Cómo transcurrió el encuentro WordUp Gdynia #22
Fecha: 5 de abril de 2025
Lugar: Museo de la Ciudad de Gdynia (foyer y auditorio)
Participantes: ~100 personas
La 22.ª edición de WordUp Gdynia ya es historia. El encuentro de primavera en el Museo de la Ciudad de Gdynia reunió tanto a programadores con experiencia como a personas que acaban de empezar con WordPress. Como siempre, hubo conversaciones inspiradoras, ponencias prácticas y un ambiente excelente para intercambiar experiencias. El evento demostró que la comunidad WordPress de la Triciudad (Gdańsk, Sopot y Gdynia) está muy viva y comparte su conocimiento con gusto. Cada presentación estuvo cargada de consejos prácticos e inspiración, desde la seguridad y el SEO hasta las cuestiones legales y la UX. Los asistentes pudieron hacer preguntas, compartir sus reflexiones y aplicar enseguida las nuevas ideas en sus proyectos.
Formalmente fue el 22.º encuentro de la serie WordUp Trójmiasto, que organiza el equipo #wptrojmiasto en la web de WordUp Gdynia. La entrada era gratuita con registro previo, y el anuncio del evento se publicó el 18 de marzo de 2025 en el sitio polaco de WordPress.org con el título «Po zimowym rejsie» («Tras la travesía de invierno»).
Cómo fueron el calentamiento y el networking en WordUp Gdynia
El fin de semana empezó ya el viernes por la noche (4 de abril, 19:00) con un before party informal en el pub PifPaf, en la calle 10 Lutego.
Qué ponencias y qué panel hubo en WordUp Gdynia #22
La conferencia arrancó puntualmente a las 12:00. Aunque Karolina Czapla y Filip Sroka no pudieron asistir por motivos de salud, cubrimos el hueco enseguida con una breve sesión de lightning networking. Esta es la agenda completa con la esencia de cada intervención:
| Hora | Ponente | Título y conclusiones clave |
|---|---|---|
| 12:30 | Magdalena Paciorek | WordPress Playground: demo en directo de cómo construir un tema y compartirlo en el navegador sin hosting. |
| 13:00 | Maciej Palmowski | El mayor bug bounty de la historia de WP: 1570 reportes, unos 1000 plugins cerrados, el 67% de los reportes sobre XSS. |
| 13:30 | Max Matłoka | Ataques reales y lecciones de sus propias intrusiones («a mí no me va a pasar»). |
| 14:00 | Rafał Chrzan | REST API y venta de archivos digitales: cómo desactivar «list users», implantar firmas de URL y descargas basadas en tokens. |
| 15:00, 15:30 • pausa de catering con fish & chips | ||
| 15:30 | Piotr Mońka | Errores de accesibilidad (contraste, trampa de foco, aria-label) y la «tecla F»: Focus-Form-Feedback-Fallback-Flair. |
| 16:00 | Tomasz «Dziudek» Dziuda | Trampas de UX que matan la conversión: el infierno de las capas superpuestas (overlay hell), PDF en lugar de HTML, registro obligatorio. |
| 16:30 | Paweł Gontarek | «¿Siempre compensa el SEO?»: cuándo el SEO no da retorno y es mejor invertir en PPC o en una newsletter. |
| 17:00 | Aleksandra Grygiel | Los 5 problemas de hosting más frecuentes: iNodes, cron spam, falsos positivos del antivirus, timeouts, confusiones de DNS y el panel Smarthost Pulse. |
| 17:30 | Tomasz Skupny | Derecho TI en la práctica: OSINT sobre el cliente, cláusulas de escrow, modelo de SLA y listas de control para el «cliente que desaparece». |
El porcentaje de XSS de la tabla procede del resumen de Patchstack de noviembre de 2024, del que hablamos más abajo.
Panel open mic sobre IA, habilidades blandas y GPL
Lo moderaron Kasia Tadaszak y Mariusz Szatkowski. El público debatió sobre:
- El futuro de WordPress con un asistente de IA en Gutenberg (42% de entusiastas, 29% de escépticos).
- La importancia de las habilidades blandas en un programador: negociación y asertividad en la relación con el cliente.
