Quién necesita mantenimiento profesional WordPress
Cualquier empresa que dependa de su web para vender, captar contactos o publicar. Cuanto más pesa el sitio en el negocio, menos sentido tiene dejarlo sin supervisión técnica.
Soy Mariusz Szatkowski y trabajo con WordPress desde 2006. Mantengo sitios yo solo desde Gdynia (Polonia), así que quien actualiza tu web es la misma persona a la que escribes. Esta guía explica qué incluye un mantenimiento serio y cómo comprobar si el tuyo lo es.
Qué incluye el mantenimiento
Actualizaciones probadas en staging, copias de seguridad fuera del hosting, revisión de vulnerabilidades, comprobación de compatibilidad, seguimiento del rendimiento y atención de incidencias en horario laboral.
Mantenimiento de WooCommerce, webs corporativas y sitios heredados
Sirve para webs corporativas pequeñas, tiendas WooCommerce y para instalaciones heredadas con mucha deuda técnica. Trabajo en remoto, en la misma zona horaria que Madrid, por correo, documentos y repositorio.
¿Cuánto cuesta el mantenimiento de WordPress?
El precio es individual: depende del estado real del sitio, del número de plugins, del volumen de cambios y del riesgo técnico acumulado. Los precios de partida están en la página de precios.
Mantenimiento profesional WordPress en 2026
La mayoría de los problemas de WordPress se acumulan durante meses: plugins sin revisar, temas desactualizados, copias que nadie ha restaurado, cambios hechos directamente en producción y la idea de que “si la web abre, todo está bien”.
El mantenimiento sirve para mantener una instalación estable y medible, que aguante cambios sin convertirse en un riesgo para el negocio. Los plugins publican versiones nuevas cada pocas semanas, las versiones de PHP dejan de tener soporte y cada actualización puede traer un parche de seguridad o una incompatibilidad.
¿Mantenimiento WordPress por tu cuenta o profesional?
| Área | Por tu cuenta | Profesional |
|---|---|---|
| Actualizaciones | ”Actualizar todo” en el escritorio y una pantalla blanca el viernes por la tarde | Prueba en una copia de staging, capturas comparadas, punto de retorno preparado |
| Copias de seguridad | Las del hosting, que desaparecen con la cuenta suspendida | Regla 3-2-1, una copia fuera del hosting, restauración probada |
| Seguridad | Sin monitorización, el malware pasa semanas sin detectarse | Control de archivos modificados, disponibilidad cada 1 a 5 minutos, WAF delante |
| Rendimiento | Arreglar las páginas lentas cuando alguien se queja | Limpieza de base de datos y Core Web Vitals revisados tras las actualizaciones |
¿Por qué es importante el mantenimiento de WordPress?
Hay bots que recorren internet buscando instalaciones con vulnerabilidades ya publicadas. Según los informes anuales de Patchstack, la mayoría de las vulnerabilidades de WordPress están en plugins y temas, no en el núcleo, y muchas ya tienen una corrección que nadie ha instalado.
El rendimiento también se degrada poco a poco: crece la base de datos, los plugins se solapan y lo que cargaba rápido hace un año deja de hacerlo. Una recuperación tras un hackeo cuesta más tiempo y dinero que el mantenimiento que la habría evitado, y el coste del mantenimiento se puede calcular de antemano.
Copias de seguridad en WordPress
Las copias del hosting dejan de servir el día en que la cuenta se suspende o se compromete, porque el sitio y las copias están en el mismo sitio. Por eso sigo la regla 3-2-1: tres copias, en dos tipos de almacenamiento, con una fuera de la cuenta de hosting. Guardo las copias 30 días o más en países de la UE.
Una copia solo cuenta cuando se ha restaurado. Muchos sitios descubren que sus copias están incompletas en plena emergencia, así que pruebo la restauración en un entorno aislado.
Qué debe incluir una buena estrategia de backup
- Copias diarias automáticas guardadas fuera del servidor principal.
- Retención de al menos 30 días.
- Base de datos y archivos copiados por separado.
