Existem mais de 60 mil plugins no repositório oficial do WordPress, e a maior parte deles você não deve instalar. O que decide um site bem construído não é a quantidade de plugins, e sim escolher os poucos certos — e manter todos atualizados.
Esta lista está organizada por função, não por popularidade. Seis são essenciais em praticamente qualquer site, quatro servem à construção e ao conteúdo, quatro são para quem vende online, e um resolve um problema de segurança específico.
No fim, há duas seções que a maioria das listas não tem: quantos plugins são demais, e quais você pode desinstalar hoje porque o WordPress já faz aquilo sozinho.
| Cache | LiteSpeed Cache ou WP Rocket |
| SEO | Rank Math ou Yoast |
| Segurança | Wordfence |
| Backup | UpdraftPlus |
| Imagens | ShortPixel ou Smush |
| Anti-spam | Akismet |
Conteúdo
Os 6 plugins essenciais
Estes cobrem o que todo site precisa, independentemente do assunto ou do tamanho.
1. LiteSpeed Cache — velocidade
O plugin de maior impacto na performance de um WordPress, e o mais ausente das listas antigas. Ele guarda versões prontas das suas páginas, de modo que o servidor não precise montá-las a cada visita.
O ganho é grande e mensurável. Um WordPress sem cache reconstrói cada página do zero em cada acesso — consultando o banco, processando o PHP, aplicando o tema. Com cache, a página é entregue pronta.
O LiteSpeed Cache também faz minificação de CSS e JavaScript, lazy loading de imagens e conversão para WebP. É gratuito e completo.
⚠️ Um detalhe importante: o LiteSpeed Cache aproveita todo o potencial em servidores LiteSpeed. Em servidores Apache ou Nginx, ele funciona parcialmente — e nesses casos o WP Rocket (pago) ou o W3 Total Cache (gratuito) são melhores alternativas.
A velocidade também depende do servidor, e não só do plugin — nosso guia sobre TTFB explica a parte que nenhum plugin resolve. E para medir o efeito do cache antes e depois de instalar, use o PageSpeed Insights.
2. Rank Math ou Yoast SEO — otimização para busca
Os dois dominam o mercado e fazem essencialmente a mesma coisa: permitir editar título e meta descrição de cada página, gerar sitemap XML, e avisar sobre esquecimentos.
Yoast é o mais antigo e o mais documentado — se você buscar tutorial, vai encontrar mais material sobre ele.
Rank Math oferece na versão gratuita recursos que o Yoast reserva ao plano pago, como múltiplas palavras-chave por página e integração com o Search Console. É o que tem crescido mais rápido.
Escolha um só. Rodar os dois cria conflito de tags e schema duplicado. Se for migrar de um para o outro, ambos têm ferramenta de importação.
3. Wordfence — segurança
O WordPress é a plataforma mais atacada da web, e não por ser frágil: por ser a mais usada. A maioria das invasões não explora o núcleo, e sim plugins desatualizados e senhas fracas.
O Wordfence faz três coisas que importam: firewall de aplicação que bloqueia padrões de ataque conhecidos, varredura de arquivos comparando os seus com os originais do repositório, e limite de tentativas de login, que o WordPress não tem por padrão.
A versão gratuita cobre o essencial. Alternativas equivalentes: Solid Security (antigo iThemes) e Sucuri Security.
4. UpdraftPlus — backup
Instale antes de precisar. É o plugin que ninguém valoriza até o dia em que uma atualização quebra o site ou alguém apaga a pasta errada.
O UpdraftPlus agenda backups automáticos de arquivos e banco de dados, e envia para onde você escolher — Google Drive, Dropbox, S3. Guardar o backup no mesmo servidor do site não é backup: se o servidor falha, você perde os dois.
E o mais importante: ele restaura com um clique, sem passar por FTP nem phpMyAdmin.
5. ShortPixel ou Smush — otimização de imagens
Imagem sem otimização é a causa nº 1 de site lento — e é também o que mais pesa no LCP, uma das três métricas dos Core Web Vitals que o Google usa como fator de ranqueamento.
