WordPress mueve más del 40% de los sitios web del mundo, y eso tiene dos caras. La buena: hay un plugin para casi todo y cualquier persona puede editar su página. La mala: es el objetivo favorito de los bots que buscan sitios descuidados. Una página en WordPress no es un folleto que se imprime una vez; es software vivo, con decenas de piezas que se actualizan cada semana. En esta guía te explicamos qué tipo de mantenimiento requiere una página web en WordPress, con qué frecuencia y qué pasa cuando nadie lo hace.
Por qué WordPress necesita mantenimiento (y un sitio HTML casi no)
Un sitio WordPress se compone de cuatro capas que cambian por separado: el núcleo (WordPress en sí), el tema (el diseño), los plugins (formularios, SEO, caché, galerías, tienda) y el servidor (la versión de PHP y la base de datos MySQL). Cada una tiene su propio equipo de desarrollo y su propio calendario de actualizaciones.
El problema no es que existan actualizaciones; es que una capa se actualiza y otra no. Un plugin que no se ha tocado en dos años puede dejar de funcionar cuando el hosting sube la versión de PHP. Un tema comprado en 2019 puede romper el editor después de una actualización del núcleo. Y un plugin abandonado con una vulnerabilidad conocida es, literalmente, una puerta abierta: los bots rastrean miles de sitios por hora buscando exactamente esa versión.
Por eso, cuando alguien pregunta si su página "ya está terminada", la respuesta honesta en WordPress es: el diseño sí, el software nunca. El mantenimiento de páginas web es lo que mantiene ese software sano.
Los 8 tipos de mantenimiento que requiere una página en WordPress
1. Actualizaciones del núcleo de WordPress
WordPress publica actualizaciones menores (de seguridad y corrección de errores) varias veces al año y versiones mayores dos o tres veces por año. Las menores se instalan solas en la mayoría de los sitios; las mayores conviene aplicarlas primero en una copia de prueba (staging) porque traen cambios en el editor de bloques, en la API y en requisitos de PHP.
Qué revisar después de actualizar: que el editor abra, que los formularios envíen, que el menú y el footer se vean bien y que no aparezcan avisos de error en el panel.
2. Actualización de plugins
Aquí está el 90% del riesgo. Según los reportes anuales de seguridad de WordPress, la gran mayoría de las vulnerabilidades descubiertas cada año están en plugins, no en el núcleo. Un sitio típico de negocio tiene entre 15 y 40 plugins, y cada uno puede actualizarse varias veces al mes.
El mantenimiento de plugins no es sólo "darle clic a actualizar todo". Incluye:
- Leer el registro de cambios de las actualizaciones mayores (por ejemplo, de WooCommerce, Elementor o WPML) antes de aplicarlas.
- Eliminar plugins desactivados: un plugin apagado sigue en el servidor y sigue siendo explotable.
- Reemplazar plugins abandonados (sin actualización en más de un año) por alternativas mantenidas.
- Reducir el número de plugins: cada uno añade peso, consultas a la base de datos y superficie de ataque.
3. Actualización del tema (y del tema hijo)
Los temas premium como Avada, Divi, Astra o Xtra lanzan actualizaciones para mantenerse compatibles con WordPress y con sus propios constructores visuales. Si tu sitio modificó el tema directamente, en lugar de usar un tema hijo, cada actualización borra esos cambios. Parte del mantenimiento es detectar eso y migrar las personalizaciones al lugar correcto.
Otro punto frecuente: temas comprados con licencia de un desarrollador que ya no trabaja con el cliente. Sin licencia activa, el tema deja de recibir actualizaciones y se queda congelado en una versión vulnerable.
4. Respaldos (backups) automáticos y verificados
Un respaldo que nunca se ha restaurado es una suposición, no un respaldo. El mantenimiento correcto incluye:
- Respaldo completo (archivos + base de datos) al menos semanal; diario si el sitio recibe pedidos, reservas o formularios todos los días.
- Almacenamiento fuera del servidor (Google Drive, Dropbox, Amazon S3). Si el hosting se cae o se infecta, el respaldo guardado ahí mismo se pierde con él.
- Retención de varias semanas, porque una infección puede llevar días escondida antes de notarse.
- Prueba de restauración periódica en un entorno aparte.
