Durante años he desarrollado pequeños plugins para clientes, para mis webs o simplemente para resolver un problema puntual.
Y durante mucho tiempo, no veía sentido en subirlos al repositorio oficial de WordPress.org.

Hasta que lo hice. Y ahí cambiaron muchas cosas.

Lo que empezó como un ejercicio casi simbólico —compartir una función útil— terminó convirtiéndose en el mejor proceso de aprendizaje técnico y personal que he tenido dentro de WordPress. Y no por los números de descargas, ni por el reconocimiento, sino por todo lo que se aprende y se gana en el camino.

Enviar un plugin a WordPress.org, aunque inicialmente lo hubieses pensado solo para clientes, tiene ventajas inherentes e inesperadas que van mucho más allá de la simple distribución.

El mismo proceso empuja a cualquier desarrollador a mejorar sus habilidades y abre oportunidades únicas de aprendizaje y relaciones útiles.

Y el proceso empieza, por el principio…

Índice de contenidos

No hace falta (casi) ser programador para empezar

Yo no lo era y, sinceramente, sigo sin serlo, no puedo ni debo decir que sea «programador». Hago cosas, a veces útiles, y en ocasiones incluso escribo código incluso relativamente bien hecho.

Pero el ecosistema WordPress tiene algo especial: te permite aprender construyendo cosas pequeñas.

Un plugin no tiene por qué ser un monstruo de código. Puede ser una función bien empaquetada, un filtro con interfaz o una mejora de usabilidad.

El proceso de publicar en WordPress.org te obliga a pasar por pasos que, sin darte cuenta, te forman como desarrollador en: documentación, buenas prácticas, sanitización, compatibilidad, licencias, internacionalización…

Lo que aprendes (aunque no fuese lo que buscabas)

Publicar un plugin es, aunque no lo imaginabas al principio, un curso intensivo en desarrollo responsable.

De hecho, el mismo proceso de revisión por parte del equipo de WordPress.org no es un obstáculo, es más como un mentor gratuito que te guía en el camino de ser mejor desarrollador.

Te enseña sin hablarte, a través de los rechazos, las observaciones y los pequeños detalles que te obligan a revisar tu código con otros ojos.

El proceso de revisión y publicación te fuerza a aprender cosas que normalmente pasarías por alto:

Aprendes a escribir código limpio y modular: ya no basta con que funcione; tiene que estar bien estructurado y preparado para ser usado en cualquier entorno. Tienes que hacerlo independiente, sin dependencias ocultas, y eso te enseña arquitectura básica sin darte cuenta.
Aprendes seguridad real: el equipo de revisión exige sanitización, escapes, nonces y buenas prácticas que protegen tus plugins y, por extensión, tus otros proyectos. Son cosas que, si solo trabajas en local o para clientes, probablemente nunca aplicarías con tanta disciplina.
Aprendes sobre documentación y comunicación técnica: un readme.txt bien hecho, descripciones claras y capturas de pantalla útiles enseñan a explicar tu trabajo para otros humanos, no solo para ti. Es la primera experiencia de comunicación técnica que tendrás con otros usuarios y desarrolladores. Aprendes a explicar lo que haces, y eso mejora tu forma de pensar el código.
Aprendes sobre compatibilidad: los plugins deben funcionar en varias versiones de WordPress y PHP, lo que te obliga a pensar en distintos entornos y usuarios.
Aprendes de internacionalización: si tu plugin va más allá de tu idioma, aprendes a escribirlo para ser traducido y accesible a todo el mundo.
Aprendes a incorporar la disciplina de actualizaciones: el sistema de versiones y el flujo de revisión te acostumbran a mantener tu código vivo y activo.

En pocas palabras, publicando un plugin estás tomando un curso intensivo gratuito de desarrollo responsable, con feedback real y exigencias de calidad.

Ventajas visibles inmediatas

Hay beneficios claros y directos al compartir públicamente plugins en WordPress.org:

Visibilidad y reputación profesional: tu plugin es público, auditado y aprobado por el equipo de WordPress.org. Eso genera credibilidad instantánea. Estar en el repositorio oficial de WordPress te asocia con calidad, apertura y confianza.
Porfolio real: puedes mostrar tu trabajo a clientes y colaboradores. Es un porfolio técnico real, donde cualquiera puede ver tu código y tus actualizaciones.
Feedback gratuito y testeo en masa: usuarios de todo el mundo reportan errores, sugieren mejoras y prueban tu código en entornos reales.
Enlaces entrantes y SEO: un plugin bien posicionado en WordPress.org genera enlaces de alta autoridad hacia tu web.
Reutilización eficiente: un plugin que empezaste para un cliente se convierte en una herramienta que puedes mantener y mejorar para todos.
Aprendizaje acelerado: cada paso del proceso enseña algo que evoluciona contigo y luego aplicas en otros proyectos.

