Какие плагины WordPress можно ставить безопасно в 2026

В каталоге WordPress больше 60 тысяч плагинов, и по данным WPScan около 90 процентов взломов идут через них, а не через ядро. Плагин можно ставить, если он обновлялся недавно, имеет заметное число установок и не дублирует то, что в теме уже есть.

Каталог WordPress.org в 2026 году содержит больше 60 тысяч плагинов. На каждый функционал есть 5-15 вариантов. Половина из них заброшена, четверть содержит уязвимости, ещё четверть требует осторожной настройки. Один криво поставленный плагин это типичная причина взлома сайта в моей практике, и обычно владелец потом говорит я его уже год не открывал, он просто стоял.

Разберу критерии оценки плагина до установки, рабочий минимум на типичном сайте и список плагинов, которые лучше не ставить.

Зачем плагины и почему это риск

Плагин это код, который выполняется в контексте вашего WordPress с правами администратора. Он может:

• Читать и менять любые данные в базе.
• Создавать и удалять файлы.
• Подключаться к внешним серверам.
• Перехватывать пользовательский ввод.

Если плагин содержит уязвимость, всё это может использовать злоумышленник без вашего ведома. По статистике WPScan примерно 90 процентов взломов WordPress происходят через уязвимый плагин.

Это не значит, что плагины не нужны. Это значит, что их выбор требует фильтрации.

Критерии оценки плагина

Простой чек-лист, который я применяю перед установкой нового.

1. Активные установки

В каталоге WordPress.org каждый плагин показывает количество активных установок. Минимум, который я считаю безопасным: 5000.

• Меньше 100: экзотика, скорее всего бросят.
• 100-1000: рабочий, но риск заброса высок.
• 1000-10000: стабильно, автор активен.
• 10000-100000: широко известный.
• Больше 100000: топ ниши.

Большие установки означают, что уязвимости находят и закрывают быстро, потому что много глаз смотрят.

2. Дата последнего обновления

В описании плагина видна Last updated. Норма: не более 6 месяцев назад. Если последнее обновление 2 года назад, плагин брошен и его лучше не ставить.

Свежий плагин совместим с новыми версиями WordPress и PHP, имеет закрытые уязвимости.

3. Совместимость с актуальной WP

Поле Tested up to показывает, на какой версии WordPress плагин проверен. Норма: совместим с последней или предпоследней. Если Tested up to: 5.9 (а сейчас 6.5), плагин устарел.

4. Рейтинг и отзывы

5 звёзд это редкость. Реалистичная норма: 4-4.5 звёзд при 50+ отзывах. Один-два отзыва вообще ничего не значат.

Читайте недавние негативные отзывы. Часто видны паттерны: сломал сайт после обновления, автор не отвечает на тикеты, работает нестабильно. Это сигналы избегать.

5. Репутация автора

Кликайте на имя автора в каталоге. Смотрите, сколько у него других плагинов, как давно он в сообществе. Известные авторы (Yoast, WP Rocket team, Stellar Web, Awesome Motive) обычно дают качественный код.

Ноунейм автор с одним плагином и мутным профилем риск.

6. Активная поддержка форумов

Вкладка Support показывает форум плагина. Если автор отвечает на вопросы пользователей в течение недели, это живой плагин. Если последний ответ автора был полгода назад, плагин закрывается.

7. Открытый исходный код или закрытый

В каталоге WP.org все плагины с открытым кодом, можно прочитать. Платные плагины из других источников бывают обфусцированы. Это не обязательно плохо, но снижает доверие.

8. Зависимость от сторонних API

Многие плагины подключаются к серверам автора: для лицензий, статистики, обновлений, расширенного функционала. Это не обязательно плохо, но добавляет точку отказа: если сервер автора умер, плагин может перестать работать.

9. Наличие в базе уязвимостей

Сервис wpscan.com ведёт базу известных уязвимостей по плагинам. Перед установкой проверяйте: вводите имя плагина, видите, есть ли активные CVE. Если есть и они не закрыты в текущей версии, не ставьте.

10. Размер и производительность

Плагин размером 50 МБ для одной маленькой задачи это перебор. Тяжёлые плагины замедляют сайт.

Запустите Query Monitor до и после установки нового плагина. Если на странице добавилось 30+ запросов к базе, плагин жадный.

Минимальный безопасный набор

Список того, что я ставлю клиентам по умолчанию. Каждый плагин многократно проверен.

Yoast SEO или RankMath

SEO-комбайн: title, description, sitemap, microdata, OG-теги. Один из двух обязательно. Бесплатных версий обычно хватает на маленький сайт.

