No existe un escape universal; cada contexto pide su función específica.

• Escapa en el último momento, justo antes del echo.
• Sanea al guardar, escapa al mostrar.
• No mezcles HTML y datos sin control.
• Revisa hooks y template parts también.

<?php
$title = get_the_title();
$url = get_permalink();

echo '<a class="post-link" href="' . esc_url($url) . '">' . esc_html($title) . '</a>';

Traducir no es solo envolver cadenas: también debes cargar el dominio y mantener consistencia.

<?php
add_action('after_setup_theme', function () {
  load_theme_textdomain('mi-tema-clasico', get_template_directory() . '/languages');
});

echo esc_html__('Leer más', 'mi-tema-clasico');

Antes de publicar, revisa seguridad e i18n como parte obligatoria del QA.

• Sin salida de datos sin escape.
• Sin cadenas visibles fuera de funciones i18n.
• Text domain consistente en todo el tema.
• Revisión en staging antes de tag de versión.