Un sitio WordPress no es un objeto terminado. Es un conjunto de software que evoluciona cada uno a su ritmo: el core, el tema, los plugins, la versi\u00f3n de PHP, el servidor. Cada actualizaci\u00f3n de uno puede romper el otro, y cada d\u00eda sin actualizaci\u00f3n abre una ventana de exposici\u00f3n adicional. <\/p>\n
Esta realidad se comprende mal porque es invisible. Un sitio sin mantenimiento sigue mostr\u00e1ndose normalmente durante meses, a veces a\u00f1os. Nada indica la degradaci\u00f3n, hasta el d\u00eda en que se manifiesta de golpe, en forma de un sitio no disponible, un contenido inyectado o una ca\u00edda de posiciones inexplicable. <\/p>\n
Comparar el coste de un contrato de mantenimiento con el coste de un incidente es, por tanto, la \u00fanica forma honesta de plantear la cuesti\u00f3n. Por un lado, un gasto mensual previsible y modesto. Por el otro, una restauraci\u00f3n facturada con urgencia, una p\u00e9rdida de explotaci\u00f3n durante varios d\u00edas y una reconstrucci\u00f3n de la reputaci\u00f3n ante los visitantes y los motores de b\u00fasqueda. <\/p>\n
La gran mayor\u00eda de los compromisos de seguridad de sitios WordPress no explota una vulnerabilidad del core, que es s\u00f3lido y se corrige r\u00e1pidamente. Explota un plugin obsoleto, un tema abandonado por su autor o una contrase\u00f1a d\u00e9bil. En otras palabras, se dirigen a lo que el mantenimiento cubre exactamente. <\/p>\n<\/div>\n
Cifrar un incidente supone sumar partidas que se olvidan por separado.<\/p>\n
Identificaci\u00f3n del compromiso de seguridad, limpieza de los archivos infectados, verificaci\u00f3n de la base de datos, reinstalaci\u00f3n limpia del core y los plugins, cambio de todos los accesos, restauraci\u00f3n desde una copia de seguridad sana si existe. Este trabajo se cuenta en d\u00edas cuando la infecci\u00f3n es antigua, porque hay que remontarse a la fecha del compromiso para saber qu\u00e9 copia de seguridad sigue siendo sana. <\/p>\n
Es precisamente ah\u00ed donde la ausencia de copias de seguridad probadas cuesta m\u00e1s. Una copia de seguridad de una semana antes del descubrimiento ya contiene la infecci\u00f3n, y entonces hay que reconstruir en lugar de restaurar. <\/p>\n
Durante la intervenci\u00f3n, el sitio suele ser inaccesible. Para una actividad que recibe sus solicitudes por formulario, cada d\u00eda de indisponibilidad es un d\u00eda sin prospectos. Para una tienda, es una facturaci\u00f3n perdida que no se recupera. <\/p>\n
Un sitio se\u00f1alado como peligroso por el navegador muestra una advertencia roja a pantalla completa. Una vez limpio, la eliminaci\u00f3n de esta se\u00f1alizaci\u00f3n tarda de unas horas a varios d\u00edas. Mientras tanto, cada visitante se va con la idea de que la empresa no es fiable. <\/p>\n
El posicionamiento SEO sufre la misma suerte. Google desindexa r\u00e1pidamente un sitio comprometido y lo reindexa lentamente. Una posici\u00f3n adquirida en dieciocho meses se pierde en diez d\u00edas y se recupera en varios meses. <\/p>\n
Comprender por d\u00f3nde se producen los ataques permite entender lo que un contrato debe cubrir.<\/p>\n
Es la primera causa, con diferencia. Un plugin popular cuya vulnerabilidad se publica se convierte en un objetivo inmediato, porque la publicaci\u00f3n de la vulnerabilidad va acompa\u00f1ada de la publicaci\u00f3n del medio para explotarla. El tiempo entre la divulgaci\u00f3n y los primeros intentos automatizados se cuenta en horas. <\/p>\n
