123.970 identificadores, 70.909 de ellos listados: hemos contado el directorio de plugins entero

«¿Cuántos plugins de WordPress hay?» suena a pregunta con una cifra por respuesta. Son al menos dos. La página oficial de estadísticas de wordpress.org muestra qué versiones de WordPress, PHP y base de datos están en uso y en qué idiomas; un número de plugins no aparece (consultado el 4 de octubre de 2026). La API de plugins sí da un total cuando vas pasando páginas, pero distinto según el orden. Durante nuestro censo, entre «por actualidad» y «por popularidad» había unos 4.100 plugins de diferencia. El 4 de octubre repetimos ambas consultas: los totales siguen sin coincidir.

Así que contamos. Cada plugin listado, uno por uno, y cada identificador contrastado con la lista de todos los que el directorio ha asignado alguna vez. El resultado es el Plugin Directory Census 01/2026, un censo completo del directorio de plugins de WordPress con método abierto. En español hay una versión resumida; la herramienta de comprobación, los límites y el detalle del método están en la versión completa en inglés.

Dos cifras en lugar de una

En el directorio, cada plugin recibe un identificador, en inglés slug: el nombre de la carpeta en la que está, por ejemplo contact-form-7. Ese identificador sigue asignado aunque el plugin desaparezca más tarde de la lista. Por eso hay dos poblaciones, y las dos son reales:

La tercera fila es la que hace tropezar. Dos de cada cinco identificadores asignados alguna vez no están listados hoy. Suena más dramático de lo que es y, aun así, nadie tenía antes esta cifra bien medida. Proyectos que miden el directorio con regularidad sí existen; la versión completa del censo los nombra en la sección «How many plugins are in the WordPress plugin directory?» (en inglés), y el censo no sustituye a ninguno. Lo nuevo es el denominador: la lista completa de todos los identificadores asignados alguna vez.

Cómo hemos contado

La población: cada página de la API

La fuente es la API pública de plugins de wordpress.org, llamada query_plugins, ordenada por actualidad. 284 páginas de 250 entradas, una petición cada 250 milisegundos, 190 segundos de ejecución. Sin clave, sin inicio de sesión, sin más dependencia que Node.js.

En la práctica, la API tiene peculiaridades que solo se notan cuando una suma no cuadra:

• El orden cambia la población. Quien pasa páginas por popularidad ve unos 4.100 plugins menos y no se entera. Por eso nosotros solo paginamos por actualidad.
• El número de páginas que anuncia no es correcto. En una búsqueda, la página 1 anunciaba 11 páginas y luego la página 11 anunciaba 27. Nuestra descarga se detiene en la primera página vacía, no en la cifra anunciada.
• A partir de la página 1.000 vuelve, sin aviso, la página 999. Para la descarga completa no importa, termina tras 284 páginas. Aun así, el script lleva un cerrojo para ese caso.
• La población se mueve durante la ejecución. Seis registros aparecieron en dos páginas porque entretanto se actualizaron plugins. Se han deduplicado por identificador.

Todos los valores en días se calculan respecto a un instante fijo: 28/08/2026, 21:56:30 UTC. Si no, «más de un año sin lanzamiento» dependería de cuándo alguien lance el script.

El denominador: la lista SVN

Cada plugin que alguna vez entró en el directorio tiene una carpeta en el repositorio Subversion de wordpress.org. El listado de carpetas del 27/08/2026 tenía 123.921 entradas. 49 plugins se añadieron entre ese listado y la descarga de la población al día siguiente; están en la población, pero aún no en el listado, y cuentan como asignados. Así se llega a 123.970 identificadores asignados alguna vez. «No listado» deja de ser una estimación y pasa a ser la diferencia exacta entre dos conjuntos: 53.061.

Aquí está la diferencia real con una muestra. Una muestra da una estimación con barras de error. Un censo completo da una cifra exacta para todo lo que se puede contar. Impreciso solo queda lo que la propia fuente da de forma imprecisa, y a eso llegamos enseguida.

