Mantenimiento WordPress sin sorpresas: seguridad y velocidad

WordPress mueve más del 43 % de las webs del mundo y eso lo convierte, a la vez, en la plataforma más versátil y en uno de los objetivos preferidos para ataques automatizados. Cada día, miles de bots recorren internet buscando instalaciones desactualizadas, plugins con vulnerabilidades conocidas y contraseñas débiles. Si tu web no tiene un plan de mantenimiento real, no es cuestión de si pasará algo, sino de cuándo.

El problema es que la mayoría de pymes en Extremadura entiende el mantenimiento WordPress como «ir actualizando cuando sale un aviso en el escritorio». Esa idea, que parecía suficiente hace cinco años, hoy es directamente peligrosa: las actualizaciones automáticas rompen plantillas, los plugins zombi acumulan deuda técnica y los Core Web Vitals se degradan en silencio. Mientras tanto, Google ajusta el algoritmo cada pocas semanas y los buscadores penalizan webs lentas o inseguras.

En esta guía te explicamos qué debe incluir un plan de mantenimiento WordPress profesional, cuánto cuesta no tenerlo (en euros y en reputación) y qué métricas debes vigilar para saber si tu proveedor está haciendo bien su trabajo. Hablamos desde la experiencia de gestionar decenas de WordPress en producción, no desde la teoría.

Por qué tu WordPress necesita mantenimiento real (y no solo actualizaciones)

Confundir mantenimiento WordPress con «darle al botón de actualizar» es el error más extendido. Una instalación de WordPress no es un producto terminado: es un ecosistema vivo formado por el núcleo (core), un tema padre, normalmente un child theme, entre 15 y 40 plugins, una base de datos que crece cada día y un servidor con su propia pila de software (PHP, MySQL/MariaDB, Nginx o Apache, caché, certificados SSL). Cada uno de esos componentes tiene su propio ciclo de vida, sus propias vulnerabilidades y sus propias dependencias cruzadas.

Cuando dejas que las actualizaciones se ejecuten «solas», lo que ocurre en realidad es una de estas tres cosas: o bien todo funciona (lo deseable), o bien un plugin queda incompatible con el nuevo core y aparece la pantalla blanca de la muerte, o bien la actualización rompe el front-end sin error visible y el problema solo se nota días después, cuando un cliente avisa de que el formulario no envía o el checkout no carga. Un mantenimiento WordPress profesional implica probar antes en un entorno de staging, revisar el changelog de cada actualización crítica y tener un plan de rollback listo.

A esto se suma la realidad menos glamurosa del día a día: usuarios antiguos con permisos de administrador que ya no trabajan en la empresa, plugins instalados «para probar» hace dos años y nunca eliminados, una tabla wp_options inflada con transients caducados, redirecciones 301 acumuladas que no se han depurado y errores 404 que erosionan el SEO sin que nadie se dé cuenta. Todo eso es mantenimiento WordPress, y todo eso es lo que diferencia una web que envejece bien de una que cada año va más lenta y más insegura.

Seguridad WordPress: control de accesos y blindaje del perímetro

La seguridad WordPress empieza por algo aburrido pero crítico: el control de accesos. La inmensa mayoría de intrusiones en pymes no son ataques sofisticados, son fuerza bruta contra usuarios «admin» con contraseñas débiles o filtradas en bases de datos públicas. Un plan serio de mantenimiento WordPress audita usuarios y permisos cada trimestre: elimina cuentas inactivas, revisa roles, fuerza contraseñas robustas, habilita doble factor de autenticación (2FA) para todos los roles con capacidad de edición y cambia la URL de login por defecto para reducir el ruido de los bots.

El segundo nivel es el perímetro: firewall a nivel de aplicación (WAF), límite de intentos de login, bloqueo de países desde los que no opera tu negocio, deshabilitar XML-RPC si no lo usas, ocultar la versión de WordPress y proteger archivos sensibles como wp-config.php o .htaccess. Estos ajustes no se ponen y se olvidan; se revisan cada vez que cambia el stack o se añade un nuevo plugin. Un mantenimiento WordPress decente también monitoriza intentos de inyección SQL, escaneos de directorios y patrones de tráfico anómalo.

