Buenas prácticas en WordPress. Source: Mindpath Tech

Usa temas hijo (Child Themes) o plugins independientes
Nunca modifiques el archivo functions.php ni las plantillas directamente en un tema padre o de terceros. Si el tema se actualiza, perderás todos tus cambios. Si vas a personalizar estilos o plantillas, crea un Child Theme. Si la funcionalidad es lógica de negocio (ej. registrar un Custom Post Type), créala como un plugin independiente.
Sanitiza entradas y escapa salidas (Seguridad)
Para prevenir ataques de inyección SQL y XSS, nunca confíes en los datos del usuario:
Sanitizar antes de guardar: Usa funciones como sanitize_text_field() o absint().
Escapar antes de mostrar: Usa esc_html(), esc_attr(), o esc_url().
Verificar peticiones: Utiliza Nonces (wp_nonce_field() y check_admin_referer()) para asegurar que los formularios vienen de usuarios autorizados.
Optimiza las consultas a la base de datos
Evita realizar llamadas directas a la base de datos con WP_Query dentro de bucles pasados. Usa la API de Transients (set_transient() / get_transient()) para almacenar en caché consultas pesadas o respuestas de APIs externas. Para depurar consultas lentas o memoria en desarrollo, apóyate en plugins como Query Monitor.
Aprovecha el sistema de Hooks (Actions y Filters)
Sigue el estándar de diseño de WordPress extendiendo las funcionalidades mediante add_action() y add_filter(). Esto mantiene tu código modular y desacoplado, permitiendo que otros desarrolladores interactúen con tus desarrollos sin romper el núcleo.
Utiliza las APIs nativas de WordPress
Evita reinventar la rueda e interactuar directamente con PHP puro cuando WordPress ya ofrece soluciones integradas:
REST API / WP CLI: Para integración con aplicaciones externas y automatización.
Options API: Para guardar configuraciones globales del sitio.
Settings API / Customizer: Para construir interfaces de administración limpias y seguras.