aGo Cleanup, documentación

Versión del plugin: 1.0.0 · Documentación actualizada: 2026-06-28

aGo Cleanup te da una sola pantalla con 13 interruptores para desactivar funciones y scripts que WordPress carga por defecto y que la mayoría de los sitios modernos no necesitan: emojis, embeds, XML-RPC, la etiqueta de versión, scripts heredados y más. Cada cosa que apagas reduce el HTML, ahorra peticiones y cierra superficie de ataque, sin tocar el funcionamiento del panel de administración.

Cada interruptor trae un resumen de una línea a la vista, más un bloque “Más información” que se despliega y explica cómo funciona, por qué importa y la advertencia que corresponda antes de activarlo. No hay que adivinar.

1. Instalación y activación

1. Sube el archivo ago-cleanup.zip desde Plugins → Añadir nuevo plugin → Subir plugin y actívalo. También puedes copiar la carpeta ago-cleanup a /wp-content/plugins/.
2. Ve a aGo Tools → Cleanup.
3. Al activar el plugin, los ajustes seguros ya quedan encendidos. Desde ahí afinas cada interruptor según tu sitio.

El plugin no hace llamadas a servicios externos, no envía datos a terceros y no incluye telemetría. Toda su operación ocurre dentro de tu instalación de WordPress, agregando o quitando filtros y acciones estándar.

2. Cómo funciona la pantalla

Los interruptores están agrupados en cuatro secciones: Limpieza del head HTML, Scripts y estilos, Endurecimiento de seguridad y Otros.

• Los cambios se guardan automáticamente: enciendes o apagas un interruptor y queda grabado, no hay botón de guardar.
• Después de cambiar un interruptor, recarga el frontend para ver el efecto.
• Todo es reversible: vuelve a apagar el interruptor y el cambio se deshace.
• Los interruptores marcados con la etiqueta Recomendado son seguros para la mayoría de los sitios. Los que llevan advertencia vienen apagados por defecto, porque conviene probar algo antes de activarlos.

3. Limpieza del head HTML

Quita etiquetas <link> y <meta> heredadas que cargan en cada página.

• Versión de WordPress (recomendado). Oculta el número de versión de WordPress del código fuente de la página. Cómo funciona: lo elimina de la etiqueta meta del HTML y de los feeds RSS. Por qué: los atacantes rastrean versiones desactualizadas; ocultarla es un paso de endurecimiento pequeño pero estándar.
• Enlace de Windows Live Writer (recomendado). Elimina una etiqueta <link> de una herramienta de Microsoft retirada en 2017 (wlwmanifest.xml). Ya nadie usa Windows Live Writer, son bytes muertos.
• Enlace RSD (recomendado). Elimina el enlace Really Simple Discovery del head, usado por editores de blog antiguos. La publicación moderna usa la REST API; el RSD es peso muerto.
• Shortlinks (recomendado). Elimina el enlace corto del estilo ?p=123 del head y de las cabeceras HTTP. Ya tienes enlaces permanentes legibles; el shortlink duplica URLs y confunde a las analíticas.
• Enlaces de feed RSS en el head. Oculta las etiquetas <link> de descubrimiento automático de RSS. Si tu sitio no es un blog, nadie se suscribe por RSS y limpia el head. Advertencia: actívalo solo si NO publicas un blog ni un podcast.

4. Scripts y estilos

Deja de cargar el JavaScript y el CSS que tus visitantes no necesitan.