Os dois plugins comprimem automaticamente cada imagem enviada, e podem processar em lote as que já estão na biblioteca. O ShortPixel costuma comprimir mais agressivamente; o Smush tem versão gratuita mais generosa em volume.
Ambos convertem para WebP, formato que pesa bem menos que JPEG com qualidade equivalente.
6. Akismet — anti-spam em comentários
Vem pré-instalado no WordPress, e é só ativar com uma chave gratuita. Ele filtra os comentários automatizados que qualquer site com comentários abertos recebe às centenas.
Se o seu site não tem comentários, você pode desativá-lo — e nesse caso vale desativar os comentários também, em Configurações → Discussão.
4 plugins para construção e conteúdo
7. Elementor — construtor de páginas
Permite montar páginas arrastando elementos, sem escrever código. É o construtor mais usado do WordPress, com uma quantidade enorme de tutoriais e modelos disponíveis.
Duas ressalvas honestas. Ele acrescenta peso à página — o que torna o plugin de cache ainda mais necessário, e vale medir o impacto depois de montar as primeiras páginas.
Se você só precisa de textos e imagens, o editor de blocos nativo do WordPress já resolve, sem peso adicional.
8. WPForms ou Contact Form 7 — formulários
O Contact Form 7 é o mais antigo e o mais leve. Funciona bem, é gratuito, e configura os campos por marcação de texto — o que assusta quem nunca viu.
O WPForms tem interface visual de arrastar e soltar, e a versão gratuita já cobre formulário de contato simples. É mais fácil para quem está começando.
Os dois exigem uma coisa que muita gente esquece: verificar se o e-mail do formulário está chegando. É onde entra o próximo da lista.
9. WP Mail SMTP — fazer o e-mail chegar
Este é o plugin que resolve um problema silencioso e frequente: o WordPress envia e-mail pela função mail() do PHP, e essas mensagens frequentemente caem em spam ou nem saem do servidor.
O sintoma é conhecido: o formulário de contato “funciona”, mas você nunca recebe nada. Ou o e-mail de redefinição de senha não chega — o que aparece no nosso guia sobre login no WordPress como um dos problemas mais comuns.
O WP Mail SMTP faz o WordPress enviar por SMTP autenticado, usando a conta de e-mail do seu próprio domínio. A entrega passa a ser confiável, e as mensagens deixam de parecer spam para os servidores de destino.
10. Redirection — gerenciar redirecionamentos
Sempre que você muda o endereço de uma página, o antigo precisa apontar para o novo. Sem isso, quem clicar num link antigo — inclusive no Google — cai num erro 404, e a posição que aquela página tinha se perde.
O Redirection cria e gerencia redirecionamentos 301 pelo painel, sem editar .htaccess. E registra os 404 que acontecem no site, mostrando quais endereços as pessoas estão tentando acessar sem sucesso — o que é uma lista de correções pronta.
4 plugins para loja virtual
11. WooCommerce — a base
Transforma o WordPress numa loja completa: catálogo, carrinho, checkout, estoque, cupons, relatórios. É gratuito e é a plataforma de e-commerce mais usada do mundo.
O que custa são as extensões — meios de pagamento, frete, funcionalidades específicas. O núcleo não cobra nada.
Uma nota de infraestrutura: loja é mais pesada que site institucional, porque o carrinho e o checkout não podem ser cacheados. Vale conferir se o plano de hospedagem acompanha — e observar o TTFB, que é onde a diferença aparece.
12. Brazilian Market on WooCommerce — adaptação ao Brasil
O WooCommerce é feito para o mercado americano, e sem adaptação faltam campos que aqui são obrigatórios.
Este plugin acrescenta CPF e CNPJ, número e complemento separados do endereço, bairro — que o padrão internacional não tem —, e preenchimento automático pelo CEP. Também ajusta a máscara de telefone.
