A força do WordPress é também o principal risco dele: existe um plugin para praticamente tudo, e instalar leva trinta segundos.

Essa facilidade esconde uma assimetria importante. Instalar é rápido; conviver com a decisão é longo. Cada plugin passa a executar código no seu site em todas as visitas, precisa ser atualizado, pode conflitar com outros e, um dia, pode ser abandonado por quem o mantém.

Este guia trata de como escolher antes de instalar, o que observar nos que já estão lá e como remover sem deixar resíduo.

O que um plugin realmente é

Vale começar por aqui, porque a percepção comum subestima o que está sendo instalado.

Um plugin é código de terceiros executando dentro do seu site, com acesso ao banco de dados, aos arquivos e às informações que o site processa. Não é um complemento isolado: ele roda no mesmo ambiente, com os mesmos privilégios.

Isso tem três consequências diretas:

• Um plugin com vulnerabilidade compromete o site inteiro, não apenas a função dele.
• Um plugin mal construído afeta o desempenho de todas as páginas, inclusive as que não usam o recurso.
• Um plugin abandonado vira dívida, porque deixa de receber correções enquanto continua executando.

Isso não é argumento contra plugins — eles são a razão de o WordPress resolver tanta coisa. É argumento a favor de escolhê-los com critério, do mesmo jeito que se escolhe um fornecedor.

Os critérios de avaliação

Antes de instalar, cinco minutos de verificação evitam meses de problema:

Critério	O que observar
Última atualização	Atualizado recentemente indica manutenção ativa
Compatibilidade declarada	Testado com a versão atual do WordPress
Frequência de atualizações	Histórico regular, não apenas uma correção antiga
Suporte	Dúvidas recentes respondidas pelo desenvolvedor
Instalações ativas	Base grande significa mais olhos sobre o código
Avaliações recentes	Críticas dos últimos meses importam mais que a média histórica
Quem mantém	Empresa estabelecida ou desenvolvedor individual
Histórico de segurança	Vulnerabilidades passadas e a velocidade da correção

Duas leituras que valem destacar.

Data de atualização é o critério mais informativo. Um plugin sem atualização há muito tempo, mesmo com muitas instalações e boa avaliação, é um risco crescente: o WordPress evolui, e código que não acompanha acaba quebrando ou ficando vulnerável.

Avaliações recentes valem mais que a média. Um plugin com cinco estrelas acumuladas em anos pode ter mudado de dono ou de rumo. As críticas dos últimos meses contam a história atual.

Sobre o histórico de segurança, uma nuance: ter tido uma vulnerabilidade não é necessariamente ruim. Software tem falhas, e plugins populares são mais examinados. O que importa é a velocidade da correção e a comunicação. Um plugin que corrigiu rápido e avisou os usuários demonstrou maturidade.

Gratuito ou pago

Uma dúvida frequente com uma resposta menos óbvia do que parece.

Preço não é indicador de qualidade, mas o modelo de negócio diz algo sobre a sustentabilidade. Um plugin gratuito mantido sem nenhuma forma de receita depende da boa vontade de alguém — e boa vontade é uma base frágil para uma funcionalidade crítica do seu site.

Onde cada modelo tende a fazer sentido:

• Gratuito funciona bem para funcionalidades simples, com base grande de usuários e mantidas por empresas que têm outra fonte de receita.
• Pago faz sentido para funcionalidades críticas do negócio, em que suporte e continuidade importam — formulários que geram leads, integrações de pagamento, ferramentas de loja.
• Cuidado com o modelo misto em que a versão gratuita é intencionalmente limitada a ponto de ser inútil, e o custo real só aparece depois da instalação.

A pergunta que orienta: se esse plugin parar de ser mantido, qual o impacto? Para uma galeria de fotos, baixo. Para o formulário que traz seus clientes, alto — e aí vale pagar por continuidade.

Quantos plugins são demais

A pergunta mais feita sobre o assunto, e ela está mal formulada.

