El mantenimiento web WordPress es lo que separa una web fiable de una que cae el día menos pensado. Casi todas las webs hackeadas que me llegan tienen algo en común: nadie las había tocado en meses. «Funcionaba perfectamente», me dicen. Y es cierto, hasta que dejó de hacerlo. Una web WordPress no es un folleto impreso. Es software que corre en un servidor, con un núcleo, un tema y varios plugins de terceros, y cada una de esas piezas recibe actualizaciones y vulnerabilidades casi cada semana.
En este artículo te explico cómo se hace un buen mantenimiento web WordPress proactivo, paso a paso, por si prefieres hacerlo tú mismo. Después te cuento qué problemas conviene no tocar si no eres técnico y cuándo compensa que lo lleve un profesional. Si tu web es un blog personal, quizá no necesites a nadie. Si es lo que te trae clientes, la conversación cambia.
Índice de contenidos
Mantenimiento web WordPress: preventivo, proactivo y correctivo
El correctivo es arreglar algo que ya se ha roto: la web cae, aparece un mensaje de error o descubres que te han inyectado enlaces de spam. El preventivo es seguir un calendario fijo de tareas para que eso no ocurra. El proactivo va un paso más allá: monitoriza la web de forma continua y actúa cuando detecta una señal de riesgo, sin esperar a la siguiente revisión mensual. Un certificado SSL que caduca en diez días o un plugin con una vulnerabilidad publicada esta mañana son ejemplos claros.
Guía para hacer tú mismo el mantenimiento web WordPress
Si vas a ocuparte tú, la clave es el orden y la disciplina. Esto es lo que yo revisaría, en este orden.
1. Antes de tocar nada: copia y entorno de pruebas
Haz siempre una copia completa (archivos y base de datos) antes de actualizar, y comprueba que puedes restaurarla. Una copia que nunca has probado a restaurar es una suposición, no una copia. En webs importantes, prueba las actualizaciones primero en un entorno de pruebas (staging) y solo después aplícalas en producción. Muchos hostings gestionados lo incluyen con un clic.
2. Actualizaciones, en el orden correcto
- Primero el núcleo de WordPress, después los plugins y por último el tema.
- Actualiza de uno en uno en webs con tienda o formularios críticos. Si algo falla, sabrás cuál ha sido.
- Revisa la versión de PHP del servidor. Una versión sin soporte deja de recibir parches de seguridad y acaba rompiendo plugins modernos.
- Después de actualizar, comprueba lo que da dinero: formulario de contacto, carrito, pasarela de pago y envío de correos.
- Elimina los plugins y temas que no uses. Un plugin desactivado sigue siendo código vulnerable instalado en tu servidor.
- Desconfía de los plugins abandonados: si llevan más de un año sin actualización, busca una alternativa.
3. Seguridad básica que marca la diferencia
- Contraseñas largas y únicas para cada usuario, y verificación en dos pasos para los administradores.
- Menos administradores y más roles ajustados: quien solo escribe artículos no necesita ser administrador.
- Limita los intentos de acceso y cambia la URL de login si te llegan ataques de fuerza bruta.
- Desactiva la edición de archivos desde el panel (la constante
DISALLOW_FILE_EDITenwp-config.php). - Permisos de archivos correctos (carpetas en 755 y archivos en 644 como regla general) y protección de
wp-config.php. - Un cortafuegos de aplicación web (WAF), ya sea a nivel de plugin o, mejor, de servidor o CDN.
- Escaneo periódico de malware y revisión de usuarios y tareas programadas que no reconozcas.
La guía oficial de endurecimiento de WordPress detalla estas y otras medidas con más profundidad.
4. Copias de seguridad que de verdad sirvan
Aplica la regla 3-2-1: tres copias, en dos soportes distintos y una de ellas fuera del servidor donde está la web. Una copia en el mismo hosting no te salva si el hosting falla o si el atacante borra todo. Te lo cuento con más detalle en el artículo sobre la regla 3-2-1 para copias de seguridad.
5. Rendimiento y Core Web Vitals
Una web lenta pierde visitas y posiciones. Revisa una vez al mes el informe de Core Web Vitals de Search Console o PageSpeed Insights, y actúa sobre lo habitual: imágenes en WebP y con el tamaño adecuado, caché de página, carga diferida de lo que no se ve al entrar, y menos scripts de terceros. En la base de datos, limpia revisiones antiguas, datos transitorios caducados y comentarios de spam. Si usas WooCommerce, vigila especialmente las sesiones y los pedidos antiguos.
6. SEO técnico: lo que se rompe sin avisar
- Enlaces rotos y errores 404 en Search Console.
- Redirecciones 301 cuando cambias o borras una URL.
- Que el mapa del sitio (sitemap) esté actualizado y que no haya páginas importantes en «noindex» por error. Esto pasa más de lo que parece tras actualizar un plugin.
- Datos estructurados sin errores y títulos y descripciones únicos en las páginas que quieres posicionar.
Si quieres repasar los fundamentos, la guía de SEO para principiantes de Google es un buen punto de partida.
7. Monitorización: enterarte antes que tus clientes
Configura un monitor de disponibilidad (uptime) con aviso por correo o móvil. Anota las fechas de caducidad del dominio y del certificado SSL. Y revisa el correo del dominio: sin SPF, DKIM y DMARC bien configurados, tus mensajes y los del formulario de contacto acaban en spam.