El tercer nivel, el menos visible, es la integridad de archivos. Un buen plan compara periódicamente los archivos del core, del tema y de los plugins con sus versiones oficiales y avisa si aparece algo modificado sin autorización. Si alguien inyecta código malicioso en un footer o crea un usuario administrador fantasma, este chequeo lo detecta antes de que Google marque tu web como peligrosa y la saque de los resultados. Recuperarse de un «Este sitio puede dañar tu equipo» en SERP cuesta semanas; prevenirlo cuesta minutos al mes.

Velocidad y Core Web Vitals: el otro pilar invisible del mantenimiento

La segunda razón por la que necesitas mantenimiento WordPress profesional es la velocidad. Una web rápida en su lanzamiento puede volverse lenta en seis meses sin que nadie haya tocado el diseño: imágenes nuevas subidas sin optimizar, plugins que añaden scripts en cada página, un caché mal configurado tras una actualización, una base de datos creciendo sin mantenimiento. Los Core Web Vitals (LCP, INP y CLS) son una fotografía pública de tu rendimiento y Google los usa como señal de ranking.

El mantenimiento WordPress orientado a velocidad cubre, al menos, cinco frentes: optimización continua de imágenes (WebP/AVIF, lazy-load real, dimensiones explícitas para evitar CLS), depuración de scripts y estilos (defer, async, eliminar CSS no usado), tunning del caché (página, objeto, fragment, OPcache de PHP), revisión de la base de datos (optimizar tablas, limpiar revisiones, transients y spam) y monitorización de los Core Web Vitals reales en CrUX, no solo en Lighthouse. Si tu proveedor solo te enseña capturas de PageSpeed, no está haciendo mantenimiento de velocidad, está haciendo teatro.

Si quieres profundizar en cómo poner LCP, INP y CLS en verde, escribimos una guía específica sobre Core Web Vitals en WordPress con tácticas concretas. La idea de fondo es simple: la velocidad no es un proyecto puntual, es una rutina. Cada actualización de plugin, cada nueva sección, cada imagen que sube el cliente puede romper algo. El plan de mantenimiento es lo que evita que la degradación se acumule durante meses sin que nadie lo note.

Qué incluye un plan de mantenimiento WordPress profesional

Un plan de mantenimiento WordPress serio no es un PDF de marketing, es una lista de tareas con periodicidad clara. Estas son las que aplicamos en nuestros clientes y las que deberías exigir, vengas con nosotros o no:

1. Actualizaciones controladas semanales. Core, tema y plugins se actualizan en staging primero, se prueban los flujos críticos (formularios, checkout, login, búsqueda) y se publican en producción solo si todo pasa. Las actualizaciones de seguridad críticas se aplican en menos de 24 horas. Las versiones rotas se mantienen ancladas hasta que el proveedor del plugin libere una corrección.

2. Backups automáticos diarios y verificados. Tener backup no sirve si nadie comprueba que se puede restaurar. Un plan profesional hace pruebas periódicas de restauración, guarda copias en una ubicación externa (no en el mismo servidor) y conserva al menos 30 días de histórico. En clientes con tráfico transaccional alto, recomendamos backups incrementales cada pocas horas.

3. Monitorización 24/7 de uptime y seguridad. Si tu web cae a las 3 de la mañana, alguien debe enterarse antes que tus clientes. La monitorización mide disponibilidad cada minuto, tiempo de respuesta, certificado SSL, errores 5xx y patrones de tráfico anómalos. Las alertas llegan por correo, SMS o webhook a un sistema central de incidencias.

4. Auditoría mensual de Core Web Vitals. Informe con datos reales de CrUX, comparativa mes a mes, identificación de degradaciones y plan de mejora con responsable y plazo. No PDFs decorativos: acciones concretas.