La consecuencia pr\u00e1ctica es que un ritmo de actualizaci\u00f3n mensual no es suficiente para los plugins expuestos. Los parches de seguridad se aplican sin demora, las actualizaciones funcionales pueden esperar una ventana planificada. <\/p>\n
Un tema comprado en un marketplace y no actualizado desde hace dos a\u00f1os es un riesgo permanente. El problema se agrava por el hecho de que muchos temas incluyen sus propios plugins, que no se actualizan de forma independiente. Una vulnerabilidad en un componente incluido espera la buena voluntad del autor del tema. <\/p>\n
Contrase\u00f1as reutilizadas, cuentas de antiguos proveedores nunca eliminadas, ausencia de doble autenticaci\u00f3n en las cuentas de administrador. Estos tres puntos no cuestan nada de corregir y representan una parte importante de los compromisos de seguridad. <\/p>\n
Una versi\u00f3n de PHP que ya no recibe parches de seguridad expone todo el servidor. Muchos sitios permanecen en una versi\u00f3n antigua porque un plugin incompatible bloquea la actualizaci\u00f3n, y nadie se atreve a tocarla. <\/p>\n
No es una v\u00eda de entrada, pero es lo que convierte un incidente en una cat\u00e1strofe. Una copia de seguridad nunca restaurada es una copia de seguridad de la que se desconoce si funciona, y el descubrimiento se produce en el peor momento. <\/p>\n
El t\u00e9rmino se utiliza para servicios muy diferentes, desde el simple alojamiento rebautizado hasta el seguimiento completo. Esto es lo que deber\u00eda cubrir. <\/p>\n
Actualizaciones del core, del tema y de los plugins, con aplicaci\u00f3n inmediata de los parches de seguridad. Vigilancia de los intentos de intrusi\u00f3n y bloqueo de las direcciones agresivas. Verificaci\u00f3n peri\u00f3dica de la integridad de los archivos. Gesti\u00f3n de cuentas y permisos, con eliminaci\u00f3n de accesos no utilizados. <\/p>\n
Copias de seguridad automatizadas, externalizadas y probadas. Vigilancia de la disponibilidad con alerta en caso de interrupci\u00f3n. Entorno de preproducci\u00f3n para probar las actualizaciones arriesgadas antes de aplicarlas en producci\u00f3n. Procedimiento de restauraci\u00f3n documentado y probado. <\/p>\n
Vigilancia del tiempo de respuesta, purga de tablas in\u00fatiles, control del tama\u00f1o de la base de datos, optimizaci\u00f3n de las im\u00e1genes a\u00f1adidas, verificaci\u00f3n peri\u00f3dica de los umbrales de rendimiento. Este aspecto evita la deriva lenta que hace que un sitio pase de dos a cinco segundos de carga en tres a\u00f1os, tema detallado en nuestro art\u00edculo sobre las Core Web Vitals<\/a>. <\/p>\n Control de los enlaces internos rotos despu\u00e9s de la eliminaci\u00f3n de p\u00e1ginas, verificaci\u00f3n de las redirecciones, seguimiento de la indexaci\u00f3n, alerta sobre los errores reportados por la Search Console. Un plugin actualizado puede modificar el marcado o bloquear un recurso, y nadie se da cuenta sin supervisi\u00f3n. <\/p>\n <\/p>\n <\/a><\/p>\n La confusi\u00f3n es alimentada por las ofertas comerciales, y cuesta caro a las empresas que creen estar cubiertas.