El mantenimiento no es una suscripción, es un seguro
Un sitio WordPress no es un objeto terminado. Es un conjunto de software que evoluciona cada uno a su ritmo: el core, el tema, los plugins, la versión de PHP, el servidor. Cada actualización de uno puede romper el otro, y cada día sin actualización abre una ventana de exposición adicional.
Esta realidad se comprende mal porque es invisible. Un sitio sin mantenimiento sigue mostrándose normalmente durante meses, a veces años. Nada indica la degradación, hasta el día en que se manifiesta de golpe, en forma de un sitio no disponible, un contenido inyectado o una caída de posiciones inexplicable.
Comparar el coste de un contrato de mantenimiento con el coste de un incidente es, por tanto, la única forma honesta de plantear la cuestión. Por un lado, un gasto mensual previsible y modesto. Por el otro, una restauración facturada con urgencia, una pérdida de explotación durante varios días y una reconstrucción de la reputación ante los visitantes y los motores de búsqueda.
La gran mayoría de los compromisos de seguridad de sitios WordPress no explota una vulnerabilidad del core, que es sólido y se corrige rápidamente. Explota un plugin obsoleto, un tema abandonado por su autor o una contraseña débil. En otras palabras, se dirigen a lo que el mantenimiento cubre exactamente.
Lo que realmente cuesta un ataque
Cifrar un incidente supone sumar partidas que se olvidan por separado.
El coste técnico directo
Identificación del compromiso de seguridad, limpieza de los archivos infectados, verificación de la base de datos, reinstalación limpia del core y los plugins, cambio de todos los accesos, restauración desde una copia de seguridad sana si existe. Este trabajo se cuenta en días cuando la infección es antigua, porque hay que remontarse a la fecha del compromiso para saber qué copia de seguridad sigue siendo sana.
Es precisamente ahí donde la ausencia de copias de seguridad probadas cuesta más. Una copia de seguridad de una semana antes del descubrimiento ya contiene la infección, y entonces hay que reconstruir en lugar de restaurar.
El coste de explotación
Durante la intervención, el sitio suele ser inaccesible. Para una actividad que recibe sus solicitudes por formulario, cada día de indisponibilidad es un día sin prospectos. Para una tienda, es una facturación perdida que no se recupera.
El coste de reputación
Un sitio señalado como peligroso por el navegador muestra una advertencia roja a pantalla completa. Una vez limpio, la eliminación de esta señalización tarda de unas horas a varios días. Mientras tanto, cada visitante se va con la idea de que la empresa no es fiable.
El posicionamiento SEO sufre la misma suerte. Google desindexa rápidamente un sitio comprometido y lo reindexa lentamente. Una posición adquirida en dieciocho meses se pierde en diez días y se recupera en varios meses.
Las cinco vías de entrada realmente utilizadas
Comprender por dónde se producen los ataques permite entender lo que un contrato debe cubrir.
Los plugins obsoletos
Es la primera causa, con diferencia. Un plugin popular cuya vulnerabilidad se publica se convierte en un objetivo inmediato, porque la publicación de la vulnerabilidad va acompañada de la publicación del medio para explotarla. El tiempo entre la divulgación y los primeros intentos automatizados se cuenta en horas.
La consecuencia práctica es que un ritmo de actualización mensual no es suficiente para los plugins expuestos. Los parches de seguridad se aplican sin demora, las actualizaciones funcionales pueden esperar una ventana planificada.
Los temas abandonados
Un tema comprado en un marketplace y no actualizado desde hace dos años es un riesgo permanente. El problema se agrava por el hecho de que muchos temas incluyen sus propios plugins, que no se actualizan de forma independiente. Una vulnerabilidad en un componente incluido espera la buena voluntad del autor del tema.
Los accesos débiles
Contraseñas reutilizadas, cuentas de antiguos proveedores nunca eliminadas, ausencia de doble autenticación en las cuentas de administrador. Estos tres puntos no cuestan nada de corregir y representan una parte importante de los compromisos de seguridad.
Las versiones de PHP al final de su vida útil
Una versión de PHP que ya no recibe parches de seguridad expone todo el servidor. Muchos sitios permanecen en una versión antigua porque un plugin incompatible bloquea la actualización, y nadie se atreve a tocarla.
Las copias de seguridad ausentes o no probadas
No es una vía de entrada, pero es lo que convierte un incidente en una catástrofe. Una copia de seguridad nunca restaurada es una copia de seguridad de la que se desconoce si funciona, y el descubrimiento se produce en el peor momento.
