El manteniment no és una subscripció, és una assegurança
Un lloc WordPress no és un objecte acabat. És un conjunt de programari que evoluciona cadascun al seu ritme: el nucli, el tema, les extensions, la versió de PHP, el servidor. Cada actualització d’un pot trencar l’altre, i cada dia sense actualitzar obre una finestra d’exposició addicional.
Aquesta realitat s’entén malament perquè és invisible. Un lloc sense manteniment continua mostrant-se amb normalitat durant mesos, de vegades anys. Res no n’indica la degradació, fins al dia que es manifesta de cop, en forma de lloc no disponible, contingut injectat o una caiguda de posicions inexplicable.
Comparar el cost d’un contracte de manteniment amb el cost d’un incident és, doncs, l’única manera honesta de plantejar la qüestió. D’una banda, una despesa mensual previsible i moderada. De l’altra, una posada a punt facturada d’urgència, una pèrdua d’activitat durant diversos dies i una reconstrucció de la reputació davant dels visitants i dels motors de cerca.
La gran majoria de compromisos de llocs WordPress no explota una vulnerabilitat del nucli, que és sòlid i es corregeix ràpidament. Explota una extensió obsoleta, un tema abandonat pel seu autor o una contrasenya feble. Dit d’una altra manera, apunten exactament allò que cobreix el manteniment.
Quant costa realment un atac
Quantificar un incident implica sumar partides que sovint s’obliden quan es miren per separat.
El cost tècnic directe
Identificació del compromís, neteja dels fitxers infectats, verificació de la base de dades, reinstal·lació neta del nucli i de les extensions, canvi de tots els accessos, restauració des d’una còpia de seguretat sana si existeix. Aquesta feina es compta en dies quan la infecció és antiga, perquè cal remuntar fins a la data del compromís per saber quina còpia de seguretat encara és sana.
És precisament aquí on l’absència de còpies de seguretat provades surt més cara. Una còpia de seguretat d’una setmana abans de la detecció ja conté la infecció, i aleshores cal reconstruir en lloc de restaurar.
El cost d’explotació
Durant la intervenció, el lloc sovint és inaccessible. Per a una activitat que rep sol·licituds per formulari, cada dia d’indisponibilitat és un dia sense prospectes. Per a una botiga, és una facturació perduda que no es recupera.
El cost de reputació
Un lloc marcat com a perillós pel navegador mostra un avís vermell a pantalla completa. Un cop netejat, retirar aquest avís pot trigar d’unes hores a diversos dies. Mentrestant, cada visitant se’n va amb la idea que l’empresa no és fiable.
El posicionament pateix el mateix. Google desindexa ràpidament un lloc compromès i el reindexa lentament. Una posició guanyada en divuit mesos es perd en deu dies i es recupera en diversos mesos.
Les cinc portes d’entrada realment utilitzades
Entendre per on entren els atacs permet entendre què ha de cobrir un contracte.
Les extensions obsoletes
És la primera causa, de llarg. Una extensió popular de la qual es publica una vulnerabilitat es converteix en un objectiu immediat, perquè la publicació de la vulnerabilitat va acompanyada de la publicació de la manera d’explotar-la. El temps entre la divulgació i els primers intents automatitzats es compta en hores.
La conseqüència pràctica és que un ritme d’actualització mensual no és suficient per a les extensions exposades. Els pegats de seguretat s’apliquen sense demora; les actualitzacions funcionals poden esperar una finestra planificada.
Els temes abandonats
Un tema comprat en un marketplace i no actualitzat des de fa dos anys és un risc permanent. El problema s’agreuja perquè molts temes incorporen les seves pròpies extensions, que no s’actualitzen de manera independent. Una vulnerabilitat en un component integrat queda a l’espera de la voluntat de l’autor del tema.
Els accessos febles
Contrasenyes reutilitzades, comptes d’antics proveïdors mai eliminats, absència de doble autenticació als comptes d’administrador. Aquests tres punts no costen res de corregir i representen una part important dels compromisos.
Les versions de PHP al final de vida
Una versió de PHP que ja no rep pegats de seguretat exposa tot el servidor. Molts llocs es queden en una versió antiga perquè una extensió incompatible bloqueja l’actualització, i ningú no s’atreveix a tocar-ho.
Les còpies de seguretat absents o no provades
No és una porta d’entrada, però és el que transforma un incident en una catàstrofe. Una còpia de seguretat que mai s’ha restaurat és una còpia de seguretat de la qual no se sap si funciona, i el descobriment arriba en el pitjor moment.
