1) Только с официального сайта WP.
2) По плагинам, что должно быть на борту, остальное в теме или по желанию:
- Yoast SEO
- RusToLat
Бекап - на сервере.
Сжетие\кешировка - CDN\nginx
Защиту лучше настроить на сервере.
Чем меньше запросов к BD тем лучше для wp.
Ну это сугубо мой опыт и мое мнение :)