El mantenimiento web WordPress es el conjunto de tareas que mantiene tu sitio seguro, rápido y funcionando, es decir, cosas como actualizar el núcleo del wordpress y los plugins, hacer copias de seguridad fuera del hosting, escanear malware, limpiar la base de datos y vigilar que Google puede acceder sin problemas, sin ese trabajo regular, la web se degrada sola y acaba siendo un objetivo fácil.
Por qué el mantenimiento de WordPress no es una opción
WordPress mueve una parte muy grande de los sitios web del mundo, y eso lo convierte en el blanco más habitual de ataques automatizados, piensa que los bots no eligen, básicamente escanean rangos de IP buscando versiones desactualizadas y plugins con vulnerabilidades conocidas, si tu web lleva meses sin actualizar, lleva meses siendo un objetivo.
Pero los ataques no son la única razón para hacer mantenimiento, la base de datos también genera muchos problemas por que se llena de basura con el tiempo, las revisiones de entradas, borradores automáticos, datos de plugins que ya no están, todo esto hacen que la velocidad de carga se degrade, además los plugins dejan de ser compatibles entre sí y si el certificado SSL caduca y el navegador muestra el aviso rojo que hace que el usuario se vaya antes de leer nada.
Todo eso pasa solo si que tu hagas nada, y basicamente lo que hace el mantenimiento es lo que lo impide.
Qué tareas incluye el mantenimiento de una web WordPress
Se pueden organizar por frecuencia, y esto es lo que debería ocurrir en una web bien cuidada:
A diario (o casi):
- Monitorización de disponibilidad: que la web esté activa y responda correctamente
- Copia de seguridad completa (en tiendas online, cada hora, cada seis horas o cada x tiempo)
- Revisión de intentos de acceso no autorizados
Cada semana:
- Revisión del log de errores del servidor
- Comprobación de que los formularios y las pasarelas de pago funcionan
- Actualización de plugins con parches de seguridad publicados
Cada mes:
- Actualización del núcleo de WordPress, plugins y tema
- Escaneo de malware
- Limpieza de la base de datos: revisiones, papelera, datos residuales de plugins desinstalados
- Comprobación de enlaces rotos
- Revisión del espacio en disco y consumo de recursos del hosting
- Comprobación de indexación en Google y revisión de tráfico
- Informe de tareas realizadas enviado al cliente
Cada trimestre o semestre:
- Auditoría de plugins: detectar los que llevan meses sin actualizaciones y valorar si sustituirlos
- Revisión de usuarios administradores y eliminación de los que ya no usen la web
- Comprobación de temas inactivos instalados (son superficie de ataque aunque no estén activos)
- Revisión del rendimiento y velocidad de carga con herramientas de medición
Una vez al año:
- Revisión de las versiones de PHP, MySQL y el propio servidor
- Renovación de dominios y certificados SSL con antelación
- Revisión completa de permisos de archivos y carpetas
Esta lista no es exhaustiva en todos los casos: una tienda con miles de pedidos necesita más atención sobre la base de datos que un blog con diez artículos. Pero cubre lo que debería ocurrir en cualquier web WordPress activa.
¿Cómo actualizar WordPress sin romper la web?
La pregunta que más veces genera confusión, ¿no es mejor activar las actualizaciones automáticas y olvidarse?
Para el núcleo de WordPress, las actualizaciones de seguridad menores sí pueden aplicarse de forma automática con poco riesgo, pero las actualizaciones mayores no, ya que pueden romper la compatibilidad con el tema o con algún plugin, por eso antes de aplicarlas, hace falta comprobar que los plugins y el tema están preparados para la nueva versión.
Con los plugins ocurre algo parecido, con cada actualización se puede introducir un cambio de comportamiento o una incompatibilidad, por tanto la práctica correcta es tener un entorno de staging (una copia de la web en un servidor de pruebas) donde aplicar primero las actualizaciones y verificar que todo funciona antes de llevarlas a producción, es importante tener en cuenta que no todos los planes de mantenimiento incluyen esto, y es una pregunta que vale la pena hacer antes de contratar.
Los plugins abandonados merecen mención aparte, ya que un plugin que lleva un año sin actualizaciones no es automáticamente peligroso, pero es una señal de alerta, por tanto si lleva dos años o más y tiene vulnerabilidades conocidas sin parchear, hay que sustituirlo y Detectarlos es parte del mantenimiento preventivo.
Copias de seguridad: dónde guardarlas y con qué frecuencia
El principio básico, una copia de seguridad guardada solo en el mismo hosting que aloja la web no es una copia de seguridad real, Si el servidor falla o lo comprometen, pierdes la web y la copia a la vez.
Las copias deben guardarse en un almacenamiento externo, un bucket en la nube, un NAS propio, cualquier ubicación independiente del proveedor de hosting, por eso muchos hostings hacen sus propias copias, pero eso no exime de tener las tuyas propias almacenadas fuera.
