Mantenimiento de WordPress: qué incluye y cada cuánto

WordPress es uno de los gestores de contenidos más utilizados en la web, lo que también lo convierte en uno de los principales objetivos de los ciberataques. Esto no significa que sea una plataforma insegura, sino que su amplia implantación y su extenso ecosistema de plugins pueden aumentar los riesgos si no se gestionan adecuadamente. La falta de mantenimiento y actualizaciones no siempre provoca problemas inmediatos, pero puede dejar vulnerabilidades que, con el tiempo, sean aprovechadas para comprometer la seguridad del sitio web.

En este artículo de soy.es te contamos qué debería cubrir un mantenimiento de WordPress bien hecho, con qué frecuencia se hace cada tarea y cómo saber si el tuyo tiene un buen mantenimiento o solo lo parece.

Por qué WordPress necesita más mantenimiento que otros CMS

Las principales razones por las que WordPress requiere un mayor mantenimiento son:

• Vives de plugins de terceros. Cada plugin es código que no controlas, mantenido por alguien que puede dejar de hacerlo mañana. Un plugin abandonado no avisa, simplemente deja de recibir parches.
• Las actualizaciones son constantes. Core, plugins y tema se actualizan con frecuencia y no siempre de forma compatible entre sí.
• Los ataques son automáticos. No te atacan a ti, atacan a todo el que tenga una versión vulnerable. En el registro de cualquier WordPress hay intentos de acceso todos los días.
• Es fácil de tocar. Cualquiera con acceso al escritorio puede instalar un plugin, y ahí empieza medio problema.

Qué se actualiza, en qué orden y dónde

El orden importa, y el sitio donde se hace importa más:

1. Copia de seguridad completa de ficheros y base de datos, comprobando que la copia se puede restaurar.
2. Actualizar en preproducción, nunca directamente en el sitio en producción. Esta es la línea que separa un mantenimiento de verdad de «darle a actualizar y cruzar los dedos».
3. Núcleo de WordPress primero.
4. Plugins, de uno en uno si son críticos, comprobando el sitio entre uno y otro.
5. Tema, con especial cuidado si tiene personalizaciones. Todo lo que se haya tocado a mano fuera de un tema hijo desaparece al actualizar.
6. Versión de PHP, que es donde más rendimiento se gana y lo que más se olvida.
7. Pasar a producción y repetir la comprobación: portada, formulario de contacto, buscador, y en un WooCommerce, una compra completa.

Seguridad específica de WordPress

Lo genérico (parches y copias) vale para cualquier CMS. Esto es lo que hay que mirar en un WordPress en concreto:

• Usuarios y roles. Revisar quién tiene acceso y con qué permisos. Los administradores de un proveedor que ya no trabaja contigo siguen ahí hasta que alguien los quita.
• Plugins desactivados. Un plugin desactivado sigue estando en el servidor y sigue siendo explotable. Si no se usa, se desinstala.
• Plugins abandonados. Si no recibe actualizaciones desde hace un año, es deuda de seguridad aunque funcione.
• Acceso al escritorio. Contraseñas fuertes, doble factor y limitación de intentos de acceso.
• XML-RPC y endpoints públicos, que es por donde entran buena parte de los ataques de fuerza bruta.
• Permisos de ficheros y edición de código desactivada desde el escritorio.
• Monitorización de cambios en ficheros, que es lo que detecta una intrusión antes de que se note en el navegador.

Asimismo, tener copias no sirve de nada si nunca se han restaurado. Una copia válida cumple tres condiciones: es diaria, incluye ficheros y base de datos, y está fuera del mismo servidor. Si el backup vive en la misma máquina que la web, el día que se compromete el servidor se compromete también la copia.

Y sobre todo, es esencial probar la restauración cada cierto tiempo, en un entorno aparte. Es la única forma de saber que funciona antes de necesitarla.