Sem ele, a loja pede “address line 2” e não pede CPF, o que gera problema na emissão de nota fiscal.
13. Mercado Pago ou PagBank — pagamentos
⚠️ O plugin oficial do PagSeguro para WooCommerce foi descontinuado, e a empresa passou a se chamar PagBank. Se você tem um site antigo usando aquele plugin, vale verificar.
As opções atuais mais usadas no Brasil:
Mercado Pago — plugin oficial mantido, aceita Pix, cartão e boleto, com checkout transparente.
PagBank — o sucessor do PagSeguro, com plugin próprio atualizado.
Pagar.me, Asaas e Appmax — alternativas com plugins ativos.
O que comparar: taxa por transação, prazo de repasse, se aceita Pix, e se o plugin tem atualização recente no repositório.
14. Melhor Envio — cálculo de frete
⚠️ Os plugins antigos de Correios pararam de funcionar quando a API de cálculo de frete mudou. Se a sua loja usa um deles, o frete provavelmente não está calculando.
O Melhor Envio cotou o lugar deles: integra Correios, Jadlog, Loggi e outras transportadoras numa interface só, com frete negociado abaixo do balcão, e gera as etiquetas.
Alternativas: Frenet e Kangu.
1 plugin de segurança que vale o clique
15. WPS Hide Login — trocar a URL de login
Todo WordPress do mundo tem o login em /wp-admin e /wp-login.php. Isso significa que bots varrem esses dois endereços continuamente, em todos os sites, tentando combinações de senha.
O WPS Hide Login troca esse endereço por um que você escolhe. Não é segurança de verdade — é redução de ruído, e reduz drasticamente a quantidade de tentativas que chegam ao seu site. Combinado com senha forte e limite de tentativas, resolve a maior parte do problema.
Guarde a nova URL em lugar seguro. Sem ela, o acesso só é recuperado desativando o plugin por FTP.
Quantos plugins são demais?
Não existe número máximo, e a pergunta está mal formulada. Vinte plugins bem mantidos pesam menos que cinco plugins ruins.
O que importa de fato:
Cada plugin é código de terceiro rodando no seu site. Um plugin com vulnerabilidade é porta de entrada, independentemente de quantos outros existam.
Plugin abandonado é o risco real. No repositório, veja a data da última atualização: se passou de um ano, procure alternativa. O WordPress avisa quando um plugin não é testado com a versão atual.
Plugin desativado ainda está instalado. Ele não roda, mas os arquivos continuam no servidor e podem ser explorados. Se não usa, apague.
O teste prático: se você não sabe o que um plugin faz, provavelmente não precisa dele.
5 plugins que você pode desinstalar hoje
Estes apareciam em listas de anos atrás, e hoje são desnecessários — em alguns casos, prejudiciais.
Plugins de favicon. O WordPress tem isso nativo, em Aparência → Personalizar → Identidade do site. Nosso guia sobre favicon mostra como.
Plugins de “trecho” ou excerpt. O controle de resumo é nativo no editor e no tema.
Plugins de proteção contra cópia. Bloquear clique direito não protege nada — qualquer pessoa abre o código-fonte com Ctrl+U. O que ele faz é atrapalhar a experiência do visitante e, em alguns casos, interferir na acessibilidade.
Plugins que só mudam a aparência do painel. Custam desempenho para não resolver nada.
Plugins de contador de visitas. O Google Analytics ou o Search Console fazem melhor, sem gravar no seu banco de dados a cada visita — o que, num site com tráfego, pesa.
Você pode ver este artigo sobre como desativar plugins no WordPress.
Plugin bom exige servidor bom — cache precisa de recursos, WooCommerce não pode ser cacheado no checkout, e otimizador de imagem consome CPU. Na Homehost, o servidor fica no Brasil, com NVMe, SSL grátis e suporte em português. A partir de R$ 7,90/mês, com migração gratuita do seu WordPress atual.
Ver planos de hospedagem WordPressPerguntas frequentes
Quantos plugins posso instalar no WordPress?
