Más que una lista, te doy el criterio, porque la lista cambia cada año y el criterio no.
Mi regla de oro: cada plugin es deuda técnica. Cada uno añade consultas, CSS, JS y una vía de entrada más para un ataque. Antes de instalar uno, pregúntate si eso lo puedes resolver con 20 líneas en un plugin propio o en
functions.php. Yo he quitado plugins que hacían una sola cosa y la web bajó de 2 segundos a 1,2 sin tocar nada más.
Los que yo sí tengo casi siempre:
- Caché de página (el del hosting o uno tipo WP Rocket / LiteSpeed / W3TC según servidor). Pero el que cambia el juego de verdad no es ese: es el caché de objetos con Redis. Si tu servidor lo soporta, mide antes y después: normalmente es donde aparece la mejora grande en webs con muchos productos o usuarios.
- Copias de seguridad: mejor en el servidor o en un destino externo que un plugin. Un plugin de copias que guarda dentro del mismo hosting no te salva de un borrado ni de un ransomware.
- SEO (Rank Math o Yoast): uno, nunca dos, que se pelean.
- Formularios (Fluent Forms, WPForms): el que menos JS cargue en todas las páginas.
- Optimización de imágenes: convertir a WebP y redimensionar al vuelo. Ojo con estos: algunos rompen el diseño al recortar.
- Seguridad (Wordfence, Solid Security): útiles, pero no sustituyen a mantener todo actualizado y a tener el servidor bien puesto. La mayoría de webs hackeadas que he visto no fue por un plugin raro, sino por no actualizar.
Y dos que
no recomiendo: los "todo en uno" que traen caché, SEO, seguridad y limpieza a la vez (hacen todo a medias y pesan como tres), y los page builders en el frontal si puedes evitarlo.
Lo que de verdad ayuda a decidir: instala
Query Monitor y mira cuántas consultas y cuánto tiempo añade cada plugin. La mayoría de la gente descubre ahí que el culpable no era el que sospechaba.