Què cobreix un contracte de manteniment de debò
El terme s’utilitza per a serveis molt diferents, des d’un simple allotjament reanomenat fins a un seguiment complet. Això és el que hauria d’incloure.
La part de seguretat
Actualitzacions del nucli, del tema i de les extensions, amb aplicació immediata dels pegats de seguretat. Monitoratge dels intents d’intrusió i bloqueig de les adreces agressives. Verificació periòdica de la integritat dels fitxers. Gestió de comptes i permisos, amb eliminació dels accessos no utilitzats.
La part de continuïtat
Còpies de seguretat automatitzades, externalitzades i provades. Monitoratge de la disponibilitat amb alerta en cas d’interrupció. Entorn de preproducció per provar les actualitzacions arriscades abans d’aplicar-les en producció. Procediment de restauració documentat i provat.
La part de rendiment
Monitoratge del temps de resposta, purga de taules innecessàries, control de la mida de la base de dades, optimització de les imatges afegides, verificació periòdica dels llindars de rendiment. Aquest apartat evita la deriva lenta que fa passar un lloc de dos a cinc segons de càrrega en tres anys, tema detallat al nostre article sobre els Core Web Vitals.
La part de posicionament tècnic
Control dels enllaços interns trencats després d’eliminar una pàgina, verificació de les redireccions, seguiment de la indexació, alerta sobre els errors reportats per la Search Console. Una extensió actualitzada pot modificar el marcatge o bloquejar un recurs, i ningú no se n’adona sense monitoratge.
La diferència entre manteniment i allotjament
La confusió la fomenten les ofertes comercials, i surt cara a les empreses que es pensen que estan cobertes.
Un proveïdor d’allotjament proporciona una infraestructura: un servidor, espai de disc, amplada de banda, de vegades un certificat i còpies de seguretat a nivell de servidor. La seva responsabilitat s’atura a la capa de sistema. Si la vostra extensió té una vulnerabilitat, no hi intervindrà, i si el vostre lloc queda compromès, el suspendrà abans que netejar-lo.
Un proveïdor de manteniment intervé dins del lloc mateix. Coneix les vostres extensions, prova les actualitzacions, restaura una versió anterior quan una actualització trenca una visualització i corregeix les regressions. Aquests dos serveis són complementaris i cap no substitueix l’altre.
Algunes ofertes d’allotjament gestionat combinen tots dos nivells, i generalment és la fórmula més clara per a una empresa que no vol gestionar dos interlocutors. Verifiqueu aleshores amb precisió on s’acaba la responsabilitat de cadascú, especialment pel que fa a la restauració després d’un incident.
La qüestió del ritme d’actualitzacions
Hi ha dues escoles i cap no té tota la raó.
L’actualització automàtica i immediata protegeix al màxim contra vulnerabilitats conegudes, però exposa a regressions: una extensió actualitzada sense prova pot trencar un formulari, una visualització o un procés de compra, i ningú no se n’adona fins al cap de diversos dies.
L’actualització planificada i provada evita les regressions, però deixa una finestra d’exposició. En un pegat de seguretat crític, esperar la finestra mensual equival a deixar la porta oberta durant setmanes.
La resposta raonable és mixta. Els pegats de seguretat s’apliquen sense demora, eventualment de manera automàtica, perquè el risc de regressió és inferior al risc d’exposició. Les actualitzacions majors i funcionals passen per un entorn de proves, a intervals regulars, amb verificació dels recorreguts crítics després d’aplicar-les.
En una botiga, aquesta verificació és innegociable: un procés de compra trencat durant tres dies costa més que un any de manteniment. Això és el que distingeix un contracte de manteniment e-commerce d’un contracte estàndard.
El que podeu fer vosaltres mateixos
Una empresa sense pressupost de manteniment no està condemnada a la inacció. Cinc gestos redueixen significativament el risc i només costen temps.
- Activar la doble autenticació a tots els comptes d’administrador i eliminar els comptes no utilitzats, especialment els d’antics proveïdors.
- Desinstal·lar les extensions no utilitzades en lloc de desactivar-les. Una extensió desactivada continua present al servidor i continua sent explotable.
- Actualitzar el nucli i les extensions com a mínim un cop al mes, després d’haver fet una còpia de seguretat manual.
- Verificar la versió de PHP amb el proveïdor d’allotjament i planificar l’actualització si ja no es manté.
- Provar una restauració un cop l’any en un entorn separat, per saber si la còpia de seguretat funciona realment.
Aquests cinc punts cobreixen la major part del risc habitual. El que no cobreixen és la reactivitat davant d’una vulnerabilitat crítica publicada un divendres al vespre, i la capacitat de diagnosticar una regressió subtil després d’una actualització.
