Plugin adalah kode tepercaya di bawah plugins/{name}/. plugin.json mendeklarasikan identitas, kebutuhan plugin, halaman dashboard, navigasi, aset, static copy, dan permission; file PHP menyediakan hook atau implementasi route.
Uploader memvalidasi paket, mengekstrak ke folder plugin, menyalin aset yang dideklarasikan, dan dapat menjalankan konvensi tetap install.sh dengan batas waktu/output. Install dapat menaruh plugin dalam keadaan nonaktif; Install & Activate juga memeriksa dependency dan mengaktifkannya. Jangan memasang paket yang sumbernya tidak dipercaya.
Setiap page mendeklarasikan route relatif dan file yang tetap berada di folder plugin. Core menolak traversal, duplikasi internal, shadow route dashboard Core, dan collision antarplugin. Route dapat memakai guard Site Owner atau permission plugin; keduanya tidak boleh digabung pada route yang sama.
Gunakan add_action/do_action untuk kejadian dan add_filter/apply_filters untuk transformasi nilai. Namespace nama fungsi dan hook milik plugin. requires.plugins memakai constraint versi; dependency harus terpasang, aktif, kompatibel, dan dapat dimuat. Core menolak deaktivasi provider yang masih dibutuhkan plugin aktif.
Nonaktif menyimpan file dan state plugin tetapi menghentikan pemuatan aktif. Uninstall/delete dapat menghapus file dan menjalankan konsekuensi plugin; backup dan baca dokumentasinya lebih dahulu.