Mantenimiento de una web WordPress: qué reviso cada mes

Una web de WordPress que «funciona» el día que se lanza no es garantía de que siga funcionando bien seis meses después sin ningún tipo de mantenimiento. WordPress es un ecosistema vivo: el core se actualiza, los plugins se actualizan (o dejan de mantenerse), y cada actualización es una oportunidad tanto de mejora como de que algo se rompa. Este es el repaso mensual que hago en las webs que gestiono, y por qué cada punto está ahí.

Actualizaciones: no todas al mismo ritmo

Actualizar por actualizar, sin criterio, es tan mal hábito como no actualizar nunca. Lo que hago:

• Núcleo de WordPress: las actualizaciones de seguridad se aplican cuanto antes, casi siempre son automáticas y de bajo riesgo. Las actualizaciones de versión mayor las reviso antes de aplicar, especialmente si el sitio tiene plugins que llevan tiempo sin actualizarse — la incompatibilidad es más habitual de lo que parece.
• Plugins: aquí sí hay que tener cuidado. Actualizo primero en un entorno de pruebas (staging) si el sitio lo tiene, o al menos reviso el registro de cambios de la actualización antes de aplicarla en producción, sobre todo en plugins críticos como el de ecommerce o el de formularios.
• Tema: mismo criterio que plugins, con especial atención si el tema tiene personalizaciones a medida que una actualización pueda sobrescribir.

Un patrón que veo mucho en webs que llegan a mis manos sin mantenimiento previo: quince o veinte plugins desactualizados durante meses, algunos de ellos ya sin soporte del desarrollador original. Cada plugin sin actualizar es una posible puerta de entrada para vulnerabilidades conocidas y públicas — no es alarmismo, es la forma más común en que se comprometen sitios de WordPress.

Copias de seguridad: no basta con que existan

Tener backups automáticos programados es el mínimo, no el objetivo. Lo que reviso cada mes es que las copias se estén generando correctamente (algunos plugins de backup fallan silenciosamente si cambia algo en el hosting, y nadie se entera hasta que las necesita) y, con menor frecuencia pero de forma periódica, hago una prueba real de restauración en un entorno de pruebas. Un backup que nunca se ha probado a restaurar no es un backup fiable, es una suposición.

Seguridad: escaneo de malware y accesos

Reviso el registro de usuarios con acceso de administrador (es sorprendentemente habitual encontrar cuentas de administrador creadas por un desarrollador antiguo, o por un plugin, que nadie ha revocado) y ejecuto un escaneo de malware con alguna herramienta de seguridad. También compruebo los intentos de acceso fallidos al login — un volumen alto y sostenido de intentos suele ser señal de un ataque de fuerza bruta automatizado, y si el sitio no tiene ya limitación de intentos de login o un cambio de la URL de acceso estándar, es el momento de plantearlo.

Rendimiento: que no se haya degradado sin que nadie lo note

Cada plugin nuevo, cada imagen subida sin optimizar, cada script de terceros añadido (chat, píxeles, widgets) suma peso. Reviso los tiempos de carga con PageSpeed Insights o Lighthouse una vez al mes, no porque espere un cambio dramático de un mes a otro, sino porque el rendimiento se degrada de forma acumulativa y silenciosa, y una revisión mensual permite detectar la tendencia antes de que se convierta en un problema serio de conversión o de posicionamiento.

Enlaces rotos y errores 404

Reviso el informe de páginas no encontradas en Search Console y, si el volumen lo justifica, un rastreo con Screaming Frog para detectar enlaces internos rotos. Un enlace roto puntual no es grave; un volumen creciente de 404 sin resolver sí afecta tanto a la experiencia de usuario como, indirectamente, a cómo Google percibe el mantenimiento general del sitio.