• Scripts y estilos de emojis (recomendado). Ahorra cerca de 14 KB por página. Cómo funciona: elimina el JS y el CSS que WordPress carga para dibujar emojis como imágenes en navegadores viejos. Por qué: todos los navegadores modernos muestran emojis de forma nativa, el respaldo es peso muerto.
• Scripts oEmbed (recomendado). Ahorra cerca de 6 KB. Elimina el JS de embed de WordPress que previsualiza la URL de tu entrada en otros sitios WordPress. Advertencia: YouTube, Twitter y otros oEmbed siguen funcionando; esto solo quita el embed de WordPress a WordPress.
• jQuery Migrate. Elimina la capa de compatibilidad de jQuery Migrate en el frontend, que da soporte a sintaxis antigua de jQuery 1.x. Si tu tema y tus plugins son modernos, no la necesitas. Advertencia: prueba el frontend después de activarlo. Si se rompen carruseles o ventanas modales, vuelve a apagarlo.
• Dashicons para visitantes (apagado por defecto). Ahorra cerca de 45 KB para quienes no han iniciado sesión. Elimina la fuente de iconos del panel de WordPress para visitantes que NO están autenticados. Los Dashicons pertenecen a wp-admin; el público no los necesita. Advertencia: algunos temas o plugins usan Dashicons en el frontend. Prueba después de activarlo.
• Estilos globales del editor de bloques (apagado por defecto). Omite los estilos de Gutenberg en sitios que no usan bloques. Elimina el CSS en línea de estilos globales y la hoja wp-block-library en el frontend. Útil si usas Elementor, Bricks, Divi o el editor clásico. Advertencia: desactívalo SOLO si no muestras bloques de Gutenberg en el frontend.

5. Endurecimiento de seguridad

Cierra superficies de ataque comunes.

• XML-RPC (recomendado). Cierra la principal superficie de ataque de fuerza bruta en WordPress. Cómo funciona: desactiva XML-RPC por completo (xmlrpc.php no responde nada). Por qué: los atacantes lo bombardean probando combinaciones de contraseñas y la mayoría de los sitios no lo necesitan. Advertencia: desactívalo solo si no usas la app móvil de WordPress, la publicación remota de Jetpack ni los trackbacks.
• Bloquear la REST API pública (apagado por defecto). Detiene la enumeración de usuarios a través de /wp-json/wp/v2/users. Restringe la REST API a usuarios autenticados, de modo que los rastreadores públicos no puedan listar usuarios ni contenido. Advertencia: desactiva la API pública solo si tu código de frontend no necesita endpoints REST públicos. La mayoría de los formularios y las configuraciones headless SÍ los necesitan.

6. Otros

• Auto-pingbacks (recomendado). Detiene los comentarios automáticos en tu propia entrada cuando enlazas a otra entrada tuya. Los auto-pingbacks ensucian la sección de comentarios y no cumplen ninguna función.

7. Atajos: Aplicar recomendados, Activar todo y Reiniciar

En la cabecera de la tarjeta de interruptores hay tres botones:

• Aplicar recomendados. Enciende el conjunto de interruptores marcados como recomendados y deja apagados los que llevan advertencia. Es el punto de partida seguro para casi cualquier sitio.
• Activar todo. Enciende los 13 interruptores de una vez. Úsalo solo si entiendes las advertencias de cada uno y vas a probar el frontend después.
• Reiniciar. Apaga todos los interruptores y deja el sitio como WordPress por defecto.

Estos botones aplican el cambio de inmediato y lo guardan. Recarga el frontend para ver el resultado.

8. Qué se enciende al instalar

La primera vez que activas el plugin se encienden de entrada los ajustes seguros: Versión de WordPress, Enlace de Windows Live Writer, Enlace RSD, Shortlinks, Scripts y estilos de emojis, Scripts oEmbed, XML-RPC y Auto-pingbacks. Los interruptores con advertencia quedan apagados. Puedes cambiar cualquiera después.

9. Privacidad y desinstalación

aGo Cleanup no recopila ni transmite ningún dato. Guarda una sola opción en la tabla wp_options, bajo la clave agocleanup_settings, con el estado de los interruptores. No crea tablas propias en la base de datos. Desactivar el plugin conserva esa opción; desinstalarlo la elimina.

10. Soporte

aGo Cleanup es un plugin gratuito de código abierto bajo licencia GPL-2.0+.

Cuando publiquemos este plugin en WordPress.org, las dudas y reportes de bugs se atenderán en su foro oficial (https://wordpress.org/support/plugin/ago-cleanup/). El plugin es de código abierto bajo licencia GPL-2.0+ y se atiende según disponibilidad.

No damos soporte por correo electrónico para la versión gratuita. Para uso comercial con soporte directo y SLA, próximamente lanzaremos planes de suscripción anual y lifetime.