<\/p>\n Un proveedor de alojamiento proporciona una infraestructura: un servidor, espacio en disco, ancho de banda, a veces un certificado y copias de seguridad a nivel de servidor. Su responsabilidad se limita a la capa del sistema. Si tu plugin presenta una vulnerabilidad, no intervendr\u00e1, y si tu sitio est\u00e1 comprometido, lo suspender\u00e1 en lugar de limpiarlo. <\/p>\n Un proveedor de mantenimiento interviene en el propio sitio. Conoce tus plugins, prueba las actualizaciones, restaura una versi\u00f3n anterior cuando una actualizaci\u00f3n rompe una visualizaci\u00f3n y corrige las regresiones. Estos dos servicios son complementarios y ninguno reemplaza al otro. <\/p>\n Algunas ofertas de alojamiento gestionado<\/a> combinan ambos niveles, y suele ser la f\u00f3rmula m\u00e1s clara para una empresa que no quiere gestionar dos interlocutores. Verifica entonces precisamente d\u00f3nde termina la responsabilidad de cada uno, en particular en la restauraci\u00f3n despu\u00e9s de un incidente. <\/p>\n Dos escuelas se oponen y ninguna tiene toda la raz\u00f3n.<\/p>\n La actualizaci\u00f3n autom\u00e1tica e inmediata protege al m\u00e1ximo contra las vulnerabilidades conocidas, pero expone a las regresiones: un plugin actualizado sin pruebas puede romper un formulario, una visualizaci\u00f3n o un embudo de compra, y nadie se da cuenta hasta varios d\u00edas despu\u00e9s.<\/p>\n La actualizaci\u00f3n planificada y probada evita las regresiones, pero deja una ventana de exposici\u00f3n. En un parche de seguridad cr\u00edtico, esperar la ventana mensual equivale a dejar la puerta abierta varias semanas. <\/p>\n La respuesta razonable es mixta. Los parches de seguridad se aplican sin demora, eventualmente de forma autom\u00e1tica, porque el riesgo de regresi\u00f3n es inferior al riesgo de exposici\u00f3n. Las actualizaciones mayores y funcionales pasan por un entorno de prueba, a intervalos regulares, con verificaci\u00f3n de los recorridos cr\u00edticos despu\u00e9s de la aplicaci\u00f3n. <\/p>\n En una tienda online, esta verificaci\u00f3n no es negociable: un embudo de compra roto durante tres d\u00edas cuesta m\u00e1s que un a\u00f1o de mantenimiento. Esto es lo que distingue un contrato de mantenimiento de e-commerce<\/a> de un contrato est\u00e1ndar. <\/p>\n Una empresa sin presupuesto de mantenimiento no est\u00e1 condenada a la inacci\u00f3n. Cinco acciones reducen significativamente el riesgo y solo cuestan tiempo. <\/p>\n Estos cinco puntos cubren la mayor\u00eda del riesgo com\u00fan. Lo que no cubren es la reactividad ante una vulnerabilidad cr\u00edtica publicada un viernes por la noche, y la capacidad de diagnosticar una regresi\u00f3n sutil despu\u00e9s de una actualizaci\u00f3n. <\/p>\n Algunas verificaciones r\u00e1pidas te permiten saber d\u00f3nde te encuentras, sin necesidad de conocimientos t\u00e9cnicos particulares.<\/p>\n Con\u00e9ctate a la administraci\u00f3n y mira el n\u00famero de actualizaciones pendientes. M\u00e1s de cinco, el seguimiento es irregular. M\u00e1s de quince, es inexistente. Luego, mira la fecha de la \u00faltima actualizaci\u00f3n de cada plugin por parte del autor: un plugin no actualizado desde hace m\u00e1s de un a\u00f1o es un riesgo en s\u00ed mismo, independientemente de tu propio seguimiento. <\/p>\n Verifica la presencia de cuentas de usuario desconocidas, la versi\u00f3n de PHP mostrada en la pantalla de salud del sitio, y la fecha de la \u00faltima copia de seguridad exitosa. Estas tres informaciones son visibles en tres minutos y dan una imagen fiable de la situaci\u00f3n. <\/p>\n Finalmente, mira el tiempo de carga de la p\u00e1gina