Base de datos: limpieza que casi nadie hace

WordPress acumula revisiones de contenido, comentarios spam, transients caducados y entradas de la papelera que nunca se vacían. En sitios con años de actividad y sin mantenimiento, no es raro encontrar una base de datos varias veces más pesada de lo necesario, lo cual afecta al rendimiento de las consultas y, por tanto, a la velocidad de carga. Una limpieza periódica (revisiones antiguas, spam, transients) no es urgente, pero sí acumulativamente relevante.

Certificado SSL y dominio

La mayoría de los hostings gestionan la renovación automática del certificado SSL, pero compruebo que siga siendo así — un certificado caducado sin que nadie lo note genera una advertencia de seguridad frente a cualquier visitante, con el consiguiente impacto en confianza y conversión. Lo mismo con la fecha de renovación del dominio: parece elemental, pero he visto dominios caducados por un simple despiste administrativo, con el sitio completo fuera de línea durante días hasta resolverlo.

Formularios y puntos de conversión

Un formulario de contacto o de checkout que deja de enviar correctamente (por un conflicto de plugins tras una actualización, por ejemplo) puede pasar semanas sin que nadie lo detecte si no se prueba activamente — el usuario simplemente no completa el formulario, y desde fuera parece una caída normal de conversión, no un fallo técnico. Envío una prueba real cada mes por cada formulario crítico del sitio, no solo confío en que «debería funcionar» porque funcionaba la última vez que se revisó.

Tracking y analítica

Compruebo que las etiquetas de GA4, Google Ads o Meta Ads sigan disparándose correctamente. Es habitual que una actualización de plugin de cookies, o un cambio de plantilla, rompa silenciosamente el tracking sin que aparezca ningún error visible — simplemente empiezan a faltar datos, y si nadie lo revisa activamente, pueden pasar semanas hasta que alguien se dé cuenta de que las decisiones de presupuesto se están tomando sobre datos incompletos.

Documentar lo que se hace, no solo hacerlo

Cada revisión mensual la registro en un documento simple: qué se actualizó, qué se encontró, qué se corrigió y qué queda pendiente. Parece burocracia innecesaria hasta que, meses después, algo deja de funcionar y la primera pregunta es «¿qué cambió recientemente?». Sin un registro, esa pregunta se responde a ciegas, revisando actualizaciones una por una. Con un registro, se responde en un minuto, y en más de una ocasión me ha permitido identificar en segundos qué actualización concreta causó un problema que, sin el historial, habría llevado horas de investigación por descarte.

No todo necesita la misma cadencia

No reviso todos los puntos con la misma frecuencia. Actualizaciones de seguridad del core, backups y escaneo de malware los reviso semanalmente o incluso con mayor automatización. Rendimiento, enlaces rotos, limpieza de base de datos y prueba de formularios los reviso con cadencia mensual, que es donde se nota el equilibrio entre mantenerlo bajo control y no dedicarle tiempo desproporcionado a un sitio que no cambia demasiado de un mes a otro. Y hay una revisión más profunda, trimestral, donde reviso también seguridad más a fondo (permisos de usuario, plugins que ya no se mantienen y deberían sustituirse) y rendimiento comparado en el tiempo, no solo el dato puntual del mes.

Qué es mantenimiento DIY y qué necesita a alguien que sepa lo que hace

Actualizar plugins uno a uno y comprobar que la web sigue funcionando después es algo que cualquier persona con algo de paciencia puede hacer. Lo que sí requiere criterio técnico es decidir qué hacer cuando una actualización rompe algo (revertir, parchear, buscar una alternativa al plugin), interpretar un escaneo de seguridad con falsos positivos, o hacer una restauración de backup sin perder datos recientes en el proceso. Mi recomendación honesta: si tu negocio depende de que la web funcione (ecommerce, generación de leads), no dejes el mantenimiento en manos de «cuando tengamos un rato», porque el coste de una web caída o comprometida suele ser mucho mayor que el de un mantenimiento periódico bien planteado.

Si quieres que me encargue de este mantenimiento en tu web, puedes ver el resto de servicios que ofrezco o escribirme directamente desde la página de contacto.