Comparar
Tres formas de incorporar un plugin o tema premium a un proyecto de WordPress, fila por fila. El repositorio es la tercera columna; no sustituye la licencia del proveedor, sino que empaqueta el código que tienes licencia para ejecutar.
| Criterio | Sitios de descarga cualesquiera y zips “nulled” | El portal del propio proveedor, zip manual | Este repositorio de Composer (composer.meteorgpl.com) |
|---|---|---|---|
| Integridad del origen | Origen desconocido, a menudo modificado; nada con lo que verificar una descarga. | El archivo original, directamente del proveedor. | El código original, con un SHA-256 para cada versión, analizado en busca de malware antes de publicarse. |
| Comprobaciones de licencia | Eliminadas o parcheadas; el producto no se puede registrar con el proveedor. | Intactas; se activan con tu clave. | Intactas; se activan con tu propia clave comprada al proveedor. |
| Versionado y reproducibilidad con composer.lock | Ninguno; el nombre del archivo es la única pista de la versión. | Manual: descargar, descomprimir, subir; ningún archivo de bloqueo registra qué se ejecuta dónde. | Etiquetas semver; composer.lock fija la versión y la suma de comprobación del dist, de modo que todos los entornos instalan los mismos bytes. |
| Actualizaciones | Volver a descargar de cualquier sitio, con el mismo riesgo cada vez. | Desde el administrador de WordPress con una clave válida, o con otro zip manual. | composer update. |
| Reversión | Solo si conservaste el zip antiguo. | Solo si el proveedor aún ofrece la versión antigua. | Todas las versiones publicadas siguen disponibles. |
| Compatible con Bedrock y twelve-factor | Ninguno. | Los plugins quedan fuera del grafo de dependencias; los despliegues requieren pasos manuales. | Dependencias declaradas en composer.json, instaladas por la compilación, sin código de terceros copiado en tu repositorio. |
| Claridad legal | Procedencia dudosa, código modificado. | Las condiciones de licencia del proveedor. | Redistribución del código GPL más la licencia del proveedor que compras; una política de retirada de contenidos publicada. |
| Soporte del proveedor y derecho a actualizaciones | Ninguno. | Con la licencia. | Con la licencia: se queda con el proveedor; el repositorio no la sustituye. |
| Automatización de CI | No es posible sin hacer commit de los zips. | No es posible sin hacer commit de los zips o automatizar los inicios de sesión en el portal. | auth.json o COMPOSER_AUTH en el pipeline. |
| Coste | “Gratis”, con el riesgo de malware y sin soporte. | La licencia del proveedor. | La licencia del proveedor más una suscripción al repositorio. |
Qué se elimina y por qué
La GPL cubre el código que un proveedor declara bajo ella. Las ilustraciones, fuentes, archivos multimedia, documentos y contenido de demostración incluidos con un producto suelen tener una licencia independiente, por lo que el repositorio no los redistribuye: las imágenes rasterizadas se sustituyen por marcadores de posición del mismo tamaño (los diseños siguen funcionando), las fuentes se eliminan salvo las fuentes de iconos, y se eliminan el audio, el vídeo, los documentos, el contenido de demostración y los archivos comprimidos anidados. La página del paquete indica la licencia declarada y un perfil de licencia; la página de licencias contiene la política completa. Obtén los recursos originales del proveedor con tu licencia.
Lo que nunca se modifica
PHP, JavaScript, CSS y el resto del código se distribuyen tal como los escribió el proveedor. Las comprobaciones de licencia, los flujos de activación, las comprobaciones de actualizaciones y la telemetría del proveedor no se alteran, ni se eliminan, ni se sustituyen por stubs. Los archivos que llegan con este tipo de modificaciones se restauran al código original cuando existe una referencia limpia y, en caso contrario, no se publican. Activa con tu clave; el proveedor sigue siendo tu punto de soporte.