Ventajas inesperadas (las que no ves venir)

Estas son las joyas que no esperabas:

Detectas fallos o bugs ocultos: la exposición masiva hace aflorar problemas que nunca se presentaron en pruebas privadas, mejorando la solidez de tu código.
Colaboraciones y oportunidades: otros desarrolladores o agencias pueden contactarte para trabajar juntos o mejorar tu plugin.
Posibilidad de contribuir a plugins existentes: el proceso te sensibiliza ante necesidades mucho más amplias, animándote a participar en proyectos de otros y a recibir contribuciones en el tuyo.
Visibilidad en la comunidad: tu nombre empieza a ser reconocido entre desarrolladores y usuarios, y tu perfil de autor se convierte en un porfolio vivo.
Aprendizaje de estándares abiertos: control de versiones, internacionalización, documentación, compatibilidad… todo eso se vuelve rutina.
Mejoras en internacionalización y accesibilidad: estos puntos se revisan activamente en el proceso oficial y suponen un salto profesional al implementarlos.
Experiencia en procesos de distribución de software: subir código a SVN, preparar versiones, mantener changelogs… mini entrenamiento profesional.
Soporte socializado: los usuarios ayudan a otros usuarios; recibes menos tickets privados y más interacción social de la comunidad.
Medición de impacto real: descargas, instalaciones activas, valoraciones y reseñas te dan métricas sobre la utilidad de tu trabajo.
Aprendes qué necesita la gente de verdad: observas usos que no habías imaginado, problemas y soluciones creativas que inspiran futuros desarrollos.
Descubres que hay gente traduciendo tu trabajo a otros idiomas 😮
Te das cuenta de que tu propio método de trabajo ha mejorado.
Efecto legado digital: tu plugin queda como parte de la historia del ecosistema WordPress, incluso si lo abandonas algún día.

Cuando pasas del entorno privado al público, entras en un modo de desarrollo consciente, donde cada decisión tiene impacto, donde cada línea de código cuenta, y donde la colaboración (con revisores, traductores o usuarios) se convierte en parte del propio flujo creativo.

Compartir un plugin es aprender y apostar por la cultura abierta

WordPress.org no solo revisa tu código: te enseña a compartir de la manera correcta, a respetar la licencia GPL, a pensar en el usuario final, a diseñar con ética y transparencia.

Te muestra lo que significa contribuir de verdad a un ecosistema de software libre, y cómo tu trabajo puede ayudar a miles de personas sin necesidad de grandes presupuestos.

Es un recordatorio constante de que el conocimiento crece cuando se comparte.

Publicar no es solo mejorar tu capacidad técnica, sino tu forma de trabajar e incluso de pensar:

Te acostumbras a pensar en el usuario final, no solo en la funcionalidad.
Comprendes mejor la filosofía del software libre, la ética y la cultura open source.
Te introduces a la infraestructura del ecosistema WordPress: revisiones, foros, procesos de distribución, internacionalización, compatibilidad y seguridad.
Aprendes a comunicarte de manera clara y profesional, y a recibir críticas constructivas.

En resumen: te conviertes en un mejor profesional y en un mejor miembro de la comunidad, incluso sin buscarlo.

La parte humana y creativa

La interacción con la comunidad es otra ventaja invisible:

Comentarios y reseñas que te enseñan nuevos enfoques.
Usuarios anónimos que pueden sugerir mejoras que tú jamás habrías pensado.
Traductores y colaboradores que amplían tu alcance a otros idiomas y países.
Conversaciones en los foros que son aprendizaje puro, tanto técnico como interpersonal.

Publicar un plugin en WordPress.org no es solo escribir código y enviarlo a revisión, cambia tu relación con WordPress.

Dejas de ser solo «usuario avanzado» para convertirte en parte del sistema, de la comunidad.

Cosillas que he aprendido publicando plugins en WordPress.org

Por si te ayudan a animarte, y para que tengas una guía rápida y práctica de cosas que yo ya he aprendido, y que puede que te sirvan de ayuda, aquí te dejo una especie de mini guía de detalles que te van a servir, y que como yo ya he pasado por ellas igual te ahorran tiempo, pero no aprendizaje.

