Mais do que uma lista, te dou o critério, porque a lista muda a cada ano e o critério não.
Minha regra de ouro: cada plugin é dívida técnica. Cada um adiciona consultas, CSS, JS e uma via de entrada a mais para um ataque. Antes de instalar um, pergunte-se se você pode resolver isso com 20 linhas em um plugin próprio ou em
functions.php. Eu já removi plugins que faziam uma única coisa e o site baixou de 2 segundos para 1,2 sem tocar em mais nada.
Os que eu sim tenho quase sempre:
- Cache de página (o da hospedagem ou um tipo WP Rocket / LiteSpeed / W3TC dependendo do servidor). Mas o que realmente muda o jogo não é esse: é o cache de objetos com Redis. Se seu servidor suporta, meça antes e depois: normalmente é onde aparece a grande melhoria em sites com muitos produtos ou usuários.
- Cópias de segurança: melhor no servidor ou em um destino externo do que um plugin. Um plugin de cópias que salva dentro da mesma hospedagem não te salva de uma exclusão nem de um ransomware.
- SEO (Rank Math ou Yoast): um, nunca dois, que eles brigam entre si.
- Formulários (Fluent Forms, WPForms): o que menos carregar JS em todas as páginas.
- Otimização de imagens: converter para WebP e redimensionar em tempo real. Cuidado com estes: alguns quebram o design ao recortar.
- Segurança (Wordfence, Solid Security): úteis, mas não substituem manter tudo atualizado e ter o servidor bem configurado. A maioria dos sites hackeados que vi não foi por um plugin estranho, mas por não atualizar.
E dois que
não recomendo: os "tudo em um" que trazem cache, SEO, segurança e limpeza ao mesmo tempo (fazem tudo pela metade e pesam como três), e os page builders no front-end se você puder evitar.
O que realmente ajuda a decidir: instale o
Query Monitor e veja quantas consultas e quanto tempo cada plugin adiciona. A maioria das pessoas descobre ali que o culpado não era o que suspeitavam.