de inicio en una herramienta de medici\u00f3n. Un sitio correctamente monitorizado mantiene sus umbrales a lo largo del tiempo, un sitio descuidado se degrada continuamente. Este control forma parte de los puntos sistem\u00e1ticos de una auditor\u00eda SEO t\u00e9cnica<\/a>. <\/p>\n Los ataques dan que hablar, pero no representan el principal perjuicio observado en los sitios que retomamos. El perjuicio dominante es una erosi\u00f3n progresiva que nadie fecha y que nadie atribuye. <\/p>\n Comienza con la acumulaci\u00f3n. Un plugin a\u00f1adido para una necesidad puntual y nunca retirado, un segundo para un formulario, un tercero para una galer\u00eda. Cada uno carga sus archivos en todas las p\u00e1ginas, incluidas las que no los utilizan. Despu\u00e9s de tres a\u00f1os, la p\u00e1gina de inicio carga cuarenta archivos de los cuales doce son in\u00fatiles. <\/p>\n Contin\u00faa con la base de datos. Las revisiones de art\u00edculos se acumulan por decenas de miles, las tablas de los plugins desinstalados permanecen, las entradas temporales caducadas nunca se purgan. Cada consulta atraviesa esta masa, y el tiempo de respuesta del servidor se alarga unas decenas de milisegundos en cada capa. <\/p>\n Termina con los enlaces rotos. Una p\u00e1gina eliminada deja atr\u00e1s todos los enlaces internos que apuntaban a ella, una imagen borrada deja un espacio vac\u00edo, un servicio externo que cierra deja un script muerto. Ninguno de estos elementos provoca un fallo, todos degradan la experiencia y el posicionamiento SEO. <\/p>\n El punto com\u00fan de estas tres derivas es que ninguna activa una alerta. Solo se constatan comparando el estado actual con el de hace dos a\u00f1os, algo que nadie hace sin un seguimiento organizado. <\/p>\n Una empresa que dispone de varios sitios, o una estructura que los gestiona para sus clientes, se enfrenta r\u00e1pidamente a un problema de escala. El seguimiento manual sitio por sitio se vuelve insostenible m\u00e1s all\u00e1 de unas pocas unidades. <\/p>\n La primera respuesta es la centralizaci\u00f3n de la supervisi\u00f3n: un panel \u00fanico que muestra para cada sitio las actualizaciones pendientes, el estado de la \u00faltima copia de seguridad, la disponibilidad y la versi\u00f3n de PHP. Sin esta vista, los sitios menos visibles son los que se desv\u00edan, porque nunca reclaman nada. <\/p>\n La segunda es la estandarizaci\u00f3n. Utilizar la misma base t\u00e9cnica en todos los sitios, con la misma lista de plugins validados, reduce considerablemente la carga: una actualizaci\u00f3n probada una vez se aplica en todas partes con el mismo nivel de confianza. Por el contrario, diez sitios construidos cada uno de forma diferente suponen diez pruebas distintas. <\/p>\n La tercera es la planificaci\u00f3n. Una ventana de mantenimiento recurrente, anunciada y respetada, es mejor que una intervenci\u00f3n bajo demanda. Permite agrupar las verificaciones, avisar a los usuarios y disponer del tiempo necesario para revertir si una actualizaci\u00f3n sale mal. <\/p>\n El v\u00ednculo entre ambos temas rara vez se establece, aunque es directo y medible.