WP Super Cache или Cache Enabler

Серверный кеш. WP Super Cache от Automattic, Cache Enabler от KeyCDN. Бесплатные, рабочие.

Альтернатива платная: WP Rocket. 50 евро в год, но даёт больше плюшек.

Wordfence Security или Two Factor

Двухфакторка для админов. Wordfence комбайн с фаерволом и сканером, Two Factor Authentication только TOTP.

Updraft Plus или BackWPup

Бэкапы. Бесплатной версии хватает на ручные бэкапы. Платная нужна для расписания и облачной синхронизации, но эти задачи можно решить и через cron на сервере (см. отдельную статью про бэкапы без платных плагинов).

Smush или ShortPixel

Оптимизация картинок. Smush бесплатный с лимитами, ShortPixel бесплатный 100 картинок в месяц, дальше платно.

Альтернатива: серверная оптимизация при загрузке через imagemin или WebP конвертация на лету.

Contact Form 7 или WPForms

Форма обратной связи. Contact Form 7 классика, бесплатно. WPForms интерфейс удобнее, но ограничен в бесплатной.

Limit Login Attempts Reloaded

Блокировка брутфорса по логину. Бесплатно, рабочий.

Query Monitor (только для разработки)

Показывает запросы к базе, медленные функции, ошибки PHP. Для отладки производительности. На проде не оставляйте, только когда диагностируете.

Этот набор закрывает 90 процентов потребностей маленького сайта.

Плагины, которые я НЕ рекомендую

Список из реальных проблем на клиентских сайтах.

Старые SEO-комбайны

All in One SEO Pack старых версий, SEO by Yoast до 6 версии. Если у вас стоит, обновите на актуальную или мигрируйте на современный.

Бесплатные Visual Editors от ноунейм авторов

Page Builder by SiteOrigin, Elementor это нормально. Но безымянные Easy Page Builder, Super Page Maker часто содержат тяжёлый код и устаревают. Лучше Elementor бесплатный или Gutenberg.

Старые слайдеры

Slider Revolution нормальный, если регулярно обновляется. Smart Slider 3 тоже. Но Soliloquy старых версий, кастомные слайдеры мелких авторов содержат уязвимости.

Тяжёлые плагины статистики

WP Statistics, WP Power Stats, Slimstat Analytics. Если у вас уже есть Метрика, эти плагины дублируют функционал и нагружают базу.

Плагины переводов

WPML, Polylang, TranslatePress нормальные. Loco Translate нормальный. Но мелкие плагины автоматического перевода через API часто крутят странную логику и могут передавать контент сторонним сервисам без согласия.

Старый кеш

WP Total Cache всё ещё активен, но настраивать его сложнее, чем WP Super Cache. Если у вас стоит и вы не разбирались, риск конфликта с другими плагинами выше.

Старые формы

Gravity Forms платный профессиональный. Ninja Forms нормальный. Но Simple Contact Form, Easy Contact старые и часто содержат уязвимости валидации.

Really Simple SSL без понимания

Плагин, который автоматически переписывает контент с http на https. Полезный, но в 2026 году большинство сайтов уже на https, и плагин избыточен. Лучше прямые правила в .htaccess или nginx.

Бесплатные плагины автоматических постов в соцсети

Часто требуют доступа к вашим API ключам соцсетей и делают это небезопасно. Лучше использовать Buffer, Hootsuite или Telegram-бот через PHP-скрипт, минуя плагин WordPress.

Аудит существующих плагинов

Если на сайте уже стоит 30+ плагинов и есть подозрение, что часть лишняя.

Шаг 1: список всех

Через WP-CLI:

wp plugin list --status=active

Видите список с версиями. Сохраняете в файл.

Шаг 2: проверка каждого

По каждому смотрите: — Активные установки в каталоге. — Дата последнего обновления. — Совместимость с вашей версией WP и PHP. — Используется ли реально.

Часто 30 процентов плагинов оказываются неиспользуемыми остатками от прежних подрядчиков или экспериментов.

Шаг 3: отключение и тест

Отключаете на staging-копии. Прогоняете сайт. Если ничего не сломалось, можно удалять.

Лучше не отключать сразу 5 плагинов, а по одному: иначе сложно понять, какой что ломал.

Шаг 4: замена устаревшего

Если плагин не обновлялся 2+ лет, ищете замену. Каталог WordPress.org показывает альтернативы по тематике.

Шаг 5: документация

Записываете в README или Notion: какой плагин для чего стоит, какие настройки. Если меняется подрядчик, новый знает, что трогать, что нет.

Платные плагины: когда стоят денег

Не все платные плагины оправданы. Список тех, где платное лучше бесплатного:

WP Rocket

50 евро в год. Делает кеш, минификацию, lazy load, optimization. Ставится за 5 минут, работает. Бесплатные альтернативы требуют точных настроек.

