I plugin WordPress che uso davvero nel 2026 (e quelli che evito)
Plugin che uso, plugin che evito. Solo cosa funziona in produzione, non cosa vende bene.
Dopo 7 anni di WordPress tutti i giorni, la mia lista di plugin si è stabilizzata. Non perché non ne esistano di validi, ma perché ne ho provati abbastanza da sapere quali si rompono dopo sei mesi e quali reggono. Qui trovi cosa installo sui siti dei clienti, cosa non installo, e perché.
SEO: Slim SEO (preferito) e Yoast
Oggi installo Slim SEO. È gratuito, fa meta tag, schema, sitemap, breadcrumb, Open Graph e redirect 301 con un set di opzioni ridotto ma sufficiente. Se il sito ha già Yoast SEO installato, lo lascio: lo conosco bene da anni, ma è pesante e invasivo. Aggiunge campi ovunque, riempie i post editor di warning, e spesso fa caricare CSS e JS inutili sulle pagine del frontend. Su un sito nuovo parto da Slim SEO. Su uno che arriva con Yoast già configurato e funzionante, non tocco.
Form: Contact Form 7
È il più usato al mondo, lo conosco da anni a memoria. Sintassi a tag (vecchia scuola), ma una volta capito il meccanismo configuri qualsiasi field in pochi minuti. Non salva i dati in database di default (per quello uso un add-on tipo Flamingo), non ha logica condizionale nativa. Per un form di contatto standard, un form di richiesta preventivo o un form a due step, è ancora la scelta giusta. Se serve logica condizionale complessa o integrazioni CRM pesanti, passo a Fluent Forms (a pagamento). Ma per il 90% dei siti dei miei clienti, CF7 regge.
Antispam: WP Armour o Cloudflare Turnstile
Recaptcha è diventato lento. Ogni caricamento di form scarica tre script Google da domini esterni, che rallentano il TTFB e pesano sul LCP. WP Armour è la sostituzione diretta: gratis, fa honeypot, JavaScript challenge e controllo browser senza bloccare l'utente. Cloudflare Turnstile è l'alternativa per i siti già sotto Cloudflare: zero impatto sulle performance, integrazione semplice tramite token sito/chave segreta. Su siti con traffico alto o form con molti bot installati, Turnstile. Sui siti piccoli e veloci, WP Armour.
Cache: WP Fastest Cache
Leggero e gratuito. Fa page cache, minificazione CSS e JS, lazy load, combinazion file, expires headers. Configurazione in 10 minuti. Non ha le centinaia di opzioni di W3 Total Cache (che pure è valido ma richiede attenzione), e non costa come WP Rocket. Per la maggior parte dei siti WordPress che tocco, WP Fastest Cache è il compromesso giusto per la maggior parte dei siti: è gratis, richiede poca manutenzione, e la differenza di velocità si vede subito. Se poi il client ha già WP Rocket licenziato, lo uso volentieri, non vale la pena migrare.
Cookie: Complianz e alternative
Il migliore oggi è Complianz. Ha cookie banner conforme GDPR e cookie consent, geo-IP (banner solo per visitatori UE), integrazione automatica con la maggior parte dei plugin traccianti (Google Analytics, Facebook Pixel, Hotjar) e blocca i cookie prima del consenso senza configurazione manuale. CookieYes è un'alternativa gratuita solida. Più di recente ho iniziato a valutare FAZ e DigiConsent, due alternative più recenti a Complianz. Regola: mai un banner cookie fatto a mano. Complianz costa il tempo di configurazione (mezza giornata), non i rischi legali.
Sicurezza: Really Simple Security, WordFence, Solid Security
Tre opzioni a seconda del contesto. Really Simple Security (ex Really Simple SSL) è quello che installo più spesso: fa SSL, mixed content fix, headers di sicurezza, force login redirect. Leggero, fa quello che dice. WordFence è il firewall completo: scansione malware, login limiter, 2FA, IP blacklist. Lo uso quando il sito è già sotto attacco o quando gira su hosting condiviso a basso costo. Solid Security (ex iThemes Security) è la via di mezzo: ha più funzioni di Really Simple Security senza essere pesante come WordFence. La scelta dipende dal sito, non dal plugin più famoso.
Backup e migrazione: 4 plugin, usi diversi
UpdraftPlus per i backup regolari dei siti piccoli: versione gratuita completa, archiviazione su Google Drive e S3, ripristino one-click. WPvivid per siti medio-grandi: backup completi + staging interno, interfaccia chiara. Migrate Guru lo uso quasi solo per migrazioni pesanti (>5GB) tra hosting diversi: sposta il sito via il loro server, non consuma risorse sul tuo, zero timeout. WP Staging (a pagamento, da 69€/anno) quando devo testare aggiornamenti su siti business: backup + staging + migrazione in produzione con un click. Il plugin che mi ha salvato da più disastri post-aggiornamento.
Redirect: Redirection o .htaccess
Sugli hosting Apache, per 1-2 redirect scrivo direttamente in .htaccess. Per siti con decine di redirect, migration in corso o errori 404 da monitorare, uso il plugin Redirection: interfaccia semplice, log 404, export/import redirect, supporto regex. Non ha senso installare un plugin per tre redirect statici, non ha senso scrivere a mano cinquanta redirect da riga di comando.
Admin: Admin Site Enhancement
Pochi lo conoscono, è gratuito, e sostituisce 5 o 6 plugin che di solito si installano per cose diverse. Pulisce la dashboard di elementi inutili (blocco Gutenberg, notizie WordPress, meta box di benvenuto), gestisce utenti ruoli e permessi, migliora l'editor con colonne custom e field visibility, gestisce le revisioni post, e ottimizza i caricamenti di Gutenberg. Uno solo, gratis, aggiornato di frequente. Se gestisci 10 siti WordPress, questo ti fa risparmiare un'ora al mese per sito.
Page builder: Elementor (preferito)
Tra Elementor e Gutenberg, preferisco Elementor. Più controllo sul layout, struttura visiva chiara, client finale capisce cosa sta modificando, non serve toccare codice per allineare un bottone o cambiare un padding. Sì, genera un po' più di CSS di Gutenberg, ma con WP Rocket o WP Fastest Cache il peso si controlla. Su siti nuovi parto da Elementor, non da Gutenberg. Sul sito già fatto con BricksBuilder o un tema custom, non tocco: migrazione non vale la pena.
Il plugin che disinstallo sempre
Jetpack. Troppe funzioni inutili (stats interni inferiori a GA4, modulo sicurezza inferiore a WordFence, editor blocchi ridondanti), rallenta il sito, richiede account WordPress.com. Jetpack è il plugin che disinstallo più spesso quando prendo in mano un sito già esistente.
Mandami la lista dei plugin attivi: ti dico quali stanno rallentando il sito e quali si possono disattivare senza rompere niente.