- Licencias GPL frente al modelo SaaS: el debate, muy animado, continuó después en PifPaf.
Qué anunciaba el programa oficial de WordUp Gdynia #22
La página del evento en wpgdynia.pl enumeraba a los ponentes «en orden aleatorio» y daba una breve descripción de la mayoría de las intervenciones. Esos anuncios muestran con qué pregunta subía cada ponente al escenario.
Maciej Palmowski anunció una historia titulada «Cómo en un mes eliminamos 1000 plugins del repositorio». En la descripción planteaba que la cifra de plugins cerrados parece aterradora y vuelve a sugerir que WordPress está lleno de agujeros; después preguntaba si de verdad es así y anunciaba un repaso de las consecuencias y las conclusiones.
Aleksandra Grygiel basó su intervención «Hosting sin secretos» en la atención al cliente de una empresa de hosting: más de 4000 chats atendidos y varios miles de respuestas por correo. El alcance iba desde los recursos de cuenta superados hasta los ataques de virus.
Magdalena Paciorek iba a mostrar paso a paso cómo preparar una demo en WordPress Playground, ya sea para formaciones o para presentar un tema o un plugin propio.
Tomasz Dziuda anunciaba los errores que desaniman o incluso bloquean a los clientes potenciales; algunos de ellos nacen de acciones que parecen buenas prácticas probadas.
Piotr Mońka, Tech Lead en Ambiscale, describía la accesibilidad como un conjunto de barreras invisibles que afectan no solo a las personas con discapacidad, sino a cualquier usuario de la web.
Tomasz Skupny llegó con el título «No preguntes qué puede hacer un abogado por ti, sino qué puedes hacer sin él». La descripción abarcaba el contrato con el cliente, los acuerdos al inicio de la colaboración, los requisitos al crear webs y la comprobación de que el cliente no desaparecerá sin pagar, es decir, una combinación de OSINT, RGPD y la ley polaca de comunicaciones electrónicas (Prawo komunikacji elektronicznej).
Paweł Gontarek, propietario de la agencia semgence.pl, anunciaba en su intervención Na SEO mi to SEO? que el SEO tratado como canal principal de ventas puede sencillamente no compensar.
Max Matłoka, con el tema «¿Cuántas veces hay que ser hackeado para aprender algo?», prometió mostrar qué ocurre cuando se ignoran las buenas prácticas y no se protege la propia cuenta.
Rafał Chrzan anunciaba los métodos con los que se puede llegar sin autorización a productos digitales a través de la REST API de WordPress, y los errores más habituales de quienes venden archivos.
El programa incluía también dos intervenciones que no llegaron a celebrarse. Karolina Czapla iba a hablar de cinco métodos para investigar el mercado por cuenta propia antes de empezar a programar un plugin. Filip Sroka tenía previsto el tema «Cómo probamos nuestro plugin: merge, automatización y retos». Cerraban la lista Marcin Andrzejewski como «Smooth operator» y Mariusz Szatkowski como coorganizador, y el networking en PifPaf se anunció con el lema «¿Te duele tu WordPress?», con la invitación a traer los problemas propios.
Cuántos plugins se cerraron tras el bug bounty de Patchstack en octubre de 2024
La intervención de Maciej Palmowski se basaba en la campaña que Patchstack describió el 13 de noviembre de 2024 en el artículo Nearly 1000 Plugins Closed During WordPress Security Cleanup. El autor del texto es el propio Palmowski, entonces Security Community Manager en Patchstack.
Octubre de 2024 fue el mes de la ciberseguridad y Patchstack relajó las reglas de su programa de bug bounty. Los plugins y temas con menos de mil instalaciones activas recibían los mismos puntos que los que tenían mil, y se eliminó el límite de tres años desde la última actualización. Ambas excepciones se aplicaban solo a reportes con una puntuación CVSS de al menos 6,5.
