaluado por otra IA es, como mínimo, un círculo un poco absurdo. Pero el problema no es ese, que también, hay más, lo peor.

El problema es que estas funciones de IA integradas en plugins de SEO son básicamente un formulario de conexión para la API de OpenAI o de otro proveedor, con un prompt predefinido.

Hacen lo mismo que podrías hacer directamente en ChatGPT, Claude o cualquier otro asistente, pero con menos control y normalmente con un coste adicional (créditos de IA incluidos en el plan premium del plugin).

Además, el contenido generado masivamente por IA sin edición humana es exactamente el tipo de contenido que Google está penalizando y que las IAs van a ignorar como fuente.

Si generas 50 artículos con la IA de tu plugin de SEO y los publicas tal cual, no estás haciendo SEO, estás haciendo ruido, publicando basura y tratando de engañar a los algoritmos (imposible) y a tus lectores (imperdonable).

¿Sirve aún de algo?

Como ayuda puntual para generar borradores o ideas sí, pero para eso ya tienes herramientas de IA dedicadas que son mucho más potentes y flexibles.

Pagar un plan premium de un plugin de SEO para acceder a una IA limitada no tiene ningún sentido cuando puedes usar directamente cualquier LLM con prompts bien hechos.

Sugerencias de enlazado interno

Qué te ofrecen

Análisis de tu contenido para sugerirte enlaces internos a otras entradas relacionadas, normalmente basándose en coincidencias de palabras clave encontradas en el texto.

Por qué ya no tiene sentido

El enlazado interno sigue siendo útil para que los usuarios naveguen por tu sitio y que los bots descubran contenido. Eso no ha cambiado, lo que sí ha cambiado es la lógica de estas sugerencias.

Los plugins te sugieren enlazar a posts que contienen la misma keyword, pero las IAs no procesan tu sitio siguiendo enlaces como hacía Googlebot.

Los bots de IA van al mapa del sitio, lo devoran página a página, identifican las URLs que les interesan y rastrean cada una de forma independiente.

El «link juice» que se distribuía por enlaces internos pierde relevancia en un modelo donde el bot no navega tu sitio, se lo descarga prácticamente.

¿Sirve aún de algo?

Para la experiencia del usuario humano enlazar bien sigue siendo una buena práctica, pero las sugerencias automáticas basadas en keywords son demasiado simplistas.

Un buen enlazado interno se hace pensando en el lector, no en un algoritmo, y eso es trabajo editorial que ningún plugin puede sustituir.

Lo que sí tiene sentido ahora (con o sin plugins de SEO)

Después de habernos puesto serios con lo que ya no funciona, sería injusto no hablar de lo que sí marca la diferencia a día de hoy (no sé mañana).

Algunas cosas las puedes hacer con plugins específicos, otras con el propio WordPress, y otras son pura estrategia y redacción.

Mapas del sitio bien configurados

Si hay algo que los bots de IA hacen nada más llegar a tu sitio es ir al Sitemap XML, es su mapa del tesoro, el índice de todo lo que tienes.

Si tu sitemap está inflado con páginas irrelevantes, taxonomías vacías o contenido que no quieres que rastreen, les estás complicando la vida. Igualmente, si olvidas incluir tus mejores contenidos igual ni los descubren, en serio, no pierden el tiempo.

WordPress genera un buen mapa del sitio sin necesidad de plugins, limpio, completo, que no tienes que mantener ni depende de otros. Luego con Visibility puedes ajustar exactamente qué se incluye y qué no sin necesidad de instalar un plugin de SEO enorme que encima sustituya el sitemap que ya tienes gratis por el suyo.

Esto es algo que ahora mismo poca gente tiene en cuenta y que tiene un impacto directo en cómo las IAs descubren y priorizan tu contenido.

Monitorizar qué hacen las IAs con tu contenido

¿Cómo sabes si las IAs están rastreando tu sitio, cuáles lo hacen, con qué frecuencia y qué contenido se llevan?

Tu plugin de SEO no te lo dice, Google Analytics tampoco las identifica al detalle, Search Console te cuenta lo de Google, pero no lo de ChatGPT, Claude, Perplexity ni el resto. El único que te muestra algo es Bing.

Para eso necesitas algo como VigIA, que monitoriza los bots de IA que visitan tu WordPress, te muestra cuáles rastrean, cuándo, qué URLs se llevan y cómo se comportan. Es gratis, te da una información valiosísima y muchas herramientas que te ayudan a reforzar tu visibilidad para este nuevo modo en el que ya funciona Internet.

Sin esta información estás completamente a ciegas, es como hacer SEO clásico sin Search Console, impensable. Pues lo mismo, pero para el nuevo escenario.

La cápsula de respuesta

Esto no lo hace ningún plugin, es pura redacción, y es probablemente lo que más impacta en si apareces o no en una AI Overview.

Las IAs generativas, cuando buscan una fuente para responder a una pregunta, tienden a extraer la respuesta de las primeras frases de un contenido que la responda de forma directa y concisa.

Si tu artículo empieza con tres párrafos de contexto antes de ir al grano la IA se va a otro sitio.

La técnica es sencilla, simplemente empieza cada artículo con una respuesta directa a la pregunta que el artículo responde, en las primeras 50 a 70 palabras. Luego desarrolla todo lo que quieras. Esa «cápsula» es lo que la IA puede extraer como respuesta, y es una de las señales que más peso tienen para aparecer en AI Overviews.