La frecuencia depende del tipo de web:
- Web corporativa o blog: una copia diaria o semanal completa es suficiente en la mayoría de casos
- Tienda online con pedidos diarios: la frecuencia sube a cada seis horas o cada hora, porque cada pedido es un dato que no se puede recuperar si la última copia tiene doce horas de antigüedad
Tan importante como hacer las copias es probarlas, ya que una copia que no restaura no sirve de nada, por eso un mantenimiento serio incluye restauraciones de prueba periódicas, no solo el proceso de copia.
Seguridad: escaneo, endurecimiento y qué pasa si te hackean
El escaneo de malware periódico detecta código malicioso inyectado en los archivos de la web, scripts que redirigen visitas a sitios de spam, puertas traseras que dejan acceso permanente al atacante, miners de criptomonedas que consumen los recursos del servidor.
Pero el escaneo solo es una parte y el endurecimiento (hardening) es el conjunto de configuraciones que dificultan el ataque desde el principio:
- Cambiar la URL de acceso al panel de administración
- Limitar los intentos de login fallidos
- Desactivar la ejecución de PHP en directorios donde no hace falta
- Revisar los permisos de archivos y carpetas
- Eliminar usuarios administradores que ya no usan la web
- Desinstalar temas y plugins inactivos
Si la web acaba hackeada, el coste de limpiarla y recuperarla es casi siempre mayor que el de un año de mantenimiento preventivo, y eso sin contar el tiempo que la web puede estar fuera de servicio, las posibles penalizaciones de Google por servir contenido malicioso o el daño de reputación.
Base de datos, enlaces rotos y rendimiento
La base de datos de WordPress acumula basura con el tiempo ya que cada vez que guardas una entrada, WordPress guarda una revisión, desinstalar un plugin deja tablas y opciones, y los comentarios marcados como spam se quedan en la papelera por eso con el tiempo, una base de datos sin limpiar puede pesar mucho más de lo necesario, y eso ralentiza las consultas.
La limpieza mensual debería de incluir, la eliminación de las revisiones antiguas, vaciar papelera de entradas y comentarios, borrar transients caducados y eliminar datos de plugins que ya no están instalados, y esto no es una tarea de cinco minutos si llevas años sin hacerla.
Los enlaces rotos son otro punto, un enlace que apunta a una página que ya no existe devuelve un error 404, para el usuario es mala experiencia y para Google es una señal negativa sobre la calidad de la web, por tanto un escaneo mensual de enlaces internos y externos permite detectarlos y corregirlos antes de que acumulen.
El rendimiento y la velocidad de carga forman parte del mantenimiento porque se degradan solos, un plugin nuevo puede añadir una petición JavaScript pesada, una imagen subida sin comprimir puede hacer que la página pese el doble, por tanto la monitorización periódica detecta caídas de rendimiento antes de que afecten al posicionamiento.
¿Cuánto cuesta el mantenimiento web de WordPress?
Depende del tipo de web y de las tareas incluidas. Los rangos habituales en el mercado español son estos:
| Tipo de web | Precio mensual aproximado |
|---|---|
| Web corporativa o informativa | 140 € / mes |
| Tienda online WooCommerce | 210 € / mes |
La diferencia de precio entre una web y una tienda online no es arbitraria, uuna tienda necesita copias de seguridad más frecuentes, más vigilancia sobre la base de datos de pedidos, revisión de las pasarelas de pago y más tiempo de prueba en las actualizaciones, porque un fallo en el checkout tiene impacto directo en ingresos.
Lo que hace variar el precio dentro de cada rango:
- Si el plan incluye entorno de staging para probar actualizaciones
- Si hay un SLA de tiempo de respuesta ante incidencias
- Si incluye horas de desarrollo para pequeñas correcciones
- Si el proveedor hace el mantenimiento correctivo (resolver problemas) o solo el preventivo (evitarlos)
Esa última distinción es relevante, un plan que solo cubre el mantenimiento preventivo (actualizaciones, copias, escaneos) no incluye reparar lo que se rompa, si una actualización deja la web en blanco, la reparación se factura aparte, por tanto un plan que incluye mantenimiento correctivo tiene un precio mayor pero cubre esas situaciones.
Si quieres ver qué incluye un servicio con tareas concretas y precio cerrado, en la página de mantenimiento WordPress de Moon está detallado. Para comparar con otras plataformas, también hay información sobre cuánto cuesta el mantenimiento web en general.
¿Contratar mantenimiento o gestionarlo tú?
Si tienes conocimientos técnicos de WordPress, eres sistemático y tienes tiempo real para dedicarle cada semana, hacerlo tú mismo tiene sentido, la dificultad no suele ser la parte técnica, es mantener la regularidad cuando hay trabajo y el mantenimiento parece lo menos urgente.
Externalizar tiene sentido cuando:
- No tienes tiempo real para hacerlo de forma regular (y «tiempo real» significa que no lo vas a posponer cuando haya trabajo)
- La web genera ingresos directos o es la principal forma en que los clientes te encuentran
- No tienes un entorno de pruebas para aplicar actualizaciones antes de llevarlas a la web real
- No tienes un proceso claro para probar que las copias de seguridad se restauran
- Estás pagando soporte por incidencias que podrían haberse evitado
El argumento habitual contra externalizar es que «no pasa nada», y puede que no pase durante meses, el problema como siempre es cuando pasa, y eso suele pasar en el peor momento y cuesta mucho más resolver que prevenir.