Não há limite técnico, e o número importa menos que a qualidade. Vinte plugins bem mantidos pesam menos que cinco abandonados. O que realmente conta é que cada um esteja atualizado, tenha manutenção ativa, e faça algo que você usa.
Plugin deixa o site lento?
Alguns sim, outros não. Construtores de página e plugins que rodam em cada carregamento — contadores, sliders, chats — pesam. Já um plugin de SEO ou de backup atua no painel ou em segundo plano, sem afetar o visitante. A forma de saber é testar a velocidade antes e depois de instalar — o PageSpeed Insights e o GTmetrix fazem isso, e o segundo mostra ponto a ponto o que está pesando.
Como sei se um plugin é seguro?
No repositório oficial, veja três coisas: a data da última atualização (se passou de um ano, procure alternativa), o número de instalações ativas, e a compatibilidade com a versão atual do WordPress. Plugins baixados fora do repositório, especialmente versões “premium grátis”, são o vetor mais comum de infecção.
Preciso pagar por plugins?
Não para começar. Todos os essenciais desta lista têm versão gratuita suficiente. As versões pagas fazem sentido quando você precisa de um recurso específico — e nesse caso, plugin pago com suporte ativo costuma ser mais barato que o tempo gasto contornando a limitação da versão gratuita.
Posso usar Yoast e Rank Math juntos?
Não. Os dois inserem as mesmas tags de SEO e geram o mesmo schema, criando duplicação que confunde os buscadores. Escolha um; ambos têm ferramenta de importação, então migrar depois não perde o trabalho feito.
Instalei um plugin e o site quebrou. O que faço?
Se ainda tem acesso ao painel, desative o plugin. Se a tela ficou branca e você não consegue entrar, acesse por FTP ou pelo gerenciador de arquivos da hospedagem e renomeie a pasta do plugin dentro de wp-content/plugins. O WordPress desativa automaticamente o que não encontra, e o painel volta.
Plugin desativado é seguro?
Menos perigoso que ativo, mas não inofensivo. Os arquivos continuam no servidor, e vulnerabilidades neles podem ser exploradas em alguns casos. Se você não vai voltar a usar, apague.
O plugin do PagSeguro ainda funciona?
O plugin oficial antigo foi descontinuado, e o PagSeguro passou a se chamar PagBank. Se a sua loja usa a versão antiga, vale verificar se os pagamentos estão processando e migrar para o plugin atual do PagBank ou para o Mercado Pago.
Por que meus e-mails do WordPress não chegam?
Porque o WordPress usa a função mail() do PHP por padrão, e essas mensagens frequentemente são recusadas ou classificadas como spam. A solução é o WP Mail SMTP, configurado com uma conta de e-mail do seu próprio domínio — a entrega passa a ser autenticada e confiável.
Preciso de plugin de cache se minha hospedagem já tem cache?
Depende de qual. Cache de servidor e cache de plugin atuam em camadas diferentes e geralmente se complementam. Mas rodar dois plugins de cache simultaneamente causa conflito. Se a hospedagem usa LiteSpeed, o LiteSpeed Cache é o par natural; caso contrário, um plugin como o WP Rocket faz o trabalho.
Conclusão
A lista que importa é menor do que parece. Cache, SEO, segurança, backup, otimização de imagem e anti-spam cobrem o que qualquer site precisa — seis plugins, todos com versão gratuita competente. O resto depende do que o site faz.
Duas ideias valem mais que qualquer recomendação específica. Plugin abandonado é risco, e a data da última atualização no repositório diz mais sobre um plugin do que a nota de avaliação. E plugin que você não sabe explicar não deveria estar instalado — cada um é código de terceiro rodando no seu servidor, com acesso ao seu banco de dados.
Se está começando agora, instale os seis essenciais, use o site por algumas semanas, e acrescente o resto conforme a necessidade aparecer. É o caminho oposto ao de instalar vinte plugins no primeiro dia e depois descobrir qual deles deixou o site lento.
