Mantenimiento de WordPress: guía para webs seguras y sin sobresaltos

Por qué importa el mantenimiento de WordPress

WordPress está detrás de más del 40 % de todas las webs del mundo, lo que lo convierte en el mayor objetivo de los ataques automatizados de internet. Solo en 2025, Patchstack registró 11.334 vulnerabilidades nuevas en el ecosistema de WordPress, un 42 % más que en 2024, y el 91 % de ellas estaban en plugins. El mantenimiento regular ya no es opcional.

Sin él, las consecuencias son muy concretas: webs hackeadas que filtran datos de clientes, páginas tan lentas que los visitantes se marchan, enlaces rotos que erosionan la confianza, pedidos perdidos por formularios de pago que fallan y caídas en los buscadores que tardan meses en recuperarse. Las revisiones rutinarias detectan estos problemas antes de que se conviertan en emergencias caras.

Esta guía recorre todas las tareas de mantenimiento necesarias, con qué frecuencia conviene hacerlas y cómo agruparlas en planes de mantenimiento estructurados. El resultado es una rutina que se reduce a una revisión semanal breve, una sesión mensual de 30 minutos y una auditoría más profunda cada trimestre.

Qué es el mantenimiento de WordPress

El mantenimiento de WordPress es un conjunto continuo de tareas que mantiene una web segura, rápida, estable y visible en los buscadores. Abarca actualizaciones, copias de seguridad, revisiones de seguridad, ajustes de rendimiento y revisiones de contenido, siempre con un calendario repetible y no como arreglos puntuales.

Para una web típica de pequeña empresa, se traduce en esto: copias de seguridad automáticas, actualizaciones de plugins aplicadas en cuanto salen, un monitor de disponibilidad que comprueba la web cada pocos minutos y una revisión mensual del certificado SSL para confirmar que el candado sigue apareciendo. Una lista de comprobación por escrito evita que se escape nada.

Las tareas se agrupan en cinco bloques:

• Seguridad: actualizaciones, escaneo de malware, reglas del cortafuegos, auditoría de roles de usuario
• Velocidad: caché, compresión de imágenes, limpieza de la base de datos, configuración del CDN
• Fiabilidad: copias de seguridad, monitorización de disponibilidad, estado del alojamiento
• SEO: enlaces rotos, metadatos, marcado schema, contenido actualizado
• Contenido: formularios de contacto, precios, ofertas de temporada, accesibilidad

Objetivos de un plan de mantenimiento de WordPress

Todo plan de mantenimiento debe perseguir resultados medibles, no limitarse a marcar casillas. Si no es posible saber si el plan funciona, el mantenimiento se está haciendo a ciegas.

• Reforzar la seguridad: reducir al mínimo el riesgo de hackeos, filtraciones de datos y plugins comprometidos.
• Rendimiento constante: mantener los tiempos de carga en móvil por debajo de tres segundos y las Core Web Vitals en verde.
• Continuidad del negocio: que los contactos, las reservas y los pedidos sigan entrando aunque algo falle.
• Mejor experiencia de usuario: sin enlaces rotos, con formularios que funcionan, SSL válido y un diseño limpio.
• Costes previsibles: un plan mensual sale mucho más barato que un rescate de urgencia.

Tanto quien gestiona su propia web como las agencias deberían dejar estos objetivos por escrito al empezar cualquier acuerdo de mantenimiento. Unos objetivos claros evitan que el alcance se desborde y mantienen a todas las partes responsables.

Tareas principales de mantenimiento y con qué frecuencia hacerlas

Esta es la lista maestra. Cada tarea tiene una frecuencia asignada, de modo que quede claro qué hacer y cuándo. Son las mismas frecuencias que usan las rutinas descritas más adelante en esta guía.

Una nota sobre la velocidad de actualización. Los datos de Patchstack muestran que, en las vulnerabilidades más atacadas, la mediana ponderada entre la publicación de la vulnerabilidad y su explotación masiva ronda las cinco horas, y aproximadamente la mitad de las vulnerabilidades de alto impacto se explotan en menos de 24 horas. Una ventana de actualización semanal llega tarde en esos casos. Por eso esta lista da por hecho que las versiones menores del núcleo y los plugins de confianza se actualizan automáticamente, con el respaldo de un cortafuegos con parcheado virtual (se detalla en la sección de seguridad). La revisión semanal sirve para detectar lo que las actualizaciones automáticas hayan dejado pasar, no para aplicar cada parche a mano.