Não existe um número. Vinte plugins leves e bem construídos pesam menos que três mal feitos. O que importa é o que cada um faz, não quantos são.

O que efetivamente pesa:

• Plugins que carregam recursos em todas as páginas, mesmo nas que não usam a funcionalidade.
• Plugins que fazem consultas pesadas ao banco a cada carregamento.
• Plugins que chamam serviços externos durante a montagem da página — o gargalo tratado no artigo sobre WordPress de alto tráfego.
• Plugins que fazem a mesma coisa, com funções sobrepostas competindo entre si.
• Plugins grandes usados para uma função pequena, quando uma solução simples resolveria.

A pergunta melhor formulada: cada plugin instalado está resolvendo um problema real? É comum encontrar sites com plugins instalados para testar algo há dois anos, nunca removidos.

O diagnóstico de qual plugin está pesando está no artigo sobre por que o WordPress fica lento.

Antes de instalar em produção

Um procedimento curto que evita a maior parte dos incidentes:

1. Verifique os critérios da tabela acima — leva minutos.
2. Confira se você já tem algo que faz isso. Temas e plugins existentes frequentemente já incluem a funcionalidade.
3. Teste em ambiente de homologação, especialmente se o site gera negócio.
4. Faça backup antes, se for instalar direto em produção.
5. Observe o site depois: velocidade, funcionamento de outras áreas, erros no painel.
6. Documente por que instalou. Em seis meses ninguém lembra, e um plugin sem propósito conhecido nunca é removido.

O passo 2 é o mais subestimado e o que mais reduz o número de plugins: muita gente instala um plugin de galeria sem saber que o tema já tem uma, ou uma ferramenta de compartilhamento que duplica algo já presente.

O passo 6 resolve um problema de governança real. Um plugin cuja finalidade ninguém conhece não é removido por medo — e continua executando código indefinidamente. Uma anotação de uma linha evita isso.

Cuidando dos que já estão lá

Uma rotina leve que mantém o conjunto saudável:

• Atualize regularmente, testando antes quando o site é crítico.
• Revise trimestralmente: o que ainda é usado? O que pode sair?
• Verifique os abandonados. Um plugin sem atualização há muito tempo precisa de plano de substituição.
• Acompanhe avisos de segurança dos plugins que você usa.
• Desative antes de excluir, para confirmar que nada depende dele.
• Remova os desativados. Plugin desativado continua no servidor e pode ser explorado.

O último item surpreende e é importante: desativar não é remover. Os arquivos continuam lá, e uma vulnerabilidade neles pode ser explorada mesmo com o plugin inativo, dependendo da falha. Se não usa, remova.

A revisão trimestral costuma ser produtiva: é raro fazer uma e não encontrar pelo menos dois plugins que ninguém usa há tempos.

Como remover sem deixar resíduo

Um ponto que quase nunca é tratado e que explica bancos de dados inchados.

Plugins criam dados: tabelas próprias, configurações, registros. A maioria não remove nada disso ao ser desinstalada — por precaução, para que o usuário possa reinstalar sem perder configurações.

O resultado é acúmulo: um site com anos de operação carrega dados de dezenas de plugins que já não existem. Parte disso é carregada em toda requisição, como tratamos no artigo sobre banco de dados em lojas grandes.

Um procedimento de remoção mais completo:

1. Verifique se o plugin oferece limpeza na desinstalação — alguns têm essa opção nas configurações.
2. Desative e observe por alguns dias, confirmando que nada quebrou.
3. Remova pelo painel.
4. Verifique o que ficou, especialmente tabelas próprias.
5. Faça backup antes de qualquer limpeza manual no banco.
6. Confira se o conteúdo criado por ele ainda aparece — alguns plugins deixam marcações no conteúdo que ficam visíveis depois da remoção.

O último item produz o efeito mais visível: textos que aparecem no meio do conteúdo depois que um plugin é removido, porque as marcações que ele interpretava deixaram de ser processadas.