E-E-A-T real, no de formulario

Los plugins de SEO te ponen un campo para rellenar el nombre del autor y poco más. Ahora bien, las señales de Experience (Experiencia), Expertise (Especialización), Authoritativeness (Autoridad) y Trustworthiness (Fiabilidad) que Google y las IAs buscan no se configuran en un campo de texto.

Se construyen con contenido que demuestre experiencia real (datos propios, ejemplos de primera mano, capturas de tu propio trabajo), con una presencia de marca coherente en la web, con menciones y citas en otros sitios, con autoría verificable y con un historial de contenido de calidad mantenido en el tiempo.

Ningún plugin te da E-E-A-T, es algo que se gana publicando buen contenido durante años, y eso no hay atajo que lo sustituya.

JSON-LD con intención, no por defecto

Ya he mencionado que el Schema genérico que añaden los plugins de SEO aporta poco.

Lo que sí funciona es implementar JSON-LD específico y pensado para tu contenido, con preguntas frecuentes con respuestas directas, pasos de un proceso con tiempos y herramientas, datos de producto con precio, disponibilidad y valoraciones, información de organización con datos de contacto verificables.

Este tipo de datos estructurados es lo que las IAs pueden interpretar directamente como información basada en hechos y verificable, y lo que marca la diferencia entre ser citado como fuente o ser ignorado.

Gestión de bots de IA

Decidir qué crawlers de IA pueden acceder a tu contenido y cuáles no es una decisión estratégica que ahora mismo los plugins de SEO ni mencionan.

Cada rastreador de IA funciona de manera diferente, y tú tienes que decidir si quieres que rastreen tu contenido (y potencialmente te citen como fuente) o si prefieres bloquearlo.

Esto te dirán que se gestina desde robots.txt, pero es mentira, no sirve de nada, no le hacen ni caso como ya te he comentado. Solo se les puede poner freno desde las cabeceras HTTP de tu web/servidor, si de verdad quieres bloquearlos, no desde un plugin de SEO.

Si quieres hacerlo fácil en VigIA puedes bloquear los que tú decidas a golpe de clic, y además después de haber podido analizar qué rastrean y cómo lo hacen, que es el modo correcto, actuando con información.

Visibilidad ante las IAs

El SEO tradicional medía posiciones en Google, El nuevo SEO, el GEO que le llaman ahora, debería medir si las IAs te conocen, si te citan y si te recomiendan. Esto es lo que llamo visibilidad IA, y es un terreno donde casi todo está por hacer.

Herramientas como VigIA te dan el primer paso (saber qué bots te rastrean), y plugins como AI Share & Summarize te ayudan a facilitar que se compartan tus contenidos y, además, también a medir la interacción real de los usuarios con tu contenido más allá del clic tradicional.

La métrica definitiva de «¿me citan las IAs?» aún está en pañales y es algo que ningún plugin de SEO aborda, y si te dicen que lo hace sospecha, y si te quieren cobrar por ello además te quieren robar.

Entonces, ¿desinstalo mi plugin de SEO?

No necesariamente, pero sí tienes que aplicar sentido común y ser realista sobre qué parte del plugin usas realmente y qué parte es realmente innecesaria.

Si lo único que usas de tu plugin de SEO es el campo de meta description, el semáforo de keywords y la puntuación de legibilidad, pues sí, probablemente puedes quitarlo y no va a pasar nada malo. WordPress hace lo básico solo, y lo que de verdad necesitas ahora no viene de ahí.

Si usas funciones más avanzadas como redirecciones, Schema personalizado o gestión de contenido duplicado en un sitio grande, quizá te compense mantenerlo, pero siendo consciente de que estás usando un 10% de lo que ofrece y el otro 90% es grasa. De hecho, si solo quieres las redirecciones, mejor usa Redirection, es mejor que cualquier herramienta de los plugins de SEO, es gratis, es ligero, es perfecto.

Lo que seguro que no tiene sentido es pagar por un plan premium de un plugin de SEO solo para acceder a la generación de contenido por IA o a funciones de «SEO Score» que miden parámetros que ya no determinan tu visibilidad.

Y, por cierto, igual estás pensando que te estoy hablando de sustituir un solo plugin de SEO por varios plugins, y si no es mejor tener un único plugin que varios, pues no, el problema nunca es la cantidad de plugins, el problema es sobrecargar tu web con código que no necesitas.

Es mejor tener 5 plugins pequeños que cada uno hace lo suyo y bien que un monstruo que carga montones de recursos, scripts y estilos de los que solo sirven de algo un pequeño porcentaje.

El juego ha cambiado y las reglas son otras. La herramienta que necesitas ya no es un plugin que te ponga semáforos en verde, sino una estrategia clara de contenido, datos estructurados bien pensados, sitemaps limpios y la capacidad de saber qué están haciendo las IAs con tu web.

Si quieres profundizar en cómo preparar tu WordPress para este nuevo escenario, te recomiendo empezar por la guía de SEO para IAs generativas y por el artículo sobre cómo posicionar en AI Overviews. Ahí está lo que de verdad te puede ayudar en algo a seguir en el bisnes, tener presencia, existir en Internet.