Usar el modo mantenimiento con seguridad durante las actualizaciones

El modo mantenimiento muestra a los visitantes una página con un mensaje temporal mientras los administradores con sesión iniciada siguen trabajando por detrás. Evita que alguien se encuentre con diseños a medias o pantallas de error en plena actualización.

Conviene activarlo para actualizaciones mayores del núcleo, actualizaciones masivas de plugins que afecten a la parte visible y rediseños o pasos del entorno de pruebas a producción. Las actualizaciones menores de rutina no lo necesitan.

Con un plugin. El modo mantenimiento se activa desde un plugin como SeedProd, WP Maintenance Mode o LightStart. Es recomendable añadir un mensaje breve con los colores de la marca, una hora estimada de finalización y una forma de contacto, para que la página parezca intencionada y no rota.

De forma manual. Se crea un archivo llamado .maintenance en el directorio raíz de WordPress (la misma carpeta que wp-config.php) con este contenido:

<?php $upgrading = time(); ?>

WordPress ignora automáticamente este archivo cuando tiene más de 10 minutos, así que los trabajos más largos requieren un plugin o una regla a nivel de servidor. El archivo debe borrarse en cuanto termina el trabajo.

Sea cual sea el método, la página de mantenimiento debe devolver un código HTTP 503 con una cabecera Retry-After. Así los buscadores entienden que la caída es temporal y no desindexan las páginas.

Para cualquier cosa mayor que un parche rutinario, lo recomendable es probar primero en una copia de la web en un entorno de pruebas y pasar a producción solo cuando funcione. Esto es especialmente importante en webs complejas con WooCommerce o plugins de membresía, donde una actualización rota cuesta dinero cada hora.

La seguridad, lo primero: proteger WordPress de amenazas reales

Casi todas las vulnerabilidades de WordPress están en los plugins y los temas, no en el núcleo. Patchstack encontró solo seis vulnerabilidades en el núcleo en 2025, todas de baja prioridad, frente a más de 10.000 en plugins. El trabajo de seguridad debería ir en la misma línea: menos plugins, parches más rápidos y una capa de protección que no dependa de que exista un parche.

Este último punto importa porque el 46 % de las vulnerabilidades publicadas en 2025 no tenía corrección disponible en el momento de hacerse públicas. Actualizar, por sí solo, no protege de esas. Un cortafuegos con parcheado virtual (Patchstack, Wordfence, Solid Security o MalCare lo ofrecen) bloquea los patrones de ataque conocidos mientras el desarrollador publica la corrección.

Tareas de seguridad imprescindibles:

• Cada semana: revisar las cuentas de usuario y sus roles, y retirar de inmediato el acceso a antiguos empleados y colaboradores.
• Siempre: exigir autenticación en dos pasos a todos los administradores y editores, y usar contraseñas fuertes y únicas guardadas en un gestor de contraseñas. No conviene obligar a cambiar la contraseña cada cierto tiempo: las directrices actuales del NIST lo desaconsejan, porque empuja a los usuarios hacia contraseñas más débiles y predecibles. Las contraseñas se restablecen cuando se sospecha de un acceso no autorizado.
• Cada trimestre: confirmar que la versión de PHP sigue teniendo soporte. WordPress.org recomienda actualmente PHP 8.3 o superior, MySQL 8.0 o superior (o MariaDB 10.11 o superior) y HTTPS.
• Nunca saltarse las actualizaciones del núcleo. Los archivos del núcleo desactualizados son una puerta de entrada conocida.
• Cada trimestre: realizar una auditoría completa de usuarios, roles, ajustes de plugins y configuración del servidor.

Un plugin de seguridad con cortafuegos, escaneo de malware y protección contra ataques de fuerza bruta es innegociable. Se configura desde el escritorio de WordPress y conviene confirmar que ejecuta su escaneo a diario.

Certificados SSL. Una vez al mes, comprobar la fecha de renovación y que la renovación automática funciona, y verificar que todas las páginas cargan por HTTPS sin avisos de contenido mixto.

Las agencias pueden incluir todo esto en los planes de nivel superior para las webs de clientes en las que una brecha tiene consecuencias económicas directas, como tiendas online y plataformas de membresía.

Copias de seguridad, disponibilidad y continuidad del negocio

Un ejemplo: una tienda con WooCommerce se rompe tras actualizar un plugin un viernes por la tarde. Los archivos se restauran desde la copia completa de esa mañana y la base de datos desde una instantánea horaria tomada minutos antes de la actualización. La web vuelve a estar en pie en menos de 30 minutos y no se pierde ni un pedido.

