Es una confesión sorprendente que recibí de un miembro del equipo principal de WordPress. Me explicó que redistribuir una extensión recuperada de un servidor es perfectamente legal. Las reglas fundamentales del CMS permiten este uso. Mientras el público general lo desconoce, los editores de soluciones premium aprovechan esta falta de información para proteger su modelo de negocio. Nuestra investigación arroja luz sobre estas normas legales.
En este artículo
- Todo plugin de WordPress hereda obligatoriamente la licencia GPL
- Los editores venden un servicio, no el código
- Modificar un plugin para uso personal es un derecho de la GPL
- La split license intenta eludir la GPL sin conseguirlo
- WP Engine descubrió que la GPL también puede usarse como arma
- Desarrollar un plugin serio lleva años
- La GPL no cubre los derechos morales ni la falsificación
- Instalar un plugin forkeado puede tener consecuencias muy diferentes
Todo plugin de WordPress hereda obligatoriamente la licencia GPL
WordPress se distribuye bajo la licencia GNU GPL v2 (GNU General Public License). Creada por la Free Software Foundation, esta licencia concede cuatro libertades fundamentales a cualquier persona que recibe el software.
- Usar el software para cualquier propósito.
- Estudiar su funcionamiento y modificarlo.
- Redistribuir copias.
- Distribuir versiones modificadas.
La GPL es una licencia copyleft. Todo software derivado de código GPL hereda automáticamente la misma licencia. Un plugin de WordPress utiliza funciones internas de WordPress (hooks, filtros y API), se ejecuta en el entorno de WordPress e interactúa con su base de datos. Se considera una obra derivada y, por tanto, debe estar bajo la GPL.
Esta es la posición oficial de WordPress.org y de la Free Software Foundation, confirmada jurídicamente durante la controversia de Thesis en 2010. Matt Mullenweg obligó al editor Chris Pearson a publicar su tema comercial bajo la GPL después de semanas de enfrentamiento público. El mismo mecanismo reapareció en 2024 durante el conflicto con WP Engine.
Los editores venden un servicio, no el código
Un editor puede vender WP Rocket por 59 € al año. Puede vender Elementor Pro por 99 €. Puede vender Advanced Custom Fields al precio que quiera. Pero no puede prohibir la redistribución del código. La GPL no le concede ese derecho.
No vende el software, sino la clave de licencia que da acceso a las actualizaciones automáticas y al soporte. El código, una vez que está en tus manos, te pertenece según la GPL. Puedes copiarlo, modificarlo y dárselo a otra persona.
Eso es precisamente lo que hacen los revendedores GPL (GPLDL, GPL Vault y otros). Compran una licencia oficial, descargan el plugin y lo redistribuyen a sus clientes a un precio inferior. Legalmente no hacen nada prohibido. La licencia que compraron les concede ese derecho. La diferencia con un sitio que distribuye un fork anónimo es que el archivo distribuido es el original y no ha sido modificado.
Modificar un plugin para uso personal es un derecho de la GPL
La GPL permite usar, estudiar, redistribuir y modificar. El texto exacto de la GPL 2 establece que puedes modificar tu copia y distribuir esas modificaciones, siempre que hagas accesible el código fuente. Un plugin al que se ha eliminado la comprobación de licencia es técnicamente una modificación del código fuente. La GPL lo permite.
Por tanto, decir que un fork es ilegal es falso. La ley indica que modificar y redistribuir sin proporcionar el código fuente infringe la GPL. Modificar para uso personal o modificar haciendo accesible el código entra dentro de los derechos que la licencia concede explícitamente.
Un fork redistribuido sin código fuente ya infringe la GPL.
Cuando alguien modifica un plugin para eliminar una comprobación de licencia y después lo publica gratis, nada demuestra que se haya detenido ahí. La modificación también puede haber añadido una puerta trasera, un script para recopilar datos o una redirección a un servidor externo. No puedes saberlo sin auditar el código línea por línea. Según el informe de Wordfence sobre plugins maliciosos (2024), el 52 % de las fuentes de distribución de forks inyectan código malicioso en los archivos.
Si tienes los conocimientos necesarios para auditar el código, un fork cuyas líneas hayas comprobado no es peligroso. Los patrones que debes buscar primero en un archivo PHP desconocido son eval(base64_decode(...)), llamadas wp_remote_get a URL externas no documentadas y llamadas add_action que inyectan scripts en wp_head hacia dominios de terceros. Si no detectas estos patrones, estarás instalando un archivo desconocido con permisos completos de ejecución en tu servidor.
| Revendedor GPL (archivo original) | Fork (archivo modificado) | |
|---|---|---|
| Modificación del código | Ninguna | Como mínimo, se ha eliminado la comprobación de licencia |
| Legal según la GPL | Sí | Sí si se proporciona el código fuente; para uso personal, es una zona gris |
| Riesgo de malware | Ninguno (archivo original) | Depende de la fuente, el 52 % de los casos según Wordfence 2024 |
| Actualizaciones automáticas | Ausentes | Ausentes |
| Auditable sin conocimientos | Sí (archivo conocido) | No (no se puede comparar sin el original) |
La split license intenta eludir la GPL sin conseguirlo
Algunos editores han intentado eludir esta obligación creando una split license. El código PHP se publica bajo la GPL (una obligación legal), mientras que CSS, JavaScript, imágenes y otros recursos siguen bajo una licencia propietaria.