Lo que cubre un verdadero contrato de mantenimiento
El término se utiliza para servicios muy diferentes, desde el simple alojamiento rebautizado hasta el seguimiento completo. Esto es lo que debería cubrir.
La parte de seguridad
Actualizaciones del core, del tema y de los plugins, con aplicación inmediata de los parches de seguridad. Vigilancia de los intentos de intrusión y bloqueo de las direcciones agresivas. Verificación periódica de la integridad de los archivos. Gestión de cuentas y permisos, con eliminación de accesos no utilizados.
La parte de continuidad
Copias de seguridad automatizadas, externalizadas y probadas. Vigilancia de la disponibilidad con alerta en caso de interrupción. Entorno de preproducción para probar las actualizaciones arriesgadas antes de aplicarlas en producción. Procedimiento de restauración documentado y probado.
La parte de rendimiento
Vigilancia del tiempo de respuesta, purga de tablas inútiles, control del tamaño de la base de datos, optimización de las imágenes añadidas, verificación periódica de los umbrales de rendimiento. Este aspecto evita la deriva lenta que hace que un sitio pase de dos a cinco segundos de carga en tres años, tema detallado en nuestro artículo sobre las Core Web Vitals.
La parte de posicionamiento técnico
Control de los enlaces internos rotos después de la eliminación de páginas, verificación de las redirecciones, seguimiento de la indexación, alerta sobre los errores reportados por la Search Console. Un plugin actualizado puede modificar el marcado o bloquear un recurso, y nadie se da cuenta sin supervisión.
La diferencia entre mantenimiento y alojamiento
La confusión es alimentada por las ofertas comerciales, y cuesta caro a las empresas que creen estar cubiertas.
Un proveedor de alojamiento proporciona una infraestructura: un servidor, espacio en disco, ancho de banda, a veces un certificado y copias de seguridad a nivel de servidor. Su responsabilidad se limita a la capa del sistema. Si tu plugin presenta una vulnerabilidad, no intervendrá, y si tu sitio está comprometido, lo suspenderá en lugar de limpiarlo.
Un proveedor de mantenimiento interviene en el propio sitio. Conoce tus plugins, prueba las actualizaciones, restaura una versión anterior cuando una actualización rompe una visualización y corrige las regresiones. Estos dos servicios son complementarios y ninguno reemplaza al otro.
Algunas ofertas de alojamiento gestionado combinan ambos niveles, y suele ser la fórmula más clara para una empresa que no quiere gestionar dos interlocutores. Verifica entonces precisamente dónde termina la responsabilidad de cada uno, en particular en la restauración después de un incidente.
La cuestión del ritmo de las actualizaciones
Dos escuelas se oponen y ninguna tiene toda la razón.
La actualización automática e inmediata protege al máximo contra las vulnerabilidades conocidas, pero expone a las regresiones: un plugin actualizado sin pruebas puede romper un formulario, una visualización o un embudo de compra, y nadie se da cuenta hasta varios días después.
La actualización planificada y probada evita las regresiones, pero deja una ventana de exposición. En un parche de seguridad crítico, esperar la ventana mensual equivale a dejar la puerta abierta varias semanas.
La respuesta razonable es mixta. Los parches de seguridad se aplican sin demora, eventualmente de forma automática, porque el riesgo de regresión es inferior al riesgo de exposición. Las actualizaciones mayores y funcionales pasan por un entorno de prueba, a intervalos regulares, con verificación de los recorridos críticos después de la aplicación.
En una tienda online, esta verificación no es negociable: un embudo de compra roto durante tres días cuesta más que un año de mantenimiento. Esto es lo que distingue un contrato de mantenimiento de e-commerce de un contrato estándar.
Lo que puedes hacer tú mismo
Una empresa sin presupuesto de mantenimiento no está condenada a la inacción. Cinco acciones reducen significativamente el riesgo y solo cuestan tiempo.
- Activar la doble autenticación en todas las cuentas de administrador, y eliminar las cuentas no utilizadas, especialmente las de antiguos proveedores.
- Desinstalar los plugins no utilizados en lugar de desactivarlos. Un plugin desactivado permanece en el servidor y sigue siendo explotable.
- Actualizar el core y los plugins al menos una vez al mes, después de haber realizado una copia de seguridad manual.
- Verificar la versión de PHP con el proveedor de alojamiento y planificar la actualización si ya no se mantiene.
- Probar una restauración al año en un entorno separado, para saber si la copia de seguridad funciona realmente.
Estos cinco puntos cubren la mayoría del riesgo común. Lo que no cubren es la reactividad ante una vulnerabilidad crítica publicada un viernes por la noche, y la capacidad de diagnosticar una regresión sutil después de una actualización.