Comprobación cruzada y sumas de verificación

Antes de que una cifra llegue a la página, una validación la contrasta con el resto. La última, del 14/09/2026, incluye 25 controles, todos superados. Algunos de ellos:

• listados más no listados da exactamente los 123.970 asignados;
• el archivo de datos de los plugins listados contiene exactamente 70.909 identificadores, la lista de los no listados exactamente 53.061, sin duplicados ni solapamientos;
• la suma de los grupos de tamaño y la suma de los años de alta vuelven a dar 70.909 cada una;
• cada suma de verificación citada en la página coincide con su archivo.

Cada archivo publicado figura con su SHA-256 en la tabla de archivos de la versión completa del censo (en inglés), también los tres scripts: uno hace la descarga completa, otro calcula las cifras y el tercero escribe los archivos de la página. Funcionan sin dependencias. Además, muchas cifras se pueden volver a contar directamente en el archivo publicado con los 70.909 identificadores, por ejemplo los 54 valores distintos de instalaciones. Quien lance hoy los scripts obtiene el estado de hoy y, con él, su propio punto de comparación.

Qué significa «no listado», y qué no

53.061 identificadores no listados no son 53.061 plugins cerrados. En la diferencia hay plugins cerrados, pero también identificadores que nunca tuvieron un lanzamiento y solicitudes rechazadas. Cómo se reparte no se puede leer en esta edición, y tampoco lo extrapolamos. Aun así, la lista de identificadores no listados es pública, uno por línea, sin más campos. Quien busque un identificador concreto lo encontrará allí. Un motivo, no.

Por eso nos impusimos una regla de lenguaje: dos de cada cinco, y sin redondear. El 42,8 % no es la mitad, y una mitad redondeada se convierte, a más tardar en la tercera repetición, en «la mitad de todos los plugins de WordPress está abandonada». Eso no es cierto y no figura en ningún campo de la API.

El segundo hallazgo: la inactividad es la norma, pero casi no afecta a nadie

La cifra que consideramos más importante ni siquiera está en el título. 41.395 plugins listados, el 58,4 %, llevaban en la fecha de referencia más de 365 días sin lanzamiento. Ponderado por instalaciones son entre el 3,7 y el 7,8 %. Las dos cifras son correctas. Responden a preguntas distintas: por número, el directorio está quieto; por uso, está vivo.

Cómo encaja una cosa con la otra lo muestra el reparto por tamaño:

Nueve de cada diez plugins listados tienen menos de 1.000 instalaciones. Allí, el silencio es normal. Los 67 plugins con al menos un millón de instalaciones suman en cambio entre el 41,5 y el 60,9 % de todas las instalaciones, y de ellos exactamente uno llevaba más de un año sin lanzamiento. Por cierto, las bandas de los grupos no suman el 100 %, porque cada grupo se calcula en el caso más desfavorable frente al resto.

«Silencioso» significa aquí exactamente una cosa: ningún lanzamiento desde hace más de 365 días, medido en el campo last_updated. Si un plugin está abandonado, el campo no lo dice. Una herramienta pequeña que hace una sola cosa y funciona desde hace años no necesita un lanzamiento cada mes. Sobre seguridad, el campo tampoco dice nada. Cómo reconocer un plugin que te va a dejar tirado lo explicamos en nuestro artículo Actualizar plugins de WordPress; qué capas de protección asume un plugin de seguridad y cuáles no, en nuestra guía de seguridad para WordPress, con su comparativa de plugins de seguridad.

