I plugin WordPress che uso davvero nel 2026 (e quelli che evito)
Plugin che uso, plugin che evito. Solo cosa funziona in produzione, non cosa vende bene.
Dopo 7 anni di WordPress tutti i giorni, la mia lista di plugin si è stabilizzata. Non perché non ne esistano di validi, ma perché ne ho provati abbastanza da sapere quali si rompono dopo sei mesi e quali reggono. Qui trovi cosa installo sui siti dei clienti, cosa non installo, e perché.
SEO: Slim SEO (preferito) e Yoast
Oggi installo Slim SEO. È gratuito, fa meta tag, schema, sitemap, breadcrumb, Open Graph e redirect 301 con un set di opzioni ridotto ma sufficiente. Se il sito ha già Yoast SEO installato, lo lascio: lo conosco bene da anni, ma è pesante e invasivo. Aggiunge campi ovunque, riempie i post editor di warning, e spesso fa caricare CSS e JS inutili sulle pagine del frontend. Su un sito nuovo parto da Slim SEO. Su uno che arriva con Yoast già configurato e funzionante, non tocco.
Form: Contact Form 7
È il più usato al mondo, lo conosco da anni a memoria. Sintassi a tag (vecchia scuola), ma una volta capito il meccanismo configuri qualsiasi field in pochi minuti. Non salva i dati in database di default (per quello uso un add-on tipo Flamingo), non ha logica condizionale nativa. Per un form di contatto standard, un form di richiesta preventivo o un form a due step, è ancora la scelta giusta. Se serve logica condizionale complessa o integrazioni CRM pesanti, passo a Fluent Forms (a pagamento). Ma per il 90% dei siti dei miei clienti, CF7 regge.
Antispam: WP Armour o Cloudflare Turnstile
Recaptcha è diventato lento. Ogni caricamento di form scarica tre script Google da domini esterni, che rallentano il TTFB e pesano sul LCP. WP Armour è la sostituzione diretta: gratis, fa honeypot, JavaScript challenge e controllo browser senza bloccare l'utente. Cloudflare Turnstile è l'alternativa per i siti già sotto Cloudflare: zero impatto sulle performance, integrazione semplice tramite token sito/chave segreta. Su siti con traffico alto o form con molti bot installati, Turnstile. Sui siti piccoli e veloci, WP Armour.
Cache: WP Fastest Cache
Leggero e gratuito. Fa page cache, minificazione CSS e JS, lazy load, combinazion file, expires headers. Configurazione in 10 minuti. Non ha le centinaia di opzioni di W3 Total Cache (che pure è valido ma richiede attenzione), e non costa come WP Rocket. Per la maggior parte dei siti WordPress che tocco, WP Fastest Cache è il compromesso giusto: velocità visibile, zero costi, manutenzione minima. Se poi il client ha già WP Rocket licenziato, lo uso volentieri, non vale la pena migrare.
Cookie: Complianz e alternative
Il migliore oggi è Complianz. Ha cookie banner conforme GDPR e cookie consent, geo-IP (banner solo per visitatori UE), integrazione automatica con la maggior parte dei plugin traccianti (Google Analytics, Facebook Pixel, Hotjar) e blocca i cookie prima del consenso senza configurazione manuale. CookieYes è un'alternativa gratuita solida. Più di recente ho iniziato a valutare FAZ e DigiConsent, entrambi più recenti ma già ben posizionati per conformità GDPR. Regola: mai un banner cookie fatto a mano. Complianz costa il tempo di configurazione (mezza giornata), non i rischi legali.
Sicurezza: Really Simple Security, WordFence, Solid Security
Tre opzioni a seconda del contesto. Really Simple Security (ex Really Simple SSL) è quello che installo più spesso: fa SSL, mixed content fix, headers di sicurezza, force login redirect. Leggero, fa quello che dice. WordFence è il firewall completo: scansione malware, login limiter, 2FA, IP blacklist. Lo uso quando il sito è già sotto attacco o quando gira su hosting condiviso a basso costo. Solid Security (ex iThemes Security) è la via di mezzo: ha più funzioni di Really Simple Security senza essere pesante come WordFence. La scelta dipende dal sito, non dal plugin più famoso.
Backup e migrazione: 4 plugin, usi diversi
UpdraftPlus per i backup regolari dei siti piccoli: versione gratuita completa, archiviazione su Google Drive e S3, ripristino one-click. WPvivid per siti medio-grandi: backup completi + staging interno, interfaccia chiara. Migrate Guru lo uso quasi solo per migrazioni pesanti (>5GB) tra hosting diversi: sposta il sito via il loro server, non consuma risorse sul tuo, zero timeout. WP Staging (a pagamento, da 69€/anno) quando devo testare aggiornamenti su siti business: backup + staging + migrazione in produzione con un click. Il plugin che mi ha salvato da più disastri post-aggiornamento.
Redirect: Redirection o .htaccess
Sugli hosting Apache, per 1-2 redirect scrivo direttamente in .htaccess. Per siti con decine di redirect, migration in corso o errori 404 da monitorare, uso il plugin Redirection: interfaccia semplice, log 404, export/import redirect, supporto regex. Non ha senso installare un plugin per tre redirect statici, non ha senso scrivere a mano cinquanta redirect da riga di comando.
Admin: Admin Site Enhancement
Pochi lo conoscono, è gratuito, e sostituisce 5 o 6 plugin che di solito si installano per cose diverse. Pulisce la dashboard di elementi inutili (blocco Gutenberg, notizie WordPress, meta box di benvenuto), gestisce utenti ruoli e permessi, migliora l'editor con colonne custom e field visibility, gestisce le revisioni post, e ottimizza i caricamenti di Gutenberg. Uno solo, gratis, aggiornato di frequente. Se gestisci 10 siti WordPress, questo ti fa risparmiare un'ora al mese per sito.
Page builder: Elementor (preferito)
Tra Elementor e Gutenberg, preferisco Elementor. Più controllo sul layout, struttura visiva chiara, client finale capisce cosa sta modificando, non serve toccare codice per allineare un bottone o cambiare un padding. Sì, genera un po' più di CSS di Gutenberg, ma con WP Rocket o WP Fastest Cache il peso si controlla. Su siti nuovi parto da Elementor, non da Gutenberg. Sul sito già fatto con BricksBuilder o un tema custom, non tocco: migrazione non vale la pena.
Il plugin che disinstallo sempre
Jetpack. Troppe funzioni inutili (stats interni inferiori a GA4, modulo sicurezza inferiore a WordFence, editor blocchi ridondanti), rallenta il sito, richiede account WordPress.com. Jetpack è il plugin che disinstallo più spesso quando prendo in mano un sito già esistente.
Se l'articolo ti ha fatto capire che il tuo sito ha lo stesso problema, scrivimi. Stima scritta entro 48 ore, €45/h fissi.