La misma tienda con una única copia semanal tendría que devolver la base de datos varios días atrás y perdería todos los pedidos registrados desde entonces. En una web que procesa transacciones, el calendario de copias marca la diferencia entre una molestia y un desastre.

Estrategia de copias de seguridad:

• Guardar las copias en al menos dos sitios: el proveedor de alojamiento más un almacenamiento independiente en la nube como Amazon S3, Backblaze B2 o Google Drive.
• Webs corporativas sencillas: copia diaria de la base de datos y copia completa semanal.
• Tiendas, webs de reservas y plataformas de membresía: copias de la base de datos en tiempo real o cada hora, y copia completa semanal. Plugins como BlogVault o Jetpack VaultPress ofrecen opciones incrementales o en tiempo real.
• Conservar entre 30 y 60 días de historial.
• Probar una restauración en el entorno de pruebas una vez al trimestre. Una copia que nunca se ha restaurado es una esperanza, no un plan.

Monitorización de disponibilidad:

• Usar un monitor como UptimeRobot, Better Stack o la herramienta integrada del alojamiento para comprobar la web cada 1–5 minutos y recibir avisos por correo, SMS o Slack.
• Revisar el informe mensual en busca de patrones, como caídas nocturnas o recursos del servidor que llegan al límite.

En conjunto, estas medidas reducen los ingresos perdidos por caídas, sobre todo en las páginas de pago y de reserva, y acortan la recuperación tras un hackeo, un fallo del alojamiento o una mala actualización. Funcionan como un seguro: aburridas hasta que hacen falta, y entonces no tienen precio.

Rendimiento y optimización de la base de datos

Los visitantes esperan que las páginas carguen en menos de tres segundos en el móvil, y una buena parte se marcha cuando no es así. La velocidad es una palanca de ingresos, no una métrica de vanidad.

Tareas mensuales:

• Probar las páginas clave (inicio, servicios o productos principales, pago) con Google PageSpeed Insights o GTmetrix.
• Revisar las Core Web Vitals en Google Search Console para detectar retrocesos.
• Eliminar revisiones de entradas, entradas en la papelera, comentarios de spam y transitorios caducados con una herramienta como WP-Optimize o Advanced Database Cleaner.
• Confirmar que la caché y la minificación siguen funcionando tras las actualizaciones del mes. Una actualización de plugin puede desactivar la capa de caché o entrar en conflicto con ella sin avisar.
• Si se usa un CDN como Cloudflare o Bunny, verificar que está activo y no devuelve errores 5xx.

Cada trimestre: buscar tablas huérfanas que hayan dejado plugins desinstalados y eliminarlas después de una copia de seguridad verificada.

La compresión de imágenes, la carga diferida y la minificación se pueden automatizar con un plugin de rendimiento (WP Rocket, Perfmatters, LiteSpeed Cache o Airlift, según el alojamiento). Se configuran una vez y funcionan sin más esfuerzo.

Contenido, SEO y enlaces rotos

El mantenimiento no es solo técnico. El contenido desactualizado, los datos de contacto erróneos y los enlaces rotos cuestan clientes potenciales y posiciones en los buscadores todos los días.

Revisión mensual de contenido:

• Comprobar que el horario, la dirección, los precios y los datos de contacto siguen siendo correctos.
• Actualizar la información de temporada, los eventos y las ofertas con las próximas fechas.
• Enviar una prueba desde cada formulario de contacto y confirmar que llega.

Revisión mensual de enlaces:

• Pasar un comprobador de enlaces rotos o un rastreador como Screaming Frog, o usar el informe de páginas de Search Console, para localizar errores 404 y URL obsoletas.
• Arreglar los enlaces internos rotos y añadir redirecciones 301 para el contenido movido o eliminado.
• Revisar los enlaces externos y actualizar o eliminar los recursos que ya no existen.

Revisión trimestral de SEO:

• Renovar las palabras clave, los títulos y las metadescripciones de las 10–20 páginas de aterrizaje principales.
• Confirmar que todas las imágenes del contenido nuevo tienen texto alternativo descriptivo.
• Revisar el tráfico y el comportamiento de los usuarios en Google Analytics o Search Console para detectar páginas que pierden terreno antes de que la caída se agrave.

Planes de mantenimiento para agencias y freelances

Quien gestiona varias webs puede empaquetar todo lo anterior en planes de mantenimiento por niveles que generan ingresos recurrentes y fiables. La mayoría de los profesionales del sector ya los ofrece, y los clientes que han pasado por una emergencia suelen pagar con gusto por la prevención.

