WordPress 拥有六万多款插件，其中大多数已被弃置、不安全或功能重复。把一个 WordPress 网站经营好的本领，不在于安装更多插件，而在于安装更少。在 Defyn 为澳大利亚企业建设 WordPress 网站十二年之后，我们的默认插件组合已经收窄到五款工具——它们足够可靠，值得在任何新项目的第一天就安装。
这五款承担了 WordPress 核心本身并不原生提供的繁重工作，而且每一款都有充分的理由位列其中。下面是清单、每款的作用，以及在各个类别中应当避免的做法。
1. Yoast SEO（或 Rank Math）
两者都不错。选一个并坚持使用。SEO 插件的作用是让你掌控标题标签、元描述、结构化数据和站点地图。WordPress 核心能做到其中一部分，但对于一个正经的企业网站来说还不够。
应当避免：同时叠加两款 SEO 插件，因为它们会在结构化数据输出和站点地图生成上发生冲突。选择 Yoast 或 Rank Math，配置一次，并克制住在其旁边再加一款“SEO 增强”插件的冲动。
2. Wordfence Security 或 Sucuri
安全插件没有商量的余地。WordPress 是开放网络上最常被攻击的 CMS。Wordfence 在一个工具中集成了防火墙、恶意软件扫描、暴力破解防护和双因素认证。Sucuri 做着类似的工作，界面更简洁，在清除修复方面口碑更好。
应当避免：来自不知名发布者、索要过多权限的免费“安全”插件。这一领域值得信赖的两个选择是 Wordfence 和 Sucuri。选其一即可。
3. UpdraftPlus 或 BlogVault 用于备份
备份是 WordPress 网站能买到的最便宜的保险。UpdraftPlus 负责定时的异地备份（Google Drive、Dropbox、S3）和一键恢复。BlogVault 也能做到同样的事，并拥有更简洁的恢复工具和对服务器更温和的增量备份架构。
应当避免：只依赖主机商的备份。主机商也会被入侵。异地备份的全部意义正在于此。
4. WP Rocket 用于性能优化
性能插件是个拥挤的领域，充斥着承诺奇迹却交付破碎版式的插件。WP Rocket 是那个始终言行一致的，默认设置合理，配置起来无需精通缓存。它在一个工具中处理页面缓存、浏览器缓存、懒加载和压缩。
应当避免：叠加三款免费缓存插件（W3 Total Cache、WP Super Cache、Autoptimize）并指望它们协同工作。它们不会。选择一款自带合理默认设置的付费工具。
5. Gravity Forms 或 Fluent Forms
表单是大多数企业网站上最关键的交互元素。它们需要可靠、无障碍，并能与电子邮件营销工具和 CRM 干净地集成。Gravity Forms 成为代理机构的默认之选不无道理：它与 WordPress 生态中的一切有着 12 年的兼容历史。Fluent Forms 则是更轻、更快的替代品，已大幅成熟，对大多数使用场景而言确实具有竞争力。
应当避免：依赖 WordPress 的默认联系表单（其实并没有原生的）或没有垃圾邮件防护的免费版 Contact Form 7。这两种选择都等于在一周之内招来一个被垃圾邮件淹没的收件箱。
清单上没有的东西
明显缺席的是：页面构建器。我们把页面构建器视为一个结构性决策，而非插件选择。同样明显缺席的是：承诺包揽一切的“一体化”插件。插件越大，它带来的攻击面就越大，对网站的拖慢也越严重。
同样缺席的还有：Cookie 同意插件、GDPR 插件以及类似的合规工具。我们只在具体网站确有需要时才添加，而不会默认安装。大多数澳大利亚 B2B 网站如果把分析统计配置得保守一些，并不需要 Cookie 横幅。
插件总数很重要
一个构建良好的 WordPress 网站通常运行 10 到 15 个活动插件，包括这五款，外加针对具体业务的少量小众工具。拥有 30 个或更多插件的网站，几乎总是比所需更慢、更难更新，也更容易意外出问题。
如果你现有的网站运行着 25 个以上的插件，又不确定哪些真正发挥作用，那么一次插件审计就是一项投入小、回报却不成比例的工作。Defyn 的 WordPress 开发团队会定期进行这类审计，平均每个网站能从活动列表中去掉 8 到 12 个插件，而不会失去企业真正使用的任何功能。
更少的插件。更精挑细选的插件。这就是让一个 WordPress 网站多年平稳运行的秘诀。