8. Cumplimiento: cookies, formularios y textos legales
Comprueba que el banner de cookies sigue bloqueando los scripts hasta que se acepta, que los formularios enlazan a la política de privacidad y que los textos legales están al día. Tienes una guía completa en el artículo sobre cookies y RGPD en tu web.
Calendario de mantenimiento web WordPress
- Cada semana: actualizaciones de seguridad, estado de las copias y aviso de monitorización.
- Cada mes: actualización completa con prueba de funcionalidades, Core Web Vitals, errores 404, limpieza de base de datos y revisión de usuarios.
- Cada trimestre: restauración de prueba de una copia, revisión de plugins prescindibles, SPF/DKIM/DMARC y accesos de terceros.
- Cada año: revisión de hosting y versión de PHP, textos legales, dominio y certificados, y auditoría general de seguridad.
Medidas correctivas del mantenimiento web WordPress que conviene dejar a un profesional
Hay problemas que un perfil no técnico puede empeorar sin querer. Si te encuentras con alguno de estos, mi consejo es que pares y pidas ayuda, porque un movimiento a ciegas puede costarte datos o posicionamiento.
La web ha sido hackeada
Señales típicas: redirecciones raras al abrir la web desde Google, páginas que no has creado, avisos de «sitio engañoso» en el navegador, usuarios administradores desconocidos o el hosting que suspende la cuenta. Lo que puedes hacer sin riesgo es avisar a tu hosting, cambiar las contraseñas desde otro dispositivo y no borrar nada. En España, el INCIBE ofrece además una línea gratuita de ayuda en ciberseguridad, el 017. Lo demás es trabajo técnico:
- Hacer una copia del estado actual para analizarla, antes de limpiar.
- Localizar el código malicioso en archivos y en la base de datos, y la puerta de entrada por la que ha pasado.
- Reinstalar el núcleo y los plugins desde fuentes limpias y revisar usuarios, tareas programadas y archivos modificados.
- Cerrar la vulnerabilidad, reforzar la seguridad y cambiar todas las claves, incluidas las del servidor y la base de datos.
- Pedir la revisión a Google si te ha marcado el sitio, y limpiar el spam indexado.
Pantalla blanca o «error crítico»
Casi siempre es un plugin, un tema o una versión de PHP incompatibles. Se resuelve activando el registro de errores, localizando el archivo que falla y desactivándolo o revirtiéndolo desde el servidor, porque el panel ya no responde. Es un trabajo de minutos para quien lo hace a diario y de horas, con riesgo, para quien no.
Un plugin rompe la web tras una actualización
Hay que volver a la versión anterior, comprobar la compatibilidad con el resto de piezas y decidir si el plugin sigue siendo viable. A veces la mejor solución es sustituirlo por otro.
Otras situaciones habituales
- Errores 500, 502 o 503: límites de memoria, procesos bloqueados o un servidor mal dimensionado.
- Base de datos dañada o inflada: reparación y optimización con las copias a mano.
- Correo en listas negras: limpieza de la reputación del dominio y de la IP, y reconfiguración de la autenticación del correo.
- Caída de posicionamiento tras un ataque: eliminar el spam indexado, corregir redirecciones y recuperar la confianza de Google.
- Migración a otro hosting o a una versión nueva de PHP: planificación, pruebas y cambio de DNS sin perder visitas ni correo.
- Restauración de una copia: decidir qué punto restaurar y qué datos nuevos (pedidos, formularios) hay que conservar.
Qué ganas con un mantenimiento web WordPress profesional
Lo que de verdad aporta un profesional no es pulsar el botón de actualizar. Es lo que hay alrededor:
- Tiempo: las horas que dedicarías cada mes las dedicas a tu negocio.
- Menos riesgo: se prueba en staging, hay copia antes de cada cambio y un plan de vuelta atrás si algo falla.
- Vigilancia continua: alguien se entera de que la web ha caído o de que hay una vulnerabilidad crítica antes que tus clientes, incluso fuera de horario.
- Criterio: saber qué plugin conviene sustituir, qué ajuste mejora la velocidad o qué hosting se te ha quedado pequeño.
- Un único responsable: cuando algo falla, sabes a quién llamar. No tienes que discutir si ha sido el hosting, el tema o el plugin.
- Constancia: el mantenimiento casero suele funcionar tres meses y después se olvida. Lo que no se programa no se hace.
Con honestidad: si tu web es pequeña, no vende nada y puedes permitirte que esté caída un día, puedes encargarte tú del mantenimiento web WordPress con el calendario de arriba. Si es tu escaparate, tu tienda o tu captación de clientes, el coste de un mantenimiento web WordPress profesional suele ser mucho menor que el de una sola incidencia grave.
Cómo lo hago yo
En mi servicio de mantenimiento web WordPress proactivo hago todo lo anterior por ti: actualizaciones probadas, copias verificadas, monitorización, seguridad, rendimiento y revisión del cumplimiento, con un informe periódico y una sola persona que responde. Si me hospedas la web, además puedo ocuparme de el hosting. Si no estás seguro del estado de la tuya, empieza por una revisión: te digo qué tiene riesgo, qué es urgente y qué puede esperar, y tú decides. Puedes reservar una conversación sin compromiso y la vemos.