Mantenimiento WordPress en Bilbao

Bilbao no es Madrid, y mantener un WordPress aquí tampoco se parece a hacerlo en la capital. La economía de Bizkaia descansa en una combinación poco común: banca con peso histórico (BBVA conserva su sede social en la plaza de San Nicolás, Iberdrola dirige el grupo desde la torre de Abandoibarra), industria reconvertida desde los astilleros y la siderurgia, y un tejido cooperativo de Mondragón que sigue marcando cómo se compran y se renuevan los servicios digitales. Este servicio de mantenimiento parte de ese contexto y no del manual genérico.

#mantenimiento WordPress en Bilbao

Mantener un sitio WordPress para una empresa con sede en Bilbao significa trabajar con un activo que muchas veces convive con un ERP industrial, un PIM de catálogo técnico o un Salesforce instalado a la sombra de la matriz vasca. Para un fabricante de Sestao o Barakaldo, una asesoría de Indautxu, una clínica de Abando o una bodega de la Rioja Alavesa que vende online desde Vitoria-Gasteiz, la web no se puede caer un viernes a las cinco sin que cuente en la operación de la semana siguiente. El mantenimiento descrito aquí parte de esa premisa: actualizaciones probadas, copias verificadas, vigilancia de seguridad y un canal de soporte con tiempos de respuesta firmados.

#Qué incluye el mantenimiento mensual

• Horas de desarrollo mensuales para pequeños cambios funcionales, retoques de contenido en castellano y, cuando hace falta, en euskera, corrección de errores y ajustes de plantilla sin abrir un proyecto aparte para cada modificación menor
• Copias de seguridad diarias con retención de 30 días, almacenadas fuera del propio servidor, con restauración probada (no solo programada) para que el backup sirva el día que de verdad hace falta
• Monitorización de disponibilidad con comprobaciones a intervalos cortos y alertas por correo, de modo que una caída se detecta antes de que un comprador del BEC en Barakaldo intente terminar el pago con Bizum y abandone
• Actualizaciones de núcleo, plugins y temas validadas en un entorno de pruebas idéntico al de producción, con plan de reversión documentado para cada ciclo
• Revisión periódica del estado de la instalación