<\/p>\n Un sitio no disponible durante una exploraci\u00f3n se trata como un error. Repetida, esta situaci\u00f3n reduce la frecuencia de paso del robot y retrasa la toma en cuenta de los nuevos contenidos. En un sitio que publica regularmente, esta latencia tiene un coste real en visibilidad. <\/p>\n Un sitio lento ve disminuir su presupuesto de exploraci\u00f3n. El robot dispone de un tiempo determinado por dominio, y un servidor que responde en un segundo permite explorar muchas menos p\u00e1ginas que un servidor que responde en doscientos milisegundos. En los grandes cat\u00e1logos, esta diferencia determina si las nuevas fichas se indexan en tres d\u00edas o en tres semanas. <\/p>\n Una actualizaci\u00f3n no supervisada puede, adem\u00e1s, modificar elementos invisibles pero determinantes: bloquear un recurso en el archivo de exclusi\u00f3n, eliminar un marcado, cambiar la estructura de las direcciones, desactivar el mapa del sitio. Estas regresiones silenciosas son frecuentes y solo se detectan mediante la supervisi\u00f3n de la indexaci\u00f3n. <\/p>\n Esta es la raz\u00f3n por la que tratamos el mantenimiento y el posicionamiento natural<\/a> como dos aspectos de un mismo seguimiento en lugar de como dos servicios separados. Una posici\u00f3n perdida a causa de un plugin actualizado un martes cuesta tanto como una posici\u00f3n perdida a causa de un competidor, y es mucho m\u00e1s f\u00e1cil de evitar. <\/p>\n Situaci\u00f3n frecuente y particularmente inc\u00f3moda. El sitio funciona, nadie sabe c\u00f3mo est\u00e1 construido, y el proveedor original es inlocalizable. <\/p>\n La primera etapa es recuperar los accesos: administraci\u00f3n de WordPress, panel de alojamiento, registrador del nombre de dominio, cuentas de medici\u00f3n. Esta recuperaci\u00f3n a veces es larga y supone probar la propiedad, lo que es m\u00e1s sencillo si el dominio se registr\u00f3 a nombre de la empresa. Este es un punto a verificar en cualquier pliego de condiciones de sitio web<\/a>. <\/p>\n La segunda es una auditor\u00eda de lo existente: qu\u00e9 versi\u00f3n del core, qu\u00e9 tema, qu\u00e9 plugins, qu\u00e9 versi\u00f3n de PHP, qu\u00e9 modificaciones se han realizado directamente en el c\u00f3digo. Esta \u00faltima pregunta es determinante, ya que un tema modificado sin un tema hijo perder\u00e1 sus personalizaciones en la primera actualizaci\u00f3n. <\/p>\n La tercera es la decisi\u00f3n. Retomar el mantenimiento de un sitio sano pero descuidado cuesta unos d\u00edas de puesta al d\u00eda. Retomar un sitio construido sobre una base comprometida, con modificaciones salvajes y un tema abandonado, a veces cuesta m\u00e1s que una remodelaci\u00f3n de sitio web<\/a>. Esta evaluaci\u00f3n honesta forma parte del trabajo. <\/p>\n El alcance \u00fatil var\u00eda mucho seg\u00fan lo que haga el sitio, y pagar el mismo contrato por una web de diez p\u00e1ginas y por un cat\u00e1logo de ochocientas referencias no tiene sentido.<\/p>\n En una web corporativa, el principal desaf\u00edo es la seguridad y la disponibilidad. Los plugins son pocos, los recorridos sencillos, y una regresi\u00f3n se detecta r\u00e1pidamente. Un seguimiento mensual con parches de seguridad inmediatos cubre lo esencial. Este es el perfil descrito en nuestro art\u00edculo web corporativa o e-commerce<\/a>. <\/p>\n En una tienda online, todo cambia de escala. Los plugins comerciales evolucionan r\u00e1pidamente, el embudo de compra consta de una decena de pasos t\u00e9cnicos susceptibles de romperse, y la indisponibilidad se traduce directamente en facturaci\u00f3n perdida. La verificaci\u00f3n despu\u00e9s de cada actualizaci\u00f3n se vuelve obligatoria, lo que explica