Resultado según Patchstack:
| Indicador | Valor |
|---|---|
| Reportes válidos en octubre | 1571 (1570 en el anuncio), de 37 investigadores |
| Instalaciones activas afectadas por los reportes | 7 141 940 |
| Récord mensual anterior | 620 (enero de 2024) |
| Reportes sobre plugins / temas | 1536 (97,77%) / 35 (2,23%) |
| Cross-Site Scripting | 1056 (67,22%) |
| CSRF | 152 (9,68%) |
| Arbitrary File Upload / SQL Injection | 73 / 67 |
| Reportes remitidos al equipo de revisión de plugins | 1162 (73,97%) |
| Plugins cerrados en el momento de la publicación | 977, alrededor del 1,1% del repositorio |
La cifra no significa 1571 agujeros fáciles de explotar. Las puntuaciones CVSS más frecuentes fueron 7,1 (755 reportes) y 6,5 (426), y 164 reportes obtuvieron 9,0 o más. Según el mismo resumen, 976 reportes (62,13%) indicaban como requisito previo no tener sesión iniciada, 416 requerían el rol de colaborador y 148 el de suscriptor. Muchos de los plugins y temas reportados llevaban entre 6 y 11 años sin actualizarse. Los investigadores recibieron en total más de 17 000 dólares en recompensas.
La penúltima fila es la más reveladora. Casi tres cuartas partes de los reportes acabaron en el equipo de revisión de plugins de WordPress.org porque el contacto del autor no existía, estaba desactualizado o no funcionaba. De ahí los cierres: la mayoría son temporales y pasan a ser definitivos si el autor no reacciona. Patchstack señala además que un plugin cerrado sigue funcionando en las webs que lo tienen instalado, y que el usuario normalmente no ve ninguna advertencia. El caso está descrito en el ticket de Trac #30465. La conclusión de Patchstack para los autores de plugins es sencilla: publicar un programa de divulgación de vulnerabilidades (VDP) con un contacto que funcione, para que el reporte llegue al autor antes de llegar al equipo de revisión.
Palmowski repitió la misma intervención en inglés en WordCamp Kraków el 29 de junio de 2025; la grabación está en WordPress.tv.
Qué aplicar de las ponencias de WordUp Gdynia en proyectos WordPress
Varias intervenciones se traducen en tareas concretas para quienes mantienen webs en WordPress.
De la intervención de Maciej Palmowski queda el peso de las vulnerabilidades XSS, que según Patchstack supusieron el 67% de los reportes. Conviene revisar cómo validan y escapan los datos de entrada los plugins que mantienes. La segunda tarea es comprobar si alguno de los plugins que usas se ha cerrado en el repositorio, porque el panel de WordPress puede no mostrarlo.
Rafał Chrzan mostró cómo desactivar el listado de usuarios en la REST API y proteger la descarga de archivos digitales con firmas de URL y tokens. Es un punto a revisar en cualquier tienda que venda archivos. El punto de partida es el endpoint /wp/v2/users, que la documentación de la REST API describe como la colección de usuarios, con el contexto predeterminado view y los parámetros who=authors y has_published_posts. Los campos email y username solo aparecen en el contexto edit, así que la respuesta pública muestra menos, pero sigue revelando la lista de autores.
Piotr Mońka repasó los errores de accesibilidad más frecuentes: contraste, trampa de foco y aria-label. Los tres se pueden comprobar en una web existente recorriéndola con el teclado y usando una herramienta de medición de contraste.
Aleksandra Grygiel enumeró los cinco problemas de hosting con los que se encuentra más a menudo: límite de iNodes, cron spam, falsas alarmas del antivirus, timeouts y errores de DNS.
Tomasz Skupny aportó el lado contractual: OSINT sobre el cliente, cláusulas de escrow, un modelo de SLA y una lista de control para el caso del cliente que desaparece. Vale la pena contrastar ese material con los contratos que ya utilizas.
Dónde encaja WordUp Gdynia #22 en la serie de encuentros WordPress de la Triciudad
El archivo de wpgdynia.pl empieza con la entrada de WordUp Gdańsk #1 de diciembre de 2012, con un encuentro en el pub Polufka de Gdańsk y tres temas: los propios WordUps, el comercio electrónico en WordPress y Advanced Custom Fields. Las ediciones siguientes ya llevaron el nombre WordUp Trójmiasto, y algunas tuvieron un perfil propio: la #11 y la #13 fueron ediciones para principiantes, y la #18 celebró los 20 años de WordPress.