Wordfence Premium

100 долларов в год. Реалтайм-фаервол с обновлением сигнатур, расширенный сканер. Бесплатная версия даёт сигнатуры через 30 дней.

Yoast Premium

99 долларов в год. Внутренние ссылки, перенаправления, расширенная микроразметка, поддержка нескольких ключевых фраз. Для серьёзного SEO стоит.

WPML

100 долларов в год. Многоязычность с поддержкой WooCommerce. Бесплатные альтернативы (Polylang) рабочие, но без интеграции с магазином.

Gravity Forms

60-260 долларов в год. Сложные формы с логикой, многошаговые. Если простая форма, хватит Contact Form 7.

ACF Pro

50 долларов одноразово. Кастомные поля для сложных типов записей. Бесплатная версия покрывает базовое.

В сумме на типичный коммерческий сайт около 200-400 долларов в год на платных плагинах оправдано. Если бюджета нет, бесплатные с правильной настройкой работают, просто требуют больше времени на администрирование.

Источники проверенных плагинов

WordPress.org каталог

Официальный каталог. Все плагины бесплатные, проходят базовую проверку перед публикацией. Каталог не гарантирует безопасность, но это первый отсев.

CodeCanyon (envato)

Маркетплейс платных плагинов. Большой, но качество разное. Покупайте только у авторов с 1000+ продаж и хорошими отзывами.

Сайты разработчиков

Yoast.com, WPRocket.me, Awesome Motive (WPForms, MonsterInsights). Прямые сайты дают актуальную поддержку.

Russian-only

Российские плагины: yoomoney-checkout, robokassa-payment, telegram-bot-form. Полезны для интеграций с местными сервисами.

Защита от уязвимостей

После установки минимального набора плагинов:

Регулярные обновления

Раз в неделю в админке смотрите Plugins > All > Updates available. Обновляете каждый.

Бэкап перед обновлением обязательно. Иногда обновление ломает сайт, нужно откатиться.

Мониторинг уязвимостей

Wordfence Premium или просто слежение за wpscan.com по списку ваших плагинов. Когда находят уязвимость, патч обычно выходит за 1-7 дней. Установить надо сразу.

Принцип минимума

Каждый плагин это поверхность атаки. Не ставьте плагин ради функционала, который можно сделать в 5 строк CSS. Не ставьте плагин, чтобы добавить одну кнопку, можно через functions.php своей темы.

Чек-лист безопасной работы с плагинами

• Каждый плагин в активе используется реально (не просто стоит).
• Все плагины имеют активные установки 5000+.
• Все плагины обновлены до последней версии.
• Версии совместимы с актуальной WP и PHP.
• В админке нет уведомлений Plugin not updated for 2 years.
• Установлены SEO, кеш, безопасность, бэкапы, антиспам.
• Не установлены дублирующиеся плагины (два кеша, две SEO-комбайна).
• Тяжёлые плагины (Visual Composer старый, неактивный Slider Revolution) удалены.
• Существует список плагинов с описанием, для чего каждый.
• Перед обновлением плагина делается бэкап.
• Раз в полгода аудит: что добавилось, что исчезло.

Когда стоит делегировать

Аудит плагинов и оптимизация набора на типичном WordPress-сайте занимает 4-8 часов: список, проверка каждого, замена устаревших, тестирование на staging. На запущенном сайте с 50+ плагинами до 16-20 часов.

Эта работа входит в часовую ставку или в любой из тарифов на /#pricing. Если у вас сайт тормозит и есть подозрение, что виноваты плагины, опишите ситуацию через /#contact. Связанные материалы по WordPress в /blog/category/cms/, там есть отдельные статьи про обновление WP, тормоза и WSOD.

Частые вопросы

Как понять, что плагин безопасен

Посмотреть дату последнего обновления, совместимость с текущей версией WordPress, число активных установок и открытые уязвимости. Обновление двухлетней давности означает, что плагин брошен автором.

Сколько плагинов можно ставить

Столько, сколько реально работает на задачу. Счёт тут не в штуках. Каждый плагин добавляет код на страницу и поверхность для атаки. Практическое правило: если функцию закрывают десятком строк в теме, плагин не нужен.

Через что чаще всего ломают WordPress

Через устаревший плагин с известной уязвимостью. Ядро обновляется само и закрывается быстро, а плагины на сайтах живут годами без единого апдейта.

Что делать с неиспользуемыми плагинами

Удалять, а не отключать. Отключённый плагин остаётся файлами на диске, и уязвимость в нём эксплуатируется без всякой активации.