Els senyals que indiquen un lloc descuidat
Algunes comprovacions ràpides permeten saber on sou, sense cap competència tècnica particular.
Inicieu sessió a l’administració i mireu el nombre d’actualitzacions pendents. Per sobre de cinc, el seguiment és irregular. Per sobre de quinze, és inexistent. Mireu després la data de l’última actualització de cada extensió del costat de l’autor: una extensió no actualitzada des de fa més d’un any és un risc per si mateixa, independentment del vostre propi seguiment.
Verifiqueu si hi ha comptes d’usuari desconeguts, la versió de PHP mostrada a la pantalla de salut del lloc i la data de l’última còpia de seguretat correcta. Aquestes tres informacions són visibles en tres minuts i donen una imatge fiable de la situació.
Finalment, mireu el temps de càrrega de la pàgina d’inici amb una eina de mesura. Un lloc ben seguit manté els seus llindars al llarg del temps; un lloc descuidat es degrada contínuament. Aquest control forma part dels punts sistemàtics d’una auditoria SEO tècnica.
La deriva lenta, més costosa que l’incident espectacular
Els atacs fan soroll, però no representen el principal perjudici observat als llocs que recuperem. El perjudici dominant és una erosió progressiva que ningú no data i que ningú no atribueix.
Comença per l’acumulació. Una extensió afegida per a una necessitat puntual i mai retirada, una segona per a un formulari, una tercera per a una galeria. Cadascuna carrega els seus fitxers a totes les pàgines, incloses les que no els fan servir. Al cap de tres anys, la pàgina d’inici carrega quaranta fitxers, dels quals dotze són innecessaris.
Continua amb la base de dades. Les revisions d’articles s’acumulen per desenes de milers, les taules de les extensions desinstal·lades es mantenen, les entrades temporals caducades mai no es purguen. Cada consulta travessa aquesta massa, i el temps de resposta del servidor s’allarga unes quantes desenes de mil·lisegons a cada capa.
Acaba amb els enllaços trencats. Una pàgina eliminada deixa enrere tots els enllaços interns que hi apuntaven; una imatge esborrada deixa un espai buit; un servei extern que tanca deixa un script mort. Cap d’aquests elements provoca una avaria, però tots degraden l’experiència i el posicionament.
El punt en comú d’aquestes tres derives és que cap no activa cap alerta. Només es constaten comparant l’estat d’avui amb el de fa dos anys, cosa que ningú no fa sense un seguiment organitzat.
Organitzar el seguiment quan es gestionen diversos llocs
Una empresa amb diversos llocs, o una estructura que en gestiona per als seus clients, topa ràpidament amb un problema d’escala. El seguiment manual lloc per lloc esdevé insostenible més enllà d’unes quantes unitats.
La primera resposta és centralitzar la supervisió: un tauler únic que mostri, per a cada lloc, les actualitzacions pendents, l’estat de l’última còpia de seguretat, la disponibilitat i la versió de PHP. Sense aquesta visió, els llocs menys visibles són els que deriven, perquè no demanen mai res.
La segona és l’estandardització. Utilitzar la mateixa base tècnica a tots els llocs, amb la mateixa llista d’extensions validades, redueix considerablement la càrrega: una actualització provada un cop s’aplica arreu amb el mateix nivell de confiança. A l’inrevés, deu llocs construïts cadascun de manera diferent impliquen deu proves diferents.
La tercera és la planificació. Una finestra de manteniment recurrent, anunciada i respectada, val més que una intervenció a demanda. Permet agrupar les verificacions, avisar els usuaris i disposar del temps necessari per tornar enrere si una actualització surt malament.
El que el manteniment aporta al posicionament
El vincle entre tots dos temes es fa poques vegades, tot i que és directe i mesurable.
Un lloc no disponible durant un rastreig es tracta com un error. Si es repeteix, aquesta situació redueix la freqüència de pas del robot i retarda la consideració dels nous continguts. En un lloc que publica regularment, aquesta latència té un cost real en visibilitat.
Un lloc lent veu disminuir el seu pressupost de rastreig. El robot disposa d’un temps determinat per domini, i un servidor que respon en un segon permet rastrejar moltes menys pàgines que un servidor que respon en dos-cents mil·lisegons. En catàlegs grans, aquesta diferència determina si les noves fitxes s’indexen en tres dies o en tres setmanes.
A més, una actualització no supervisada pot modificar elements invisibles però determinants: bloquejar un recurs al fitxer d’exclusió, eliminar un marcatge, canviar l’estructura de les adreces, desactivar el mapa del lloc. Aquestes regressions silencioses són freqüents i només es detecten amb un seguiment de la indexació.