La edición #22 es la última del archivo bajo la marca WordUp Trójmiasto. Desde la #23 la web usa el nombre WordUp Gdynia, y el ritmo del evento sigue igual: encuentro del viernes en PifPaf, ponencias del sábado desde las 12:00 en el Museo de la Ciudad de Gdynia y networking por la noche. Así fueron la #23 (6 de diciembre de 2025, con una previa en el mercado navideño de Gdańsk), la #24 (28 de febrero de 2026) y la #25 (19 de septiembre de 2026). La página principal anuncia la edición #26 para el 16 de enero de 2027 en el mismo museo, con más de 100 participantes y más de 12 ponentes.
Qué pasó en el after party de WordUp Gdynia #22
Cuando cerró el museo, volvimos a PifPaf. Las conversaciones duraron hasta tarde, desde errores en la REST API hasta los temas FSE favoritos.
Patrocinadores y colaboradores de WordUp Gdynia #22
- White Label Coders, patrocinador principal: financiación de la sala y paquetes de bienvenida.
- Smarthost.pl, zona de café y voucher book.
- Planet Pay, proveedor de pasarelas de pago con plugins para WooCommerce, mencionado entre los patrocinadores en la web del evento.
- Kinsta, concurso «Longest Uptime» y obsequios.
- cyber_Folks, zona chill y limonada.
- PAQ-studio, helpdesk de SEO para e-commerce en su stand.
- relacje.video / relacje.ai, documentación completa en vídeo (lista de reproducción más abajo).
Colaboraron en el evento la Fundacja WWW y WPPoland.
Dónde encontrar las grabaciones y materiales de WordUp Gdynia #22
Lista de reproducción completa «WordUp Gdynia #22» en el canal de WPGdynia en YouTube.
La lista tiene 10 vídeos: las nueve ponencias de la tabla anterior y la grabación del panel «free mic». No incluye grabaciones de Karolina Czapla ni de Filip Sroka, lo que concuerda con su ausencia. En el mismo canal hay listas separadas de las ediciones siguientes, #23 y #24, y de los WordCamp Gdynia 2024 y 2025.
Fechas de WordCamp Kraków y WordCamp Gdynia 2025
- WordCamp Kraków 2025, del 27 al 29 de junio de 2025, otro encuentro a los pies del Wawel.
- WordCamp Gdynia 2025, del 26 al 28 de septiembre de 2025 en el Parque Científico y Tecnológico de Pomerania: volvemos al Báltico con una edición de dos días y varias pistas, precedida del Contributor Day del viernes.
Según la web oficial, WordCamp Gdynia 2025 fue el primer WordCamp bilingüe de Polonia, con una pista de ponencias separada en inglés.
Damos las gracias a todos los asistentes, ponentes y colaboradores por su energía, su conocimiento y el gran ambiente. Esperamos vernos en los próximos eventos de la comunidad WordPress. En WordUp Gdynia lo más importante son las personas y la energía que aportan. Desde la entrada se notaba el buen ambiente, y las conversaciones no se limitaron a los pasillos: siguieron en el after party del pub PifPaf, en la calle 10 Lutego. Allí nacieron las mejores ideas y surgieron nuevos contactos y colaboraciones.
«Gdynia, con su encantadora ubicación junto al mar, aporta un ambiente y una energía increíbles. Un escenario así favorece el pensamiento creativo y es el telón de fondo perfecto para un evento tan inspirador como WordUp.», los organizadores en la web de WordUp Gdynia (traducción propia)
Por qué valió la pena estar en WordUp Gdynia #22
- Una dosis fresca de conocimiento de expertos destacados del sector
- Motivación para aplicar innovaciones en tus proyectos
- La ocasión de conocer a personas que comparten tu pasión
- Acceso a las grabaciones de las ponencias, para volver a ellas cuando quieras
Si todavía no has estado en ningún WordUp, vale la pena acompañarnos la próxima vez. Es la mejor forma de estar al día con WordPress y conocer una comunidad realmente inspiradora.
Los WordUps son un buen lugar para ver cómo otro equipo resolvió el problema que tú tienes ahora mismo sobre la mesa. Fuera de los encuentros hacemos lo mismo en la práctica, con trabajo de desarrollo en WordPress.