Sinais de alerta

Situações que pedem atenção imediata:

• Plugin sem atualização há um ano ou mais.
• Desenvolvedor não responde a dúvidas recentes.
• Avaliações recentes reclamando de problemas não resolvidos.
• Aviso de vulnerabilidade sem correção disponível.
• Plugin comprado de fora dos canais oficiais, que é uma das formas mais comuns de introduzir código malicioso.
• Plugin que exige desativar atualizações automáticas do WordPress para funcionar.

O quinto merece destaque por ser uma armadilha frequente: versões de plugins pagos distribuídas gratuitamente costumam vir modificadas, com código adicionado. É um atalho que sai caro, e a economia é irrisória frente ao risco — o assunto conecta-se ao artigo sobre segurança no WordPress.

Conclusão

Plugin é código de terceiros executando dentro do seu site, com os mesmos privilégios que ele. Escolher com critério não é excesso de cuidado — é o mesmo padrão que se aplica a qualquer fornecedor.

Três verificações resolvem a maior parte: quando foi atualizado pela última vez, o que dizem as avaliações recentes e se você já não tem algo que faz isso. A terceira é a que mais reduz o número de plugins instalados.

E uma prática de governança que evita acúmulo: anotar por que cada plugin foi instalado. Um plugin sem finalidade conhecida nunca é removido, e continua executando indefinidamente. Conheça a hospedagem WordPress da TBF Host e verifique os recursos disponíveis para testar alterações antes de aplicá-las no site.

Perguntas frequentes

Quantos plugins posso ter em um site WordPress?

Não existe um número. Vinte plugins leves e bem construídos pesam menos que três mal feitos. O que importa é o que cada um faz: se carrega recursos em todas as páginas, se faz consultas pesadas ao banco ou se chama serviços externos durante a montagem da página.

Como saber se um plugin é confiável?

Verifique quando foi atualizado pela última vez, se declara compatibilidade com a versão atual do WordPress, a frequência das atualizações, se o desenvolvedor responde a dúvidas recentes, o número de instalações ativas e, principalmente, as avaliações dos últimos meses.

Plugin pago é melhor que gratuito?

Preço não indica qualidade, mas o modelo de negócio diz algo sobre sustentabilidade. Um plugin gratuito sem nenhuma forma de receita depende da boa vontade de alguém. A pergunta que orienta é: se esse plugin parar de ser mantido, qual o impacto? Para funções críticas, vale pagar por continuidade.

O que fazer com um plugin abandonado?

Planejar a substituição. Um plugin sem atualização há muito tempo deixa de receber correções enquanto continua executando código no site, e o WordPress evolui — o que não acompanha acaba quebrando ou ficando vulnerável. Não é urgência imediata, mas é dívida acumulando.

Desativar um plugin é o mesmo que remover?

Não. Desativado, os arquivos continuam no servidor e, dependendo da falha, uma vulnerabilidade neles pode ser explorada mesmo com o plugin inativo. Se você não usa, remova. Desativar serve como etapa intermediária, para confirmar que nada depende dele antes da exclusão.

Plugins deixam dados no site depois de removidos?

Na maioria dos casos, sim. Tabelas próprias, configurações e registros costumam permanecer, por precaução, para que uma reinstalação não perca as configurações. Em sites com anos de operação, isso se acumula — e parte desses dados pode ser carregada em toda requisição.

É seguro usar versões gratuitas de plugins pagos?

Não. Versões de plugins pagos distribuídas fora dos canais oficiais costumam vir modificadas, com código adicionado. É uma das formas mais comuns de introduzir código malicioso em um site WordPress, e a economia é irrisória frente ao risco.

O que verificar antes de instalar um plugin novo?

Os critérios de manutenção e reputação, se você já não tem algo que faz a mesma coisa — tema e plugins existentes frequentemente já incluem a funcionalidade —, e o comportamento do site depois da instalação. Em sites que geram negócio, vale testar em ambiente de homologação antes.