Per això tractem el manteniment i el posicionament natural com dos vessants d’un mateix seguiment, en lloc de dues prestacions separades. Una posició perduda per culpa d’una extensió actualitzada un dimarts costa tant com una posició perduda per culpa d’un competidor, i és molt més fàcil d’evitar.
El cas dels llocs construïts per un proveïdor desaparegut
Situació freqüent i especialment incòmoda. El lloc funciona, ningú no sap com està construït i el proveïdor original és inlocalitzable.
El primer pas és recuperar els accessos: administració de WordPress, panell d’allotjament, registrador del nom de domini, comptes de mesura. Aquesta recuperació de vegades és llarga i implica demostrar la propietat, cosa que és més fàcil si el domini s’ha registrat a nom de l’empresa. És un punt a verificar en qualsevol plec de condicions d’un lloc web.
El segon és una auditoria de l’existent: quina versió del nucli, quin tema, quines extensions, quina versió de PHP, quines modificacions s’han fet directament al codi. Aquesta última qüestió és determinant, perquè un tema modificat sense tema fill perdrà les seves personalitzacions a la primera actualització.
El tercer és la decisió. Reprendre en manteniment un lloc sa però descuidat costa uns quants dies de posada al dia. Reprendre un lloc construït sobre una base compromesa, amb modificacions salvatges i un tema abandonat, de vegades costa més car que una refosa de lloc web. Aquesta avaluació honesta forma part de la feina.
El manteniment segons el tipus de lloc
L’abast útil varia molt segons el que faci el lloc, i no té sentit pagar el mateix contracte per a un aparador de deu pàgines que per a un catàleg de vuit-centes referències.
En un lloc aparador, el repte principal és la seguretat i la disponibilitat. Hi ha poques extensions, els recorreguts són simples i una regressió es detecta de seguida. Un seguiment mensual amb pegats de seguretat immediats cobreix l’essencial. És el perfil descrit al nostre article lloc aparador o e-commerce.
En una botiga, tot canvia d’escala. Les extensions comercials evolucionen ràpid, el procés de compra inclou una desena d’etapes tècniques susceptibles de trencar-se, i la indisponibilitat es tradueix directament en facturació perduda. La verificació després de cada actualització esdevé obligatòria, cosa que explica la diferència de tarifa. L’elecció de plataforma també influeix en aquesta càrrega, tema tractat al nostre comparatiu WordPress o Shopify.
En un lloc editorial que publica regularment, s’hi afegeix la supervisió de l’arquitectura. Cada publicació modifica l’enllaçat intern, cada eliminació deixa enllaços orfes, i la coherència de l’estructura es degrada sense una revisió periòdica. Els principis d’aquesta revisió són els exposats a la nostra metodologia de cocó semàntic, aplicada en manteniment més que en construcció.
Quant costa un manteniment seriós
Les tarifes del mercat s’estenen en una amplitud que fa difícil la comparació, perquè els abasts no tenen res a veure.
Les ofertes més barates cobreixen, en general, actualitzacions automàtiques sense prova i una còpia de seguretat no verificada. Valen més que res, però no protegeixen ni contra la regressió ni contra l’incident seriós, perquè no hi ha prevista cap intervenció humana.
Una prestació completa inclou temps humà: verificació després d’actualitzar, entorn de proves, monitoratge actiu i, sobretot, un compromís de termini d’intervenció en cas d’incident. És aquest compromís el que costa, i és el que té valor el dia que cal.
La bona pregunta abans de signar no és el preu mensual, sinó el contingut de tres línies: què passa si el lloc cau un dissabte, en quin termini interveniu i qui paga la posada a punt després d’un compromís. Les respostes distingeixen immediatament les ofertes.
El que heu de recordar
El manteniment no es justifica pel que aporta de manera visible, sinó pel que evita. És una assegurança, i com qualsevol assegurança sembla inútil fins al sinistre.
Tres elements marquen la diferència entre un contracte útil i una línia de facturació. Pegats de seguretat aplicats sense demora, perquè la finestra d’exposició es compta en hores. Còpies de seguretat externalitzades i realment provades, perquè una còpia de seguretat no restaurada no existeix. Un compromís de termini d’intervenció, perquè és l’única cosa que compta el dia de l’incident.
Si no teniu contracte, comenceu pels cinc gestos gratuïts: doble autenticació, eliminació de les extensions no utilitzades, actualització mensual, control de la versió de PHP, prova anual de restauració. Cobreixen l’essencial del risc habitual i us donaran una idea clara de la feina real que representa el seguiment d’un lloc.
