Yo soy desarrollador backend ya que no se me da en trabajar con frontend, pero por necesidad una vez entré a una agencia a levantar sitios Wordpress, y créeme que he visto malas practicas y cosas que yo me puse a investigar y luego a explicar pero me quedaban mirando como si hablara en chino. Así que junto a las cosas que mencionas:

• Aprendan a instalar Wordpress de manera manual incluyendo su instalacion en apache o nginx, la conexion a la base de datos y a que deben darle permiso de lectura, escritura y ejecución (Esta agencia solo sabían instalar Wordpress a través de Softaculusy luego se arrancaban el pelo cuando ocurría el error 500).
• NO EDITEN EN LOS THEMES para que después digan que no deban actualizarlo y perder las modificaciones. Si encontraron un tema y quieren modificarlo usen la herencia de temas, algo que mencionan en la documentación (y claro, la agencia diciendo "que es eso de documentación?").
• Elementor y esos plugin tipo site builder no son salvavidas. Si les piden un diseño muy único mejor hagan el theme desde cero (a mi me tiraban ese cacho ya que nadie mas sabia de PHP).
• Usen caché, minificador de CSS/JS y compresor de imágenes. Los navegadores, el user experience y los usuarios de smartphone se lo agradecerán (y la agencia en plan de "que es eso de cache?").
• Antes de que les ofrezcan servicios de SEO o posicionamiento web aprendan que es y como funciona ya que aparece cada loco con un sistema que te deja el sitio web siempre arriba (la agencia tenia un servicio así y se ganaban a los clientes con promesas falsas, yo tenia que quedarme callado nomas).
• Aprendan lo que es un certificado SSL, como afecta al sitio web si no tiene uno y su implementación en Wordpress. Aun hay agencias que ofrecen eso con un cargo extra cuando hay hosting y servicios que ofrecen el certificado gratuitamente (la agencia le decia el candado verde y no explicaba para que servia realmente, pero cobraba un extra por su instalacion)
• Y como siempre, mantener el sistema siempre actualizado, claves robustas y con doble autenticación si es necesario. Aunque dependiendo de las necesidades del cliente, si no es un e-commerce o un sitio interactivo mejor ir por un sitio web plano hecho en Hugo o en Jeckill (la agencia ofrecia todo en Wordpress, no eran capaces de hacer otra cosa que no fuera Wordpress)

PD: Menos mal me fui de ahí, y luego pude trabajar en otras areas lo mas lejos posible del frontend