Lee esto antes de seguir: no te preocupes, agobies o acobardes si hay cosas que lees a continuación que (aún) no sabes hacer o ni siquiera te suenan, son cosas que vas a aprender durante el proceso, y poco a poco, y esa es precisamente la idea. Yo te comparto cosas que yo YA he aprendido, pero que no sabía hace realmente poco tiempo, y tú eres con toda seguridad más inteligente que yo.

Cómo mejorar la calidad del código para pasar antes la revisión de WordPress.org

Para mejorar la calidad del código y facilitar la aprobación durante la revisión de plugins en WordPress.org es esencial que empieces a integrar buenas prácticas, herramientas automáticas y revisiones manuales exhaustivas.

No es algo inmediato, será poco a poco, no te preocupes, no hay que aprender todo esto antes de empezar, es un proceso.

Herramientas automáticas de revisión

Utiliza el plugin «Plugin Check (PCP)» para analizar tu plugin en busca de vulnerabilidades conocidas, errores de seguridad, malas prácticas y problemas de compatibilidad. Es totalmente imprescindible, y poco a poco aprenderás incluso a quererlo un poquito 🙂
Prueba también con «Plugin Inspector» para detectar funciones obsoletas, código peligroso y rutas problemáticas, visualizando exactamente qué parte del código debes modificar. Al contrario que PCP este no es imprescindible, pero pruébalo.

Buenas prácticas de estructura y de programación

Aplica el estándar de código de WordPress ayudándote de herramientas para identificar inconsistencias, problemas de formato y errores frecuentes.
Sanitiza y valida todos los datos de entrada y salida: utiliza funciones como sanitize_text_field, esc_html, esc_attr, wp_nonce_* para proteger contra ataques comunes.
Internacionaliza todas las cadenas de texto mostradas al usuario usando las funciones __() y _e().
Optimiza la estructura del plugin: separa la lógica en archivos y clases cuando sea posible, evita el spaghetti de código (yo pecaba mucho de eso, es un mal común cuando haces las cosas para ti) y comenta adecuadamente todo el código relevante (no todo, solo el relevante).

Revisión manual y pruebas

Activa la depuración (WP_DEBUG y WP_DEBUG_LOG) y revisa exhaustivamente los logs en busca de notices, warnings y errores, corrigiéndolos antes de enviar tu plugin.
Prueba tu plugin en instalaciones limpias y diversas versiones de WordPress, incluyendo instalaciones multisitio y distintos temas populares, comprobando compatibilidad y ausencia de conflictos.
Elimina cualquier dato residual creado por tu plugin al desinstalarlo, limpiando la base de datos y archivos adicionales.

Automatización y control de calidad

Automatizar pruebas y revisiones cada vez que realices cambios en el plugin con las Unit Tests.
Documenta debidamente en el código y en el README, facilitando la labor del equipo de plugins, de futuros colaboradores y la tuya misma.

Al seguir estos pasos y ayudarte de herramientas y las buenas prácticas de WordPress tu plugin tendrá muchas más posibilidades de superar con éxito la revisión sino a la primera sí al menos con menos revisiones, mejorando su calidad, seguridad y mantenimiento a largo plazo. A mi al menos me ha servido, y cada vez el proceso de revisión de mis plugins se fue reduciendo.

Comprobaciones de seguridad que se revisan en WordPress.org

La revisión de seguridad que realiza el equipo de WordPress.org para aprobar plugins se centra en una lista muy específica que busca garantizar que ningún código introduzca vulnerabilidades o malas prácticas.

Esta revisión no evalúa el diseño o la funcionalidad, eso les da igual en realidad, sino la seguridad, cumplimiento de estándares y fiabilidad del código, así que en esta vital tarea te toca ponerte las pilas y, esperar a ver qué te dicen, o apuntar lo que a mi me ha tocado aprender:

Sanitización y validación de datos:
Todo dato proveniente del usuario, formularios, URL o base de datos debe ser validado y escapado. Se comprueba el uso de funciones como sanitize_text_field(), esc_html(), esc_attr(), esc_url() y wp_kses()
Uso de nonces y control de permisos:
Cada acción o formulario que realice cambios necesita un nonce (wp_nonce_field(), check_admin_referer()) y verificación de permisos con current_user_can() o user_can(). Esto evita ataques CSRF y operaciones no autorizadas
No ejecutar código peligroso o desaconsejado:
Se revisa que no existan llamadas directas a funciones PHP como eval(), base64_decode(), exec(), shell_exec() o system(), ni acceso directo a archivos inseguros.
Limpieza tras desinstalación (uninstall.php):
El plugin debe eliminar sus opciones personalizadas o tablas cuando es desinstalado, sin afectar la integridad del sitio.
Seguridad de dependencias y librerías externas:
No se permite incluir librerías o frameworks de terceros desactualizados, no oficiales o de licencias incompatibles. Además, debe evitarse el uso de CDN externas para scripts críticos.
Control de salida y XSS:
Toda salida de datos en HTML debe pasar por funciones de escape (escapes de contexto), para evitar inyecciones XSS o ejecución de HTML malicioso.
Neutralización de SQL injection:
Debe comprobarse el uso de $wpdb->prepare() para todas las consultas SQL que incluyan variables dinámicas, prohibiéndose concatenaciones directas.
Integridad de cabeceras y archivos del plugin:
El equipo de plugins comprueba que el archivo principal tenga metadatos válidos y que no existan redirecciones ocultas, iframes, ni scripts externos sospechosos.
Cumplimiento de licencias GPL:
Todos los recursos incluidos (código, imágenes, iconos, librerías) deben estar publicados bajo licencia GPL compatible para su redistribución abierta.
Comunicación segura y cifrada:
Si el plugin realiza conexiones externas o llamadas API, debe usar HTTPS de manera obligatoria y manejar tokens o claves de forma segura, sin exponerlos en el código fuente.

Consejos prácticos para superar la revisión de seguridad

Ejecuta tu plugin en las pruebas siempre con el modo WP_DEBUG activado para detectar avisos y errores.
Analiza tu código con el plugin oficial Plugin Check (PCP) antes de enviarlo.
Usa herramientas o servicios de seguridad de código para detectar vulnerabilidades externas y configuraciones de riesgo.

Cumplir con esta lista no te va a garantizar pasar la revisión de WordPress.org, pero te ayudará a acelerar el proceso, y de paso también eleva tu nivel profesional y la seguridad de tu código en cualquier desarrollo futuro.

¿Me puedo ayudar de IA, puedo hacer Vibe Coding?

Por supuesto, si utilizas alguna IA en tus procesos de desarrollo no hay motivo alguno por el que no debas hacerlo a la hora de publicar un plugin en WordPress.org, a nadie le va a importar ni reprocharte nada por algo que usan/mos todos desde hace años (sí, años).

De hecho te animo encarecidamente a hacerlo, por buenos y poderosos motivos:

Te ahorrarán tiempo a la hora de modular o garantizar compatibilidades de tu código.
Te ayudará a implementar medidas de seguridad en tu código sin tener que estar escapando o sanitizando manualmente cada parte.
Aprenderás aún más, pues vas a entrenar a tu IA favorita a ser más eficiente y meticulosa en la tarea de generar código.
Será importante en los procesos de mejora, mantenimiento y actualización.

Y, si me lo permites, te contaré algunos trucos o consejos, como los quieras llamar, para optimizar el Vibe Coding para la publicación de plugins en WordPress.org:

Crea proyectos: las IAs especializadas en programación permiten organizar tus trabajos en proyectos, de este modo personalizadas cada entorno, instrucciones y mantienes mejor el contexto, algo vital al trabajar ayudándote de LLMs.
Añade instrucciones detalladas: personaliza las instrucciones o preferencias de cada proyecto y conversación con especificaciones y contexto concreto sobre el objetivo y funcionalidades del plugin, así como con tus expectativas al respecto.
Estandariza tus preferencias: si siempre vas a usar un nombre de usuario o URLs en los README, o si te gusta añadir algo en todas las páginas de ajustes de tus plugins, o tienes alguna preferencia específica de estilos para el CSS defínelo y que lo tenga presente tu IA de antemano. Ahorrarás tiempo y tokens (= dinero).
Define prioridades: no hay que crear código siempre con una compatibilidad universal y para todo tipo de usuarios y situaciones. Casi siempre los mejores plugins se dirigen a dar solución a una necesidad concreta de usuarios concretos, y tienes un ejemplo en el que yo creé únicamente para simplificar WooCommerce a los gestores de tienda.
Entrena a la IA en los estándares de WordPress: documenta a la IA en los estándares de seguridad de WordPress.org, pero no le pases todo, solo aquello imprescindible (tienes enlaces al final de este artículo).

Errores habituales que pueden provocar que rechacen inicialmente tu plugin

Los errores más comunes que provocan el rechazo de un plugin en la revisión de WordPress.org generalmente están relacionados con aspectos de seguridad que hemos visto antes, calidad de código y compatibilidad.