Las señales que indican un sitio descuidado
Algunas verificaciones rápidas te permiten saber dónde te encuentras, sin necesidad de conocimientos técnicos particulares.
Conéctate a la administración y mira el número de actualizaciones pendientes. Más de cinco, el seguimiento es irregular. Más de quince, es inexistente. Luego, mira la fecha de la última actualización de cada plugin por parte del autor: un plugin no actualizado desde hace más de un año es un riesgo en sí mismo, independientemente de tu propio seguimiento.
Verifica la presencia de cuentas de usuario desconocidas, la versión de PHP mostrada en la pantalla de salud del sitio, y la fecha de la última copia de seguridad exitosa. Estas tres informaciones son visibles en tres minutos y dan una imagen fiable de la situación.
Finalmente, mira el tiempo de carga de la página de inicio en una herramienta de medición. Un sitio correctamente monitorizado mantiene sus umbrales a lo largo del tiempo, un sitio descuidado se degrada continuamente. Este control forma parte de los puntos sistemáticos de una auditoría SEO técnica.
La deriva lenta, más costosa que el incidente espectacular
Los ataques dan que hablar, pero no representan el principal perjuicio observado en los sitios que retomamos. El perjuicio dominante es una erosión progresiva que nadie fecha y que nadie atribuye.
Comienza con la acumulación. Un plugin añadido para una necesidad puntual y nunca retirado, un segundo para un formulario, un tercero para una galería. Cada uno carga sus archivos en todas las páginas, incluidas las que no los utilizan. Después de tres años, la página de inicio carga cuarenta archivos de los cuales doce son inútiles.
Continúa con la base de datos. Las revisiones de artículos se acumulan por decenas de miles, las tablas de los plugins desinstalados permanecen, las entradas temporales caducadas nunca se purgan. Cada consulta atraviesa esta masa, y el tiempo de respuesta del servidor se alarga unas decenas de milisegundos en cada capa.
Termina con los enlaces rotos. Una página eliminada deja atrás todos los enlaces internos que apuntaban a ella, una imagen borrada deja un espacio vacío, un servicio externo que cierra deja un script muerto. Ninguno de estos elementos provoca un fallo, todos degradan la experiencia y el posicionamiento SEO.
El punto común de estas tres derivas es que ninguna activa una alerta. Solo se constatan comparando el estado actual con el de hace dos años, algo que nadie hace sin un seguimiento organizado.
Organizar el seguimiento cuando se gestionan varios sitios
Una empresa que dispone de varios sitios, o una estructura que los gestiona para sus clientes, se enfrenta rápidamente a un problema de escala. El seguimiento manual sitio por sitio se vuelve insostenible más allá de unas pocas unidades.
La primera respuesta es la centralización de la supervisión: un panel único que muestra para cada sitio las actualizaciones pendientes, el estado de la última copia de seguridad, la disponibilidad y la versión de PHP. Sin esta vista, los sitios menos visibles son los que se desvían, porque nunca reclaman nada.
La segunda es la estandarización. Utilizar la misma base técnica en todos los sitios, con la misma lista de plugins validados, reduce considerablemente la carga: una actualización probada una vez se aplica en todas partes con el mismo nivel de confianza. Por el contrario, diez sitios construidos cada uno de forma diferente suponen diez pruebas distintas.
La tercera es la planificación. Una ventana de mantenimiento recurrente, anunciada y respetada, es mejor que una intervención bajo demanda. Permite agrupar las verificaciones, avisar a los usuarios y disponer del tiempo necesario para revertir si una actualización sale mal.
Lo que el mantenimiento aporta al posicionamiento SEO
El vínculo entre ambos temas rara vez se establece, aunque es directo y medible.
Un sitio no disponible durante una exploración se trata como un error. Repetida, esta situación reduce la frecuencia de paso del robot y retrasa la toma en cuenta de los nuevos contenidos. En un sitio que publica regularmente, esta latencia tiene un coste real en visibilidad.
Un sitio lento ve disminuir su presupuesto de exploración. El robot dispone de un tiempo determinado por dominio, y un servidor que responde en un segundo permite explorar muchas menos páginas que un servidor que responde en doscientos milisegundos. En los grandes catálogos, esta diferencia determina si las nuevas fichas se indexan en tres días o en tres semanas.
Una actualización no supervisada puede, además, modificar elementos invisibles pero determinantes: bloquear un recurso en el archivo de exclusión, eliminar un marcado, cambiar la estructura de las direcciones, desactivar el mapa del sitio. Estas regresiones silenciosas son frecuentes y solo se detectan mediante la supervisión de la indexación.
