Tu web funciona. Entra gente, el formulario de contacto llega a tu correo y hace meses (o años) que nadie toca nada. Justo por eso parece que el mantenimiento es un gasto que puedes ahorrarte. El problema es que una web WordPress sin mantenimiento no se rompe poco a poco y avisando: aguanta hasta que un día deja de aguantar, casi siempre en el peor momento. En este artículo te contamos, sin dramatismos, qué riesgos reales corres cuando dejas tu WordPress a su aire y qué es lo mínimo que deberías estar haciendo.
Por qué una web «que va bien» se degrada sola
WordPress no es un folleto impreso: es software vivo. El núcleo, el tema y cada plugin reciben actualizaciones constantes, y muchas de ellas corrigen fallos de seguridad ya conocidos y publicados. Ese es el detalle incómodo: cuando se publica un parche, también se publica qué se estaba arreglando. A partir de ese momento, cualquiera que rastree webs desactualizadas sabe exactamente dónde llamar.
A eso se suma el entorno: tu hosting actualiza la versión de PHP, el navegador cambia requisitos, una pasarela de pago deja de aceptar un protocolo antiguo. Tu web no ha cambiado, pero el suelo bajo sus pies sí. Por eso la pregunta útil no es «¿está rota?», sino «¿cuánto tiempo lleva sin que nadie la revise?».
Riesgo 1: que te hackeen (y ni te enteres)
Es el riesgo más citado y también el peor entendido. Casi nadie ataca tu web porque le interese tu negocio: los ataques son automáticos y masivos, robots que prueban miles de dominios buscando una versión vulnerable concreta. Si la tuya encaja, entran. No hay nada personal.
Y no siempre verás una pantalla de «web hackeada». Lo habitual hoy es una infección silenciosa: enlaces de spam inyectados que solo ve Google, redirecciones que solo se disparan desde el móvil, o puertas traseras que se quedan esperando. Lo descubres semanas después, cuando el buscador marca tu dominio como inseguro o tu hosting te suspende la cuenta por enviar correo basura. Para entonces el daño de reputación ya está hecho y la limpieza cuesta bastante más que la prevención. Si sospechas que ya estás en esa situación, es el momento de una limpieza de malware profesional.
Riesgo 2: perder la web (y no tener copia con la que volver)
Aquí está, en nuestra experiencia, el riesgo más caro de todos. Una web hackeada o rota se puede arreglar. Una web hackeada, rota y sin una copia de seguridad válida a veces hay que rehacerla entera.
Mucha gente cree que está cubierta porque «el hosting hace copias». Conviene comprobar tres cosas antes de confiarse:
- Cuánto histórico guardan. Si solo conservan 7 días y la infección entró hace tres semanas, todas tus copias están infectadas.
- Dónde se guardan. Una copia en el mismo servidor que la web desaparece con el servidor.
- Si alguien las ha restaurado alguna vez. Una copia que nunca se ha probado no es una copia: es una suposición.
Riesgo 3: caídas y errores que te cuestan ventas
Sin revisiones, los fallos aparecen por acumulación. Un plugin que se actualiza solo y choca con el tema, una base de datos que crece sin límite, un certificado SSL que caduca un sábado. El resultado que ve el cliente es siempre el mismo: una pantalla en blanco, un error 500 o un aviso de «sitio no seguro».
El coste no es solo el rato que la web está caída. Es el visitante que no vuelve, el presupuesto que no se pide y, si estás invirtiendo en Google Ads, el dinero que sigue gastándose mientras tu página no carga. Cuando ya ha pasado, lo urgente es acortar el tiempo de parada con una reparación urgente; lo inteligente es no llegar ahí.
Riesgo 4: velocidad y posicionamiento cuesta abajo
Este es el riesgo silencioso, el que no genera ninguna alarma. Con los meses se acumulan plugins que ya no usas, imágenes subidas a tamaño original, revisiones de entradas, tablas huérfanas en la base de datos. Nada de eso rompe la web: solo la va haciendo más lenta cada mes.
Y una web lenta pierde visitas antes de mostrar nada y da peores señales de experiencia de usuario a Google. Lo grave es que la caída de posiciones es gradual, así que se atribuye a «la competencia» o «el algoritmo» cuando muchas veces es, simplemente, falta de mantenimiento técnico. Si te reconoces aquí, te interesa nuestro artículo sobre cada cuánto hay que actualizar WordPress.
Riesgo 5: el coste real de «ya lo arreglaré cuando falle»
Esperar a que algo se rompa parece la opción barata, y a veces sale bien. Pero cuando sale mal, pagas tres facturas a la vez: la intervención de urgencia (que siempre cuesta más que el trabajo planificado), los días de web caída o penalizada, y el tiempo que tú dedicas a gestionar el incendio en lugar de a tu negocio.
Hay además un coste que no aparece en ninguna factura: la confianza. Un cliente que entra en tu web y ve un aviso rojo de seguridad no piensa «vaya, un problema técnico». Piensa que no puede fiarse, y esa impresión es difícil de revertir. Si quieres números concretos para comparar, lo desglosamos en cuánto cuesta el mantenimiento de una web WordPress.
El mínimo razonable si no quieres delegarlo
Puedes hacerlo tú. Requiere constancia, pero es perfectamente posible. Este sería el suelo, no el ideal:
- Actualizaciones revisadas cada semana, no automáticas y a ciegas, y siempre con copia previa.
- Copias de seguridad externas al servidor, con histórico de varias semanas y una restauración de prueba al año.
- Monitorización de caída, para enterarte tú antes que tus clientes.
- Revisión mensual de velocidad y limpieza de lo que ya no usas.
- Comprobar la versión de PHP y avisos del hosting antes de que te fuercen el cambio.
Si al leer la lista has pensado «esto no lo voy a hacer», es una respuesta perfectamente válida y probablemente honesta. Tu trabajo es tu negocio; el nuestro es que la parte técnica no te dé sustos.
Preguntas frecuentes
Si mi web es pequeña y no vendo online, ¿también corro riesgo?
Sí, porque los ataques no eligen víctima: son procesos automáticos que buscan versiones vulnerables, no negocios grandes. De hecho, las webs pequeñas suelen estar más desatendidas, así que son objetivos más fáciles. Lo que cambia no es la probabilidad, sino el uso: una web corporativa suele acabar sirviendo spam o enlaces ocultos en lugar de robando pagos.
¿No basta con activar las actualizaciones automáticas de WordPress?
Ayudan, pero no son un plan de mantenimiento. Las automáticas cubren parte del núcleo y algunos plugins, pero nadie comprueba después si la web sigue funcionando. Una actualización puede romper el formulario de contacto o el diseño, y si nadie lo mira puedes estar días sin recibir un solo aviso. El valor está en actualizar con copia previa y revisar el resultado.
Llevo años sin tocar mi WordPress. ¿Por dónde empiezo?
Por una copia de seguridad completa antes de tocar nada, guardada fuera del servidor. Después conviene revisar el estado real antes de actualizar en cascada: qué está desactualizado, si hay señales de infección y si el hosting soporta las versiones nuevas. Actualizar a lo bruto una web muy antigua es la forma más rápida de romperla, así que el orden importa más que la prisa.