Entre los principales suelen estar los siguientes:

Falta de saneamiento y escape de datos: Que el plugin acepte datos de usuarios sin sanitize o escape adecuado, lo que abre la puerta a vulnerabilidades como inyecciones SQL o ataques XSS. Esto es reiteradamente motivo de rechazo.
Ausencia de nonces y verificaciones de permisos: Al procesar formularios o acciones que modifican datos, si no se utilizan nonces para evitar CSRF ni verificaciones de capacidad del usuario, el plugin será rechazado por inseguro.
Errores y advertencias PHP: Que el plugin lance avisos, errores o advertencias en las pruebas con WP_DEBUG activado afecta negativamente la revisión. Se espera código limpio y sin fallos visibles.
Funciones y métodos desactualizados o prohibidos: Uso de funciones obsoletas o código PHP peligroso como eval(), exec(), o inclusiones externas inseguras son mal vistos y causa de rechazo.
Conflictos y falta de compatibilidad: Plugins que generan conflictos con WordPress, otros plugins o temas, especialmente si se usan recursos globales sin cuidado. También plugins que no soportan la versión actual estable de WordPress.
Metadatos incorrectos o ausencia de readme válido: Que falte la cabecera estándar o readme.txt con la estructura adecuada complica la gestión y rechazo.
Licencias no compatibles: Incluir código o recursos sin licencia GPL o compatible es un problema legal que impide la publicación.
No eliminar datos tras la desinstalación: Que el plugin deje residuos en base de datos o archivos después de ser desinstalado es mala práctica y puede generar rechazo, pero no es automático.
Incluir llamadas a recursos externos inseguros: Como scripts o imágenes que no usen HTTPS o provengan de orígenes no confiables.
Versionado incorrecto: Usar versiones incoherentes o incompatibles con la versión actual de WordPress dificulta la publicación y mantenimiento.
Uso de marcas registradas: A veces el primer aviso que recibirás del equipo de plugins puede ser relativo al uso indebido o innecesario de marcas registradas o incluso nombres comunes, como usar woocommerce en el nombre o slug, o utilizar plugin o wordpress sin justificación clara.

Evitar estos errores con buen código, pruebas y herramientas automáticas (como PCP) es fundamental para pasar la revisión sin problemas y garantizar la seguridad y calidad de los plugins publicados en WordPress.org.

Nota fundamental: NO TE AGOBIES porque te hagan revisar tu plugin, una o diez veces, acéptalo con humildad y tómatelo como un curso gratis que te están regalando con el que vas a mejorar tu código con los consejos de algunos de los mejores programadores del mundo.

Enlaces útiles por si te animas

Recursos imprescindibles
Recursos útiles
- Plugin Check (PCP) (imprescindible).
- Cómo detectar código obsoleto, erróneo o peligroso en tus plugins instalados.
- Vibe Coding: ayúdate de la IA para ser mejor programador.
- Cómo conseguir más usuarios para tu plugin en WordPress.org (próximamente).

Mi consejo muy personal: publicar un plugin es una gran decisión para mejorar

No importa si tu plugin es pequeño o experimental, si no eres un programador profesional o si lo consideras un «simple snippet». Sin ir más lejos, el primer plugin que publiqué yo eran unas 20 líneas de código (que luego, con lo aprendido, he ido ampliando y mejorando).

Subir tu primer plugin es mucho más que un gesto técnico: es una declaración de intenciones. Dices al mundo «esto lo hice yo, funciona, y quiero que otros también lo usen».

Subir un plugin a WordPress.org es, probablemente, una de las mejores inversiones de tiempo que harás en tu aprendizaje como desarrollador y como profesional WordPress.

Te vas a llegar gratis todo esto:

Aprendes estándares y buenas prácticas.
Ganas visibilidad y reputación.
Descubres nuevas oportunidades y colaboraciones.
Entrenas tu disciplina y tu creatividad.
Te conectas con la comunidad y con el software libre de manera profunda.

Y todo esto sucede mientras te diviertes y disfrutas del proceso, algo que rara vez ocurre en proyectos comerciales. Y en ese proceso, inevitablemente, te haces mejor profesional.

¿De cuánta utilidad te ha parecido este contenido?

¡Haz clic en las estrellas para valorarlo!

Promedio de puntuación 5 / 5. Total de votos: 2

¡Todavía no hay votos! Sé el primero en valorar este contenido.

Puede que también te interese…

¿Te gustó este artículo? ¡Ni te imaginas lo que te estás perdiendo en YouTube!

Emilio Mazuecos

05-11-2025 a las 07:34

¡Muy buen artículo, Fernando!
Inspirador y necesario.
La de joyas que se habrán quedado en repositorios privados y nos estaremos perdiendo por el miedo a dar ese paso.