5. Higiene SEO On-Page. Revisión de 404, redirecciones 301 que se acumulan, enlaces internos rotos, sitemap.xml actualizado, robots.txt limpio, etiquetas hreflang si aplica, y revisión semántica básica (H1 únicos, jerarquía de H2-H6 correcta, metas no duplicadas). Esto es lo que separa una web mantenida de una web que pierde tráfico orgánico cada trimestre.

6. Depuración de base de datos y archivos. Limpieza mensual de revisiones, autosaves, transients caducados, spam, sesiones huérfanas y entradas en tablas inflamadas. Una BD de 800 MB que podría pesar 80 MB ralentiza todas las consultas; el mantenimiento la mantiene en su peso óptimo.

El coste real de no tener soporte WordPress

Muchos clientes consideran el mantenimiento WordPress un gasto prescindible «hasta que pasa algo». El problema es que cuando pasa algo, el coste de recuperación supera con creces lo que habría costado el plan. Estos son los costes que aparecen, casi siempre en este orden:

Coste de la limpieza. Una web hackeada (malware inyectado, redirecciones a sitios fraudulentos, spam SEO en el footer) requiere entre 8 y 30 horas de trabajo experto para limpiar, según la profundidad de la infección. A precios de mercado en Extremadura, hablamos de entre 400 € y 1.500 € en limpieza puntual.

Coste de la indisponibilidad. Si tu web está caída o marcada como peligrosa, dejas de captar leads y dejas de vender. Para una pyme con 50-200 leads al mes, dos o tres días sin web son entre 5 y 20 leads perdidos. A un valor medio de cliente conservador, es fácil que supere los 2.000 € directos.

Coste del SEO erosionado. Cuando Google detecta malware, retira tu web del índice. Recuperar las posiciones perdidas, especialmente en búsquedas locales competidas, lleva semanas o meses. Mientras tanto, tu competencia ocupa tu hueco. Este es el coste menos visible y el más caro a medio plazo.

Coste reputacional. Un cliente que entra a tu web y ve un aviso de Chrome diciendo «este sitio no es seguro» o que el navegador bloquea el acceso, ya no vuelve. La confianza se erosiona en segundos y se reconstruye en meses. Para un negocio local en Cáceres, Plasencia o Navalmoral, la reputación digital pesa cada año más en la decisión de compra.

Comparado con estos números, un plan de mantenimiento WordPress profesional de entre 60 € y 250 € al mes deja de parecer un gasto. Es un seguro con prima muy baja y cobertura muy alta.

Métricas que importan: cómo saber si tu plan de mantenimiento funciona

Si pagas un mantenimiento WordPress, debes recibir un informe mensual con métricas concretas. Estos son los KPI que un buen plan reporta y que tú deberías mirar:

Uptime mensual. Objetivo: 99,9 % o superior. Por debajo del 99,5 % en un mes sin causa justificada, mala señal.

Tiempo medio de respuesta del servidor (TTFB). Objetivo: por debajo de 600 ms en dispositivos móviles. Si crece mes a mes, hay un problema de servidor o de caché.

Core Web Vitals reales (CrUX). LCP por debajo de 2,5 s, INP por debajo de 200 ms y CLS por debajo de 0,1, medidos en usuarios reales, no en Lighthouse. El informe debería incluir desktop y mobile, percentil 75.

Vulnerabilidades detectadas y corregidas. Un buen plan documenta qué CVE se han mitigado en el mes (CVE = Common Vulnerabilities and Exposures, el catálogo público de vulnerabilidades conocidas).

Intentos de acceso bloqueados. Número de IPs bloqueadas, intentos de login fallidos, patrones de ataque detectados. Da una idea real del nivel de ruido al que está expuesta tu web.

Errores 404 y redirecciones 301. Número de URLs sin destino, redirecciones añadidas, redirecciones en cadena (las que pasan por dos o más saltos antes de llegar al destino) corregidas.

Estado de backups. Última copia, última verificación de restauración, tamaño total. Sin esto, no tienes backup, tienes la ilusión de un backup.