5. Seguridad y monitoreo
La seguridad en WordPress es una capa de mantenimiento en sí misma: firewall de aplicación (WAF), límite de intentos de acceso, autenticación de dos factores para administradores, cambio del usuario "admin" por defecto, permisos correctos de archivos, y escaneo periódico de malware. También se revisan los usuarios con acceso: exempleados, agencias anteriores o cuentas de prueba que nunca se borraron.
Si te interesa entender qué pasa cuando esto falla, lee nuestra guía de qué es el malware y cómo afecta tu página web. Y si ya tienes el problema, contamos con un servicio de limpieza de spam y malware en páginas web.
6. Control de spam en formularios y comentarios
Cualquier formulario de contacto o sección de comentarios en WordPress empieza a recibir spam a las pocas semanas de publicarse. Si no se filtra, llena tu bandeja de correo, satura la base de datos y, en el peor caso, publica enlaces tóxicos en tus páginas. El mantenimiento incluye filtros antispam (reCAPTCHA, Turnstile, honeypot, Akismet), cerrar comentarios donde no se usan y limpiar lo que ya se coló. Explicamos todo el tema en qué es el spam y cómo afecta tu página web.
7. Rendimiento y velocidad
WordPress tiende a volverse más lento con el tiempo: revisiones de entradas acumuladas, tablas de plugins desinstalados, imágenes subidas sin optimizar y transients caducados. El mantenimiento de rendimiento incluye:
- Limpieza y optimización de la base de datos.
- Configuración y purga de caché de página.
- Compresión de imágenes nuevas y conversión a WebP.
- Revisión mensual de Core Web Vitals (LCP, INP y CLS) en Google Search Console o PageSpeed Insights.
La velocidad no es estética: Google la usa como señal de posicionamiento y los usuarios abandonan un sitio que tarda más de tres segundos en cargar en su celular. Si tu sitio ya está lento, revisa nuestro servicio de optimización de páginas web.
8. Mantenimiento del servidor y de PHP
Cada versión de PHP tiene fecha de caducidad. Cuando una versión deja de recibir parches de seguridad, los proveedores de hosting la retiran y fuerzan la actualización. Si el sitio usa plugins viejos, ese cambio puede causar la temida "pantalla blanca" o el aviso de "error crítico". El mantenimiento preventivo consiste en probar el sitio con la nueva versión de PHP antes de que el hosting la imponga, y revisar certificados SSL, espacio en disco, límites de memoria y el registro de errores del servidor.
Calendario de mantenimiento WordPress: qué hacer y cada cuándo
| Frecuencia | Tareas |
|---|---|
| Diario / automático | Monitoreo de disponibilidad (uptime), respaldo de base de datos en sitios con pedidos o reservas, firewall activo. |
| Semanal | Actualización de plugins menores, respaldo completo fuera del servidor, revisión de spam en formularios. |
| Mensual | Actualizaciones mayores probadas en staging, escaneo de malware, limpieza de base de datos, revisión de velocidad y de errores 404 en Search Console. |
| Trimestral | Auditoría de usuarios y permisos, prueba de restauración de respaldo, revisión de plugins abandonados, compatibilidad con la siguiente versión de PHP. |
| Anual | Renovación de dominio, hosting y licencias premium; revisión de diseño, contenido y estrategia SEO. |
Mantenimiento técnico vs. mantenimiento de contenido
Mucha gente confunde las dos cosas. El mantenimiento técnico es todo lo anterior: que el sitio funcione, sea seguro y cargue rápido. El mantenimiento de contenido es que el sitio siga diciendo la verdad: precios actualizados, horarios, fotos del equipo actual, promociones vigentes, nuevas entradas de blog y páginas de servicios que reflejen lo que realmente vendes.
Los dos importan para Google. Un sitio técnicamente perfecto con información de 2021 pierde confianza; un sitio con contenido fresco pero con errores 500 pierde posiciones. Por eso en Brewed separamos el mantenimiento técnico de la administración de páginas web, que se encarga del contenido.
Señales de que tu WordPress no está recibiendo mantenimiento
- El panel muestra un número rojo de actualizaciones pendientes desde hace meses.
- Aparece el aviso "Tu sitio está ejecutando una versión obsoleta de PHP".
- Los formularios dejaron de llegar o llegan puros mensajes en otros idiomas.
- Google Search Console reporta "problemas de seguridad" o páginas que no creaste.
- El sitio tarda cada vez más en cargar sin que hayas agregado nada.
- Nadie sabe con certeza cuándo fue el último respaldo ni dónde está.
- Tienes plugins instalados que nadie recuerda para qué sirven.