la diferencia de tarifa. La elecci\u00f3n de la plataforma tambi\u00e9n influye en esta carga, tema tratado en nuestra comparativa WordPress o Shopify<\/a>. <\/p>\n En un sitio editorial que publica regularmente, se a\u00f1ade la supervisi\u00f3n de la arquitectura. Cada publicaci\u00f3n modifica el enlazado interno, cada eliminaci\u00f3n deja enlaces hu\u00e9rfanos, y la coherencia de la estructura se degrada sin una revisi\u00f3n peri\u00f3dica. Los principios de esta revisi\u00f3n son los expuestos en nuestro m\u00e9todo de cocon s\u00e9mantique<\/a>, aplicados en mantenimiento en lugar de en construcci\u00f3n. <\/p>\n Las tarifas del mercado se extienden en una amplitud que dificulta la comparaci\u00f3n, porque los alcances no tienen nada que ver.<\/p>\n Las ofertas m\u00e1s baratas suelen cubrir actualizaciones autom\u00e1ticas sin pruebas y una copia de seguridad no verificada. Son mejores que nada, pero no protegen ni contra la regresi\u00f3n ni contra un incidente grave, porque no se prev\u00e9 ninguna intervenci\u00f3n humana. <\/p>\n Un servicio completo incluye tiempo humano: verificaci\u00f3n despu\u00e9s de la actualizaci\u00f3n, entorno de prueba, supervisi\u00f3n activa y, sobre todo, un compromiso de tiempo de intervenci\u00f3n en caso de incidente. Es este compromiso lo que cuesta, y es lo que tiene valor el d\u00eda que se necesita. <\/p>\n La pregunta correcta que hay que hacer antes de firmar no es el precio mensual, sino el contenido de tres l\u00edneas: qu\u00e9 sucede si el sitio se cae un s\u00e1bado, en qu\u00e9 plazo intervienes y qui\u00e9n paga la restauraci\u00f3n despu\u00e9s de un compromiso de seguridad. Las respuestas distinguen inmediatamente las ofertas. <\/p>\n El mantenimiento no se justifica por lo que aporta visiblemente, sino por lo que evita. Es un seguro, y como todo seguro parece in\u00fatil hasta que ocurre el siniestro. <\/p>\n Tres elementos marcan la diferencia entre un contrato \u00fatil y una l\u00ednea de facturaci\u00f3n. Parches de seguridad aplicados sin demora, porque la ventana de exposici\u00f3n se cuenta en horas. Copias de seguridad externalizadas y realmente probadas, porque una copia de seguridad no restaurada no existe. Un compromiso de tiempo de intervenci\u00f3n, porque es lo \u00fanico que importa el d\u00eda del incidente. <\/p>\n Si no tienes un contrato, empieza por las cinco acciones gratuitas: doble autenticaci\u00f3n, eliminaci\u00f3n de plugins no utilizados, actualizaci\u00f3n mensual, control de la versi\u00f3n de PHP, prueba anual de restauraci\u00f3n. Cubren la mayor parte del riesgo com\u00fan, y te dar\u00e1n una idea clara del trabajo real que representa el seguimiento de un sitio. <\/p>\nLa parte de posicionamiento t\u00e9cnico<\/h3>\n
La diferencia entre mantenimiento y alojamiento<\/h2>\n
La cuesti\u00f3n del ritmo de las actualizaciones<\/h2>\n
Lo que puedes hacer t\u00fa mismo<\/h2>\n
\n
Las se\u00f1ales que indican un sitio descuidado<\/h2>\n
La deriva lenta, m\u00e1s costosa que el incidente espectacular<\/h2>\n
Organizar el seguimiento cuando se gestionan varios sitios<\/h2>\n
Lo que el mantenimiento aporta al posicionamiento SEO<\/h2>\n
El caso de los sitios construidos por un proveedor desaparecido<\/h2>\n
El mantenimiento seg\u00fan el tipo de sitio<\/h2>\n
Cu\u00e1nto cuesta un mantenimiento serio<\/h2>\n
Lo que debes recordar<\/h2>\n
Preguntas frecuentes<\/h2>\n
\n