Esta es la razón por la que tratamos el mantenimiento y el posicionamiento natural como dos aspectos de un mismo seguimiento en lugar de como dos servicios separados. Una posición perdida a causa de un plugin actualizado un martes cuesta tanto como una posición perdida a causa de un competidor, y es mucho más fácil de evitar.
El caso de los sitios construidos por un proveedor desaparecido
Situación frecuente y particularmente incómoda. El sitio funciona, nadie sabe cómo está construido, y el proveedor original es inlocalizable.
La primera etapa es recuperar los accesos: administración de WordPress, panel de alojamiento, registrador del nombre de dominio, cuentas de medición. Esta recuperación a veces es larga y supone probar la propiedad, lo que es más sencillo si el dominio se registró a nombre de la empresa. Este es un punto a verificar en cualquier pliego de condiciones de sitio web.
La segunda es una auditoría de lo existente: qué versión del core, qué tema, qué plugins, qué versión de PHP, qué modificaciones se han realizado directamente en el código. Esta última pregunta es determinante, ya que un tema modificado sin un tema hijo perderá sus personalizaciones en la primera actualización.
La tercera es la decisión. Retomar el mantenimiento de un sitio sano pero descuidado cuesta unos días de puesta al día. Retomar un sitio construido sobre una base comprometida, con modificaciones salvajes y un tema abandonado, a veces cuesta más que una remodelación de sitio web. Esta evaluación honesta forma parte del trabajo.
El mantenimiento según el tipo de sitio
El alcance útil varía mucho según lo que haga el sitio, y pagar el mismo contrato por una web de diez páginas y por un catálogo de ochocientas referencias no tiene sentido.
En una web corporativa, el principal desafío es la seguridad y la disponibilidad. Los plugins son pocos, los recorridos sencillos, y una regresión se detecta rápidamente. Un seguimiento mensual con parches de seguridad inmediatos cubre lo esencial. Este es el perfil descrito en nuestro artículo web corporativa o e-commerce.
En una tienda online, todo cambia de escala. Los plugins comerciales evolucionan rápidamente, el embudo de compra consta de una decena de pasos técnicos susceptibles de romperse, y la indisponibilidad se traduce directamente en facturación perdida. La verificación después de cada actualización se vuelve obligatoria, lo que explica la diferencia de tarifa. La elección de la plataforma también influye en esta carga, tema tratado en nuestra comparativa WordPress o Shopify.
En un sitio editorial que publica regularmente, se añade la supervisión de la arquitectura. Cada publicación modifica el enlazado interno, cada eliminación deja enlaces huérfanos, y la coherencia de la estructura se degrada sin una revisión periódica. Los principios de esta revisión son los expuestos en nuestro método de cocon sémantique, aplicados en mantenimiento en lugar de en construcción.
Cuánto cuesta un mantenimiento serio
Las tarifas del mercado se extienden en una amplitud que dificulta la comparación, porque los alcances no tienen nada que ver.
Las ofertas más baratas suelen cubrir actualizaciones automáticas sin pruebas y una copia de seguridad no verificada. Son mejores que nada, pero no protegen ni contra la regresión ni contra un incidente grave, porque no se prevé ninguna intervención humana.
Un servicio completo incluye tiempo humano: verificación después de la actualización, entorno de prueba, supervisión activa y, sobre todo, un compromiso de tiempo de intervención en caso de incidente. Es este compromiso lo que cuesta, y es lo que tiene valor el día que se necesita.
La pregunta correcta que hay que hacer antes de firmar no es el precio mensual, sino el contenido de tres líneas: qué sucede si el sitio se cae un sábado, en qué plazo intervienes y quién paga la restauración después de un compromiso de seguridad. Las respuestas distinguen inmediatamente las ofertas.
Lo que debes recordar
El mantenimiento no se justifica por lo que aporta visiblemente, sino por lo que evita. Es un seguro, y como todo seguro parece inútil hasta que ocurre el siniestro.
Tres elementos marcan la diferencia entre un contrato útil y una línea de facturación. Parches de seguridad aplicados sin demora, porque la ventana de exposición se cuenta en horas. Copias de seguridad externalizadas y realmente probadas, porque una copia de seguridad no restaurada no existe. Un compromiso de tiempo de intervención, porque es lo único que importa el día del incidente.
Si no tienes un contrato, empieza por las cinco acciones gratuitas: doble autenticación, eliminación de plugins no utilizados, actualización mensual, control de la versión de PHP, prueba anual de restauración. Cubren la mayor parte del riesgo común, y te darán una idea clara del trabajo real que representa el seguimiento de un sitio.