Si marcaste dos o más, tu sitio está acumulando riesgo técnico. No significa que ya esté infectado, pero sí que la probabilidad crece cada mes.
¿Qué pasa si no le das mantenimiento a WordPress?
Lo más común no es un gran ataque dramático, sino un deterioro silencioso: formularios que dejan de enviar sin que nadie se entere, una actualización automática que rompe el diseño en celular, o un plugin vulnerable que alguien aprovecha para insertar enlaces de casinos en páginas ocultas. Google detecta esas páginas, marca el sitio y la visibilidad cae.
En los casos graves, el navegador muestra la pantalla roja de "sitio engañoso", el hosting suspende la cuenta por envío de spam o la página redirige a otros sitios. Recuperarse de eso cuesta varias veces más que un año de mantenimiento preventivo, sin contar las ventas perdidas mientras el sitio está caído.
¿Lo hago yo o lo contrato?
Si tu sitio es pequeño, tienes tiempo y te sientes cómodo con el panel, puedes cubrir lo básico tú mismo: actualizar semanalmente, instalar un plugin de respaldo con almacenamiento externo y activar un plugin de seguridad. Lo que suele fallar cuando lo hace el dueño del negocio es la constancia y la prueba previa de actualizaciones mayores.
Conviene contratar mantenimiento profesional cuando:
- El sitio genera ventas, reservas o leads todos los días.
- Usa WooCommerce, WPML, membresías o integraciones con CRM.
- No tienes a nadie en el equipo con tiempo para revisarlo cada semana.
- Ya tuviste un incidente de seguridad antes.
En Brewed Marketing damos mantenimiento a sitios WordPress en Puerto Vallarta y el resto de México: actualizaciones probadas, respaldos externos, monitoreo, seguridad y reporte mensual de lo que se hizo. Si tu sitio lo necesita, escríbenos y lo revisamos contigo.
Preguntas frecuentes sobre el mantenimiento de WordPress
¿Cada cuánto se debe actualizar WordPress?
Las actualizaciones de seguridad del núcleo y de plugins conviene aplicarlas en cuanto salen, idealmente cada semana. Las versiones mayores se prueban primero en una copia y se aplican en los días siguientes, una vez confirmado que nada se rompe.
¿Puedo activar las actualizaciones automáticas de todo?
Para el núcleo menor y plugins sencillos sí es razonable. Para plugins críticos (tienda, constructor visual, traducción, membresías) es arriesgado: una actualización mayor automática puede romper el sitio de madrugada sin que nadie lo note. Lo recomendable es automatizar lo menor y supervisar lo mayor.
¿Mi hosting ya hace el mantenimiento?
Normalmente no. La mayoría de los hostings mantienen el servidor y ofrecen respaldos básicos, pero no actualizan tus plugins, no revisan que tus formularios funcionen ni limpian tu base de datos. Algunos planes "WordPress administrado" cubren parte del trabajo, pero rara vez prueban las actualizaciones contra tu diseño.
¿Cuántos plugins son demasiados?
No hay un número mágico; importa más la calidad que la cantidad. Un sitio con 30 plugins bien mantenidos puede estar mejor que uno con 10 abandonados. Aun así, cada plugin debe justificar su existencia: si su función la cubre otro o ya no se usa, se elimina.
¿El mantenimiento mejora mi posicionamiento en Google?
Indirectamente, sí. Un sitio rápido, sin errores, seguro y con contenido actualizado cumple con lo que Google premia. Y evita las caídas de posiciones que provocan las infecciones de malware, el spam indexado o los periodos de inactividad.
¿Qué es un entorno de staging?
Es una copia privada de tu sitio donde se prueban actualizaciones y cambios antes de aplicarlos al sitio real. Si algo se rompe en staging, tus clientes nunca lo ven.
¿Cuánto tiempo toma el mantenimiento mensual?
Para un sitio corporativo típico, entre dos y cinco horas al mes entre actualizaciones, pruebas, respaldos y reporte. Una tienda en línea requiere más, porque también hay que vigilar pagos, envíos e inventario; lo explicamos en qué mantenimiento requiere una tienda en línea.
En resumen
Una página en WordPress requiere ocho tipos de mantenimiento: núcleo, plugins, tema, respaldos, seguridad, control de spam, rendimiento y servidor. Ninguno es opcional si el sitio es parte de cómo vendes. La diferencia entre un sitio que dura años y uno que se infecta a los seis meses casi nunca está en el diseño, sino en quién lo cuida después de publicarlo.