Lo recomendable es definir primero los servicios y después agruparlos en niveles. Unos paquetes claros hacen que los precios sean transparentes y reducen las peticiones de urgencia improvisadas.

Consejos prácticos:

• Documentar exactamente qué tareas incluye cada nivel y con qué frecuencia se ejecutan, para que el cliente sepa qué está pagando.
• Gestionar todas las webs de clientes desde un único panel. MainWP, ManageWP, WP Remote y la mayoría de los alojamientos gestionados lo ofrecen, y puede ahorrar 10 horas o más al mes en una cartera de webs.
• Dejar por escrito los SLA de disponibilidad y los tiempos de respuesta en los niveles superiores.
• Llevar un registro de mantenimiento por web. Protege a la agencia cuando un cliente pregunta qué ha pasado y demuestra el valor del trabajo.

Cómo organizar una rutina de mantenimiento de WordPress

Esta sección reúne todo lo anterior en un flujo de trabajo para quien gestiona su propia web o un equipo pequeño. Con las actualizaciones automáticas, las copias automáticas y un plugin de seguridad haciendo el trabajo diario, el tiempo que requiere atención humana se queda en unas dos horas al mes más una auditoría trimestral.

Cada semana (10–15 minutos):

• Comprobar que las actualizaciones automáticas se aplicaron sin problemas y aplicar las que se hayan quedado pendientes.
• Confirmar que las últimas copias de seguridad se completaron.
• Revisar las alertas de seguridad y los intentos fallidos de acceso.

Cada mes (30 minutos): la rutina con tiempos de la conclusión, justo debajo.

Cada trimestre (60–90 minutos):

• Auditoría más profunda del rendimiento, el SEO y el entorno de alojamiento, incluida la versión de PHP.
• Auditoría completa de seguridad: usuarios, roles y configuración del servidor.
• Prueba de restauración de una copia de seguridad en el entorno de pruebas.
• Revisión de si el alojamiento sigue cubriendo las necesidades de la web.

Orden de prioridad cuando falta tiempo: primero seguridad y copias de seguridad, después actualizaciones y disponibilidad, y por último rendimiento y SEO.

Conviene tener la lista de comprobación por escrito en Notion, Trello o un documento compartido de Google. Para quien gestiona webs de clientes, esa lista se convierte en la columna vertebral de la oferta de mantenimiento. Una web bien mantenida es fruto de una rutina constante, no de la suerte.

Conclusión: la rutina mensual de 30 minutos

Un mantenimiento ligero y constante siempre gana a los rescates de emergencia esporádicos. Para la mayoría de las webs pequeñas y medianas en WordPress, esta sesión de 30 minutos una vez al mes cubre lo esencial, siempre que las piezas automatizadas descritas antes estén en marcha.

1. Minutos 0–5: copia de seguridad. Iniciar sesión, confirmar que la copia más reciente se completó y lanzar una copia manual antes de tocar nada más.
2. Minutos 5–10: actualizaciones. Aplicar las actualizaciones pendientes que la actualización automática haya dejado en espera. Si se trata de una versión mayor del núcleo o de un plugin que afecta al pago o al diseño, probarla primero en el entorno de pruebas y volver a este paso después. Luego abrir la página de inicio, una página clave de servicio o producto y un formulario de contacto o de pago en una ventana privada y confirmar que funcionan.
3. Minutos 10–15: seguridad. Lanzar un escaneo desde el plugin de seguridad, revisar las alertas y los intentos de acceso del mes y confirmar que el candado SSL aparece en las páginas principales.
4. Minutos 15–20: rendimiento. Ejecutar la limpieza de la base de datos, vaciar la caché y volver a cargarla visitando unas cuantas páginas clave, y comprobar la página de inicio en PageSpeed Insights.
5. Minutos 20–25: enlaces. Sacar el informe de enlaces rotos o el informe de páginas de Search Console y arreglar o redirigir los tres a cinco más importantes.
6. Minutos 25–30: contenido y registro. Actualizar precios, fechas, datos de contacto o la oferta vigente. Anotar una línea en el registro de mantenimiento con lo que se ha hecho y lo que convenga vigilar el mes siguiente.

Las tiendas con mucho tráfico y las webs de membresía seguirán necesitando las tareas diarias y semanales descritas antes. Pero para la mayoría de las webs, esta rutina es una base sólida. Un esfuerzo pequeño y constante evita problemas grandes y caros. Eso es el mantenimiento proactivo, y así es como una web se mantiene segura y un negocio sigue funcionando a largo plazo.