Qué preguntar antes de contratar mantenimiento
No todos los servicios de mantenimiento cubren lo mismo, antes de firmar, vale la pena preguntar:
- ¿Las actualizaciones se aplican en staging antes de ir a producción?
- ¿Las copias de seguridad se guardan fuera del hosting? ¿Con qué frecuencia?
- ¿Se prueban las restauraciones de forma periódica?
- ¿El plan incluye mantenimiento correctivo o solo preventivo?
- ¿Cuál es el tiempo de respuesta ante una incidencia crítica (web caída, hackeo)? ¿Está por escrito?
- ¿Quién es propietario de las copias de seguridad y cómo puedo acceder a ellas si cambio de proveedor?
- ¿El informe mensual detalla las tareas realizadas o es genérico?
La propiedad de las copias es un punto que mucha gente olvida, si el proveedor guarda las copias en su infraestructura y no te da acceso directo, dependes de él para recuperar tu propia web, y es una dependencia que conviene evitar desde el principio.
Cómo evaluar el estado de una web WordPress antes de empezar
Si acabas de heredar una web o llevas tiempo sin tocarla, antes de hacer nada conviene saber dónde estás.
Lo primero que hay que mirar:
- Versión de WordPress: ¿cuántas versiones de retraso tiene respecto a la actual?
- Plugins: ¿cuántos tienen actualizaciones pendientes? ¿Alguno lleva más de un año sin recibir ninguna?
- Tema: ¿está actualizado? ¿Es de un desarrollador activo?
- Usuarios administradores: ¿hay cuentas que nadie reconoce o que pertenecen a personas que ya no trabajan ahí?
- Google Search Console: ¿hay errores de indexación, páginas excluidas que no deberían estarlo o avisos de seguridad?
- Velocidad: ¿cuánto tarda en cargar la página principal desde una conexión normal?
- Certificado SSL: ¿está vigente y correctamente configurado?
Este diagnóstico lleva entre una y dos horas si sabes lo que estás mirando, el resultado determina si la web puede entrar directamente en un plan de mantenimiento estándar o si antes necesita trabajo de puesta a punto.
Cómo poner WordPress en modo mantenimiento (y cómo quitarlo)
El modo mantenimiento sirve para mostrar una página temporal mientras haces cambios en la web, sin que los visitantes vean algo a medio hacer.
La forma nativa (sin plugin):
Cuando WordPress aplica una actualización, crea automáticamente un archivo .maintenance en la raíz de la instalación y muestra una pantalla estándar de «Actualizando brevemente, vuelve en un minuto». Cuando termina, borra ese archivo, si una actualización se interrumpe, ese archivo puede quedarse ahí y dejar la web bloqueada indefinidamente, basta con eliminarlo por FTP o desde el gestor de archivos del hosting.
Para activarlo manualmente sin plugin, puedes añadir esta línea al archivo wp-config.php:
define( 'WP_MAINTENANCE_MODE', true );Para desactivarlo, cambia true por false o elimina la línea.
Con plugin:
Hay plugins específicos para esto que permiten personalizar la página de mantenimiento con el logo y un mensaje propio, programar cuándo se activa y desactiva, y permitir que tú entres con normalidad mientras los visitantes ven la pantalla de mantenimiento, si vas a hacer cambios grandes en la web, esta opción es más controlada que la nativa.
Para quitar el modo mantenimiento si se quedó bloqueado tras una actualización: accede al gestor de archivos del hosting o por FTP, busca el archivo .maintenance en la carpeta raíz de WordPress (donde está wp-config.php) y elimínalo. La web vuelve a funcionar con normalidad.
Preguntas frecuentes
¿El mantenimiento incluye cambios de contenido?
Depende del plan y del proveedor. El mantenimiento técnico (actualizaciones, copias, seguridad) es diferente de las modificaciones de contenido (añadir un texto, cambiar una imagen, crear una página nueva), en algunos planes incluyen un número de horas para pequeñas modificaciones, pero en la mayoría no. Es una de las preguntas que vale la pena aclarar antes de firmar. ¿Qué pasa si una actualización rompe algo?
Si hay una copia de seguridad reciente y funcional, se restaura y se investiga el problema antes de volver a aplicar la actualización, si no hay copia, o si la copia no restaura, el problema puede ser grave, por eso el mantenimiento preventivo y las copias van siempre juntos.
¿Con qué frecuencia se hacen las copias de seguridad?
En una web corporativa, una copia diaria completa cubre la mayoría de situaciones, en una tienda WooCommerce con pedidos diarios, la frecuencia sube, cada seis horas o cada hora, dependiendo del volumen de la tienda y siempre las copias se guardan fuera del hosting principal.
¿Las actualizaciones de plugins se hacen de forma automática?
Ni de forma automática ni de forma indiscriminada, las actualizaciones menores de seguridad pueden aplicarse con menos riesgo, pero las actualizaciones mayores se revisan antes de aplicar, idealmente en un entorno de staging, el objetivo es que la web no se rompa, no que esté actualizada cuanto antes.