Con la misma cautela hay que tratar lo que declaran los propios autores. 8.131 plugins listados (11,5 %) indican PHP 5 como versión mínima, y 31.584 (44,5 %) no indican nada. También hay nombres grandes: Classic Editor, publicado con el nombre de autor WordPress.org, indica según su perfil del censo (en inglés) PHP 5.2 como versión mínima, y su último lanzamiento fue 92 días antes de la fecha de referencia. Una versión mínima no demuestra que el código falle en PHP 8. Lo que el dato sí revela lo contamos en nuestro artículo sobre plugins de WordPress con PHP 5 como versión mínima (en inglés).

Hasta dónde llegan las cifras

Un censo que no dice sus límites acaba mal citado. Estos acompañan a cada cifra.

Las instalaciones no son sitios web

El campo active_installs cuenta instalaciones que se comunican con la comprobación de actualizaciones de wordpress.org. No son sitios web, ni usuarios, ni clientes. Las descargas son otra cosa más: Contact Form 7 suma, según su perfil, 423.084.624 descargas, actualizaciones incluidas, y entre 10.000.000 y 19.999.999 instalaciones activas. Una cifra es más de veinte veces la otra, y ninguna se puede convertir en la otra.

Una cifra significativa, y por eso una banda

En el censo completo, active_installs toma exactamente 54 valores distintos, cada uno con una cifra significativa, y cada uno es el límite inferior de un intervalo: 10.000 significa entre 10.000 y 19.999. Para proporciones esto es inofensivo, la banda se mantiene estrecha. Para sumas, no. Todas las instalaciones juntas están entre 324,8 y 482,3 millones, una amplitud del 48,5 %. Es inherente al diseño de la fuente, y ninguna muestra la reduce. Quien escribe «X millones de sitios web usan Y» arrastra esta banda, lo diga o no.

El tramo superior está abierto

Para los plugins a partir de diez millones de instalaciones, la API no da límite superior. Afecta a tres plugins, uno de ellos Contact Form 7. Ahí calculamos con 19.999.999, igual que en cualquier otro tramo, y marcamos el tramo en todas partes como abierto por arriba. El límite superior de cada suma se basa por tanto en una convención.

Nada sobre motivos, nada sobre tendencias

Por qué un identificador ya no está listado no figura en ningún campo de esta edición. Y como es la primera, falta cualquier punto de comparación: la edición 01 es una línea de base, y cualquier afirmación sobre una tendencia sería inventada. tested y requires_php son declaraciones de los autores que nadie verifica. Ninguna afirmación sobre seguridad, vulnerabilidades o el Cyber Resilience Act se deduce de un campo medido.

Un conflicto de intereses, dicho abiertamente

Nosotros mismos vendemos plugins de WordPress, y algunos están en el directorio. A ellos se les aplican las mismas consultas, fórmulas y umbrales que a todos los demás. El censo no analiza por separado ninguna categoría en la que vendamos.

Qué puedes hacer con esto

La parte práctica es la herramienta para comprobar tus propios plugins, en la versión completa del censo (en inglés). Introduces los identificadores que funcionan en tu sitio, uno por línea. Los encuentras como nombres de carpeta en wp-content/plugins/; con WP-CLI, wp plugin list --field=name te da la lista. La consulta se hace en tu navegador y a nosotros no nos llega nada. Para cada plugin ves el intervalo de instalaciones, el último lanzamiento y la comparación con plugins de tamaño parecido.

Cada uno de los 466 plugins con 100.000 instalaciones o más tiene su propio perfil (en inglés) con todos los valores en la fecha de referencia y la comparación con su grupo de tamaño, por ejemplo el de Akismet, en el directorio desde 2005. Si en tu lista aparece un plugin silencioso, merece una segunda mirada. ¿Se responden las preguntas de soporte? ¿Funciona con tu versión de PHP? ¿Hay un sucesor mantenido?

Hay un resumen para redacciones, con enlace a los datos brutos, en la sección Research de nuestra página de prensa (en inglés). Si crees que un valor es incorrecto, escribe a moin@hafenstudios.com; cada corrección figura con su fecha en el historial de versiones de la página del censo.

Preguntas frecuentes