Mantenimiento WordPress y la Escalera de Madurez Digital

En nuestra Escalera de Madurez Digital, el mantenimiento WordPress se sitúa entre el Escalón 1 (Supervivencia) y el Escalón 2 (Captación). Una web caída o lenta sabotea cualquier inversión en SEO, en Google Ads o en redes sociales: por bien que esté el embudo, si la web se rompe en el momento crítico, el dinero invertido en captación se va por el desagüe.

Por eso recomendamos que toda pyme que invierta en marketing digital tenga, primero, su WordPress mantenido. Es el suelo sobre el que se construye todo lo demás. Solo cuando ese suelo es estable y rápido tiene sentido subir al siguiente escalón: optimizar conversiones, levantar landings locales con arquitectura de landing local, lanzar campañas y conectar el flujo con HubSpot o n8n.

Si no estás seguro de en qué estado está tu WordPress, lo más útil es empezar por una auditoría de infraestructura y salud digital gratuita: medimos seguridad, velocidad real, deuda técnica y oportunidades. Con ese diagnóstico encima de la mesa, decides si tu web aguanta otro año tal cual está o si necesita un plan de soporte profesional.

Errores frecuentes al contratar mantenimiento WordPress

1. Contratar al sobrino «que toca algo de WordPress». El mantenimiento WordPress en producción no es un hobby. Cuando aparece un fallo crítico a las 23:00 un sábado, necesitas a alguien con experiencia, herramientas y procedimientos. La diferencia entre un profesional y un aficionado son cinco horas de web caída.

2. Confundir hosting con mantenimiento. Tu hosting hace muchas cosas, pero rara vez incluye mantenimiento de WordPress como aplicación. El hosting cuida el servidor; el mantenimiento WordPress cuida la web. Son trabajos complementarios, no sustitutos.

3. Aceptar planes sin SLA escrito. Si no hay tiempos de respuesta comprometidos por escrito, no hay plan. Pregunta siempre: en cuánto tiempo respondéis ante una caída, ante un hackeo, ante una incidencia normal. Y pídelo en el contrato.

4. No pedir informes mensuales. Si tu proveedor no te envía informe de lo que ha hecho, asume que no ha hecho nada salvo cobrar. El informe es la prueba del trabajo y la base de la confianza a largo plazo.

5. Renunciar al staging. Actualizar directamente en producción es inaceptable en 2026. Cualquier cambio que pueda romper el front debe pasar antes por un entorno de pruebas idéntico al de producción.

Preguntas frecuentes sobre mantenimiento WordPress

¿Cada cuánto se actualiza un WordPress? El núcleo libera versiones de seguridad cada pocas semanas y versiones mayores cada 3-4 meses. Los plugins más populares se actualizan continuamente. Un plan profesional revisa actualizaciones al menos una vez por semana, prioriza las de seguridad y agrupa el resto en una ventana de mantenimiento.

¿Puedo hacerlo yo mismo? Puedes, sí, pero el coste oculto es alto: tiempo, riesgo y curva de aprendizaje. Para una pyme cuyo negocio no es WordPress, casi siempre sale más rentable externalizar el mantenimiento y dedicar las horas a vender.

¿Qué pasa con WooCommerce? Una tienda WooCommerce necesita mantenimiento más exigente: más plugins, más extensiones, integración con pasarelas de pago y obligaciones de cumplimiento (RGPD, PCI). Un plan para WooCommerce suele estar entre un 30 % y un 50 % por encima del precio de una web corporativa.

¿Y si mi web está hecha con Divi o Elementor? Mantener un WordPress con constructor visual es perfectamente viable, pero requiere extra de cuidado porque cada actualización de Divi/Elementor puede romper plantillas. El proveedor debería tener experiencia específica con tu constructor.

¿Cuánto cuesta un mantenimiento WordPress decente? En el mercado de Extremadura, entre 60 € y 90 € al mes para una web corporativa con tráfico moderado, entre 120 € y 200 € para webs con más volumen o tiendas pequeñas, y a partir de 250 € para WooCommerce con catálogo grande, integraciones o tráfico alto.

El mantenimiento cubre la parte técnica; para la visibilidad, sigue esta auditoría SEO básica de tu web.