- Pruebas de restauración en un entorno aislado.
- El procedimiento de recuperación documentado por escrito.
Monitorización de seguridad en WordPress
- Control de archivos del núcleo, plugins y temas para detectar cambios no autorizados, una señal habitual de malware.
- Disponibilidad comprobada cada 1 a 5 minutos, con alerta cuando el sitio deja de responder.
- Plugins instalados comparados con las bases de vulnerabilidades de Patchstack y WPScan.
- Un cortafuegos de aplicación (WAF), por ejemplo Cloudflare, que filtra bots maliciosos.
- Revisión de usuarios administradores, roles y permisos de archivos.
La monitorización avisa pronto de que algo va mal. No hace que un sitio sea imposible de hackear, y no ofrezco guardias 24/7.
Gestión de actualizaciones de WordPress
Aplicar actualizaciones sin probarlas puede romper el sitio; esperar demasiado deja abiertas vulnerabilidades conocidas. Los entornos de staging resuelven ese dilema: la actualización se prueba en una copia del sitio y, si algo falla, se vuelve a la copia previa.
¿Cómo actualizar WordPress de forma segura?
- Hacer una copia de seguridad completa antes de cualquier actualización.
- Aplicar las actualizaciones primero en staging.
- Comprobar formularios, checkout, inicio de sesión y diseño.
- Desplegar en producción en horas de poco tráfico.
- Vigilar el sitio durante las horas siguientes.
- Anotar cualquier incidencia en el informe.
Los parches de seguridad salen en cuanto pasan staging; las actualizaciones de funciones pueden esperar unos días a que otros usuarios informen de fallos.
Optimización del rendimiento de WordPress
Mido las Core Web Vitals con visitas reales a tu sitio, no con una sola prueba de laboratorio, y la optimización de velocidad parte de esos datos. El mantenimiento incluye limpiar revisiones, transients, spam y metadatos huérfanos de la base de datos, y servir las imágenes nuevas en AVIF o WebP.
¿Qué métricas de rendimiento medir en WordPress?
- LCP (Largest Contentful Paint): por debajo de 2,5 segundos.
- INP (Interaction to Next Paint): por debajo de 200 ms. Sustituyó a FID en marzo de 2024.
- CLS (Cumulative Layout Shift): por debajo de 0,1.
- TTFB (Time to First Byte): indica cómo responde el servidor.
Los umbrales son los que publica Google en web.dev.
RGPD, LOPDGDD y la AEPD
En España, el RGPD se completa con la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD), y la supervisión corresponde a la Agencia Española de Protección de Datos (AEPD). El artículo 32 del RGPD exige medidas de seguridad adecuadas al riesgo: software actualizado, copias cifradas, doble factor para administradores y saber qué scripts de terceros tratan datos de los visitantes.
Quien mantiene un sitio con datos personales los trata por cuenta tuya, así que firmamos un contrato de encargo del tratamiento según el artículo 28 del RGPD antes de que tenga acceso. Si una brecha afecta a datos personales, como responsable tienes 72 horas para notificarla a la AEPD (artículo 33), y yo te doy la información técnica para hacerlo.
¿Cuánto cuesta mantener WordPress por tu cuenta?
El mantenimiento propio cuesta horas cada mes: actualizaciones, comprobar copias, revisar alertas y limpiar la base de datos. A eso se suma el riesgo: si una actualización rompe el checkout, ¿sabes leer el log de errores de PHP y volver atrás? Y cada hora dedicada a plugins es una hora que no dedicas al negocio.
¿Qué es la deuda técnica en WordPress?
En muchos sitios el problema es la acumulación: plugins abandonados que siguen activos, configuraciones que nadie revisa, constructores visuales sobrecargados y cambios en producción sin control de versiones.
Señales de deuda técnica en WordPress
- El sitio tarda más de 5 segundos en cargar en móvil.
- Hay plugins activos sin actualizaciones desde hace más de un año.
- No existe un entorno de staging.
- Las copias nunca se han restaurado de verdad.
- Nadie sabe qué plugins hacen falta y cuáles sobran.
