1. Никогда не качайте шаблоны и плагины с сомнительных ресурсов, особенно если Вам предлагают бесплатно скачать платный шаблон, дешевле будет купить шаблон на Themeforest, чем потом долго и упорно лечить свой сайт от вредоносного кода и его последствий. К тому же шаблоны на варезных сайтах имеют еще и не актуальную версию, глюки и ошибки старых версий, и это в плюс к вредоносным вставкам кода. Еще глупее выглядит ситуация, когда заказчик дает ссылку на бесплатный шаблон, выложенный на варезном сайте. Не поленитесь, если шаблон бесплатный, то найдите сайт его разработчика или лучше ищите его здесь https://wordpress.org/themes/ и качайте чистую версию с надежного ресурса. Сам движок качайте только отсюда https://wordpress.org/download/ .
2. Перед работой с чужим сайтом – делайте полный бекап и файлов и базы, да и при работе со своим сайтом, если делаете какие-то серьезные правки, то бекап лишним не будет. В 9 из 10 случаем, это будет лишняя работа, но когда наступит тот 1 из 10 случаев, и после обновления плагинов или шаблона, сайт упадет, то вы будету очень радоваться созданному заблаговременно бекапу.
3. Не обновляйте движок и плагины, если Вас об этом не просили. Потому что особо талантливые вебмастера могли вносить правки прям в движок, плагины или родительский шаблон. Иногда бывает соблазн обновить все плагины и движок, но делайте только то, о чем Вас попросили. Если уж сильно хочется, то предложите заказчику эту работу отдельно и не забудьте сделать бекапы перед обновлением.
4. Если даете доступ постороннему разработчику или вебмастеру, то после окончания работ меняйте пароль или удаляйте пользователя этого вебмастера. У меня до сих пор еще есть акутальные доступы к сайтам, которые создавал 3-4 года назад. Многие вебмастера могут использовать эти доступы в своих корыстных целях.
5. В настройках очищайте неиспользуемые поля или данные, чтобы у админа потом не возникали вопросы, почему телефон из хедера указан в пяти разных полях в админке на сайте, но при этом ни в одном его нельзя изменить, а оказывается прогер не нашел эти поля в админке и просто из кода выпилил вывод телефона и вписал его туда статично (не делайте так).
6. Если в админке есть дополнительные поля для css или js, то используйте их вместо исправления файлов родительского шаблона, если таких полей нет, то нет ничего зазорного, чтобы поставить плагины для этих полей, в крайнем случае, создавайте дочерний шаблон и вносите правки в него.
7. Вообще, нет ничего плохого в использовании плагинов. Я и сам когда-то любил использовать различные части кода вместо некоторых плагинов, но это чревато сложностями при смене шаблона. Но и сильно увлекаться ими не стоит, я всегда ставлю необходимый пакет плагинов, ничего лишнего, все выключенные плагины удаляю, они хоть ничего и не тянут, но для порядка и чистоты они не нужны.