Rendimiento: por qué un WordPress se vuelve lento

WordPress casi siempre se vuelve lento por los mismos motivos. Te los mostramos a continuación ordenados por impacto:

• Demasiados plugins activos. Cada uno carga su CSS y su JavaScript en todas las páginas, y muchos lanzan sus propias consultas a base de datos en cada visita.
• Sin caché, o con la caché mal configurada.
• Imágenes sin optimizar. Subir la foto tal cual sale de la cámara es el clásico.
• Hosting compartido saturado.
• Base de datos hinchada de revisiones, transients caducados y tablas que dejaron plugins ya desinstalados.
• PHP antiguo. Cada versión ha traído mejoras de rendimiento medibles.

Se mide siempre en móvil y con las métricas que Google usa: LCP por debajo de 2,5 s, INP por debajo de 200 ms y CLS por debajo de 0,1. Y se mide en la portada, en una página interior y, si hay tienda, en una ficha de producto.

Si es un WooCommerce, cambia el nivel de exigencia

Una web corporativa que se cae un domingo es un incordio. Una tienda que se cae un domingo pierde ventas. En WooCommerce el mantenimiento incluye además:

• Comprobar el proceso de compra completo con cada forma de pago después de cada actualización.
• Verificar que llegan los emails transaccionales de pedido.
• Vigilar los feeds de producto hacia Google Merchant Center y Meta, que rechazan productos en silencio.
• Revisar el banner de cookies y el Consent Mode v2, porque si está mal implementado dejas de medir conversiones.
• Mantener las redirecciones de los productos retirados, como explicamos en cómo eliminar productos sin perder SEO.

Calendario de mantenimiento de WordPress

Si te preguntas con qué frecuencia debo llevar a cabo el mantenimiento de cada tarea en WordPress, mira este calendario de mantenimiento.

Seis señales de que tu WordPress no sigue un mantenimiento

Algunas señales que indican que el mantenimiento no existe aunque se esté pagando son estas:

1. El escritorio muestra avisos de actualizaciones pendientes desde hace semanas.
2. Hay plugins instalados que nadie sabe para qué sirven.
3. No puedes decir de memoria dónde están las copias ni cuándo se restauró una por última vez.
4. La web va notablemente más lenta en móvil que hace un año.
5. WordPress avisa de que tu versión de PHP está obsoleta.
6. Nadie te envía un informe mensual de lo que se ha hecho.

En definitiva, el mantenimiento de WordPress es un objetivo constante que exige método y un calendario de tareas y actualizaciones bien fijado.

Preguntas frecuentes relacionadas con el mantenimiento de WordPress

¿Cada cuánto hay que actualizar WordPress?

Las actualizaciones de seguridad, en cuanto salen. El resto, una vez al mes en una revisión programada que se prueba antes en preproducción. Actualizar en cuanto aparece el aviso, directamente en producción, es la forma más habitual de tumbar una web.

¿Puedo dejar que WordPress se actualice solo?

Las actualizaciones automáticas de seguridad del núcleo sí conviene dejarlas activas. Las de plugins y tema, no: son las que rompen compatibilidades, y cuando lo hacen de madrugada nadie se entera hasta que un cliente avisa.

¿Qué pasa si un plugin deja de actualizarse?

Deja de recibir parches de seguridad aunque siga funcionando. Hay que sustituirlo por una alternativa mantenida o asumir el riesgo conscientemente. Un plugin abandonado es la puerta de entrada más común en un WordPress comprometido.

¿El mantenimiento incluye cambios de diseño o contenido?

No. El mantenimiento cubre que la web siga funcionando, segura y rápida. Los cambios de diseño, las páginas nuevas y las funcionalidades son evolutivos y se presupuestan aparte, aunque muchos planes incluyen una bolsa de horas para cambios pequeños.

¿Cuánto cuesta el mantenimiento de un WordPress?

Depende de cuántos plugins, integraciones y personalizaciones haya que vigilar, no del número de páginas. Los rangos de mercado y las preguntas para comparar presupuestos están en nuestro artículo sobre cuánto cuesta el mantenimiento de una tienda online.