- Los editores temen publicar por si se rompe algo.
Cómo se resuelve la deuda técnica
Antes de nada, una auditoría y una fase de estabilización. Si la base no se corrige, actualizar solo aplaza el problema:
- Inventario de plugins, temas y personalizaciones.
- Identificar componentes redundantes, obsoletos o inseguros.
- Retirar dependencias innecesarias poco a poco.
- Montar un entorno de staging funcional.
- Fijar un proceso de actualización controlado.
- Documentar el estado técnico por escrito.
Cuando algo falla un viernes por la tarde
La pregunta que decide si el mantenimiento vale la pena es a quién escribes cuando el checkout deja de cobrar. Conmigo escribes directamente a la persona que mantiene el sitio, hay una copia externa restaurada de verdad en staging y un punto de retorno antes de cada actualización. Atiendo incidencias en horario laboral, sin guardias 24/7. Empiezo con una auditoría del estado actual y te la envío por escrito; después acordamos el alcance mensual. Precio individual según el sitio.
Solicitar auditoría de estadoMantenimiento WordPress según el tipo de sitio
Tiendas WooCommerce
Tras cada actualización compruebo que el checkout y las pasarelas de pago funcionan, que los datos de producto se muestran bien y que las extensiones son compatibles con el núcleo y la versión de PHP actuales. Si el pago se hace en la página de la pasarela (Redsys, Stripe o PayPal), los datos de tarjeta no pasan por tu servidor y tu parte de PCI DSS se reduce.
Sitios de membresía
Las cuentas de usuario añaden trabajo: registro, control de acceso y plugins de membresía con sus propias actualizaciones. La monitorización debe detectar intentos de acceso por fuerza bruta contra las credenciales de los usuarios.
Webs corporativas
Tienen menos carga técnica, pero suelen ser el primer punto de contacto con la empresa. También necesitan copias, actualizaciones y monitorización.
Blogs y portales de noticias
La base de datos y la biblioteca de medios crecen rápido, y las taxonomías necesitan revisión periódica. Aquí el mantenimiento incluye limpiar la base de datos y revisar el archivo.
¿Cada cuánto hacer mantenimiento de WordPress?
Cada semana
- Comprobar que las copias se ejecutan.
- Revisar las alertas de seguridad y disponibilidad.
- Aplicar actualizaciones menores de bajo riesgo.
- Probar los formularios principales.
Cada mes
- Actualizar todo el stack con pruebas de compatibilidad en staging.
- Revisar si algún plugin activo sobra.
- Revisar las páginas con más tráfico e ingresos.
- Vigilar el crecimiento de la base de datos.
- Revisar la evolución de Core Web Vitals y los errores de JavaScript.
Cada trimestre
- Auditoría técnica a fondo.
- Revisión de datos estructurados.
- Prueba de restauración completa desde una copia.
- Evaluar si el hosting sigue siendo suficiente.
Cómo elegir un proveedor de mantenimiento
Preguntas que hacer
- ¿Qué cubre exactamente el contrato y qué queda fuera?
- ¿Cómo se prueban las actualizaciones antes de llegar a producción?
- ¿Cada cuánto se restauran las copias de prueba?
- ¿Dónde se guardan las copias y durante cuánto tiempo?
- ¿Hay entorno de staging?
- ¿Firma un contrato de encargo del tratamiento?
Pide un informe de ejemplo. Desconfía de quien promete tiempos de respuesta garantizados a precio de saldo o asegura que tu web nunca será hackeada.
¿Cómo contratar el mantenimiento de WordPress?
Escríbeme con la dirección del sitio. Reviso la versión de PHP, los plugins, el tema y las copias, y te envío por escrito lo que encuentro junto con una propuesta de alcance. El contrato se rige por la ley polaca y la factura se emite con inversión del sujeto pasivo con mi NIF-IVA europeo PL7393037445. Nos comunicamos por correo, documentos y repositorio; si necesitas una llamada, dímelo. El diseño gráfico y los wireframes los aportas tú; yo me encargo de la parte técnica.