Matt Mullenweg rechazó claramente este enfoque en una publicación de 2015 titulada «There is No Such Thing as a Split License«. Cuando los recursos son necesarios para que el plugin funcione, forman parte de la obra derivada y quedan bajo la GPL. La split license es un intento legal de eludir las reglas que WordPress.org rechaza para todos los plugins y temas incluidos en su directorio oficial. Fuera del directorio oficial, nada impide legalmente que un editor lo intente, pero puede enfrentarse a impugnaciones.
En la práctica, casi todos los grandes editores de plugins han pasado al 100 % GPL desde 2015. La split license es hoy marginal y se considera una mala práctica en la comunidad de WordPress.
WP Engine descubrió que la GPL también puede usarse como arma
En septiembre de 2024, Matt Mullenweg publicó un artículo contra WP Engine, acusando al proveedor de obtener importantes ingresos de WordPress sin contribuir lo suficiente al proyecto. El conflicto se agravó rápidamente.
En octubre de 2024, WordPress.org tomó el control del plugin Advanced Custom Fields (ACF), propiedad de WP Engine y utilizado por más de 2 millones de sitios. El plugin se forkeó con el nombre Secure Custom Fields. La justificación fue que ACF estaba en el directorio de WordPress.org bajo la GPL, por lo que podía forkarse en cualquier momento. Legalmente, es correcto.
WP Engine demandó a Automattic y Mullenweg en California por abuso de poder. En diciembre de 2024, una primera medida cautelar obligó a Automattic a restablecer el acceso de WP Engine a WordPress.org. Un año después, el 10 de diciembre de 2025, la jueza federal Araceli Martínez-Olguín ordenó a Automattic devolver el plugin Secure Custom Fields y eliminar los datos de seguimiento recopilados sobre los clientes de WP Engine. En febrero de 2026, WP Engine presentó documentos internos que mostrarían que Automattic había planeado imponer regalías a 10 proveedores de alojamiento competidores. El juicio con jurado está previsto para septiembre de 2027.
Advanced Custom Fields, adquirido por WP Engine, pudo forkarse de un día para otro porque su código estaba bajo la GPL. El proceso no cambia ese derecho. El tribunal puede ordenar a Automattic que restablezca el acceso a su infraestructura. No puede prohibir que el código exista bajo la GPL.
Desarrollar un plugin serio lleva años
La licencia GPL autoriza la redistribución. Eso no significa que el trabajo que hay detrás de un plugin premium no tenga valor.
WP Rocket cuenta con un equipo de desarrolladores a tiempo completo desde 2013. Cada actualización importante de WordPress puede romper optimizaciones completas. Cambian las reglas de caché, aparecen nuevas API y evolucionan los navegadores. Mantener un plugin de rendimiento funcionando en miles de configuraciones diferentes de alojamientos, temas y otros plugins es un trabajo continuo.
Cuando recurres a un revendedor GPL por 5 euros en lugar de pagar la licencia oficial, utilizas el código legalmente. Pero no contribuyes a financiar las próximas actualizaciones. Si todo el mundo hiciera lo mismo, los equipos que mantienen estas herramientas ya no tendrían recursos para continuar. La GPL garantiza tus derechos. No garantiza que alguien reciba un pago por seguir mejorando el software.
No dejes que el algoritmo decida por ti
Añade Assistouest a tus fuentes preferidas en Google para encontrar nuestras guías más rápido cuando busques una solución informática.
La GPL no cubre los derechos morales ni la falsificación
Los derechos morales del autor están protegidos en Francia por el artículo L.121-1 del Código de Propiedad Intelectual, independientemente de cualquier licencia. Son inalienables: ni siquiera la GPL puede eliminarlos. Redistribuir un plugin quitando la mención del autor original vulnera esos derechos. Vender un plugin GPL afirmando ser su autor constituye una falsificación.
La GPL permite la redistribución libre. También obliga a redistribuir bajo las mismas condiciones. Quien distribuya una versión modificada debe hacer accesible su código fuente.
Instalar un plugin forkeado puede tener consecuencias muy diferentes
Si instalas un plugin de un revendedor GPL que distribuye archivos originales sin modificar, no haces nada ilegal. El riesgo principal es la ausencia de actualizaciones automáticas, que expone tu sitio a vulnerabilidades conocidas. Un plugin sin actualizar durante seis meses en un sitio en producción es una superficie de ataque abierta. Las bases para proteger un sitio WordPress cubren este punto y otros vectores de ataque habituales.
Si instalas un plugin forkeado sin saber si se ha modificado el código, existe riesgo de malware. Una puerta trasera en un plugin instalado en tu sitio da acceso completo a tu base de datos, tus archivos y los datos de tus usuarios. Recuperar un sitio comprometido por este tipo de inyección lleva horas y deja rastros en Google Search Console durante semanas.
¿Se puede usar un plugin GPL redistribuido en el sitio de un cliente?
¿Los temas están sujetos a las mismas reglas GPL que los plugins?
El contenido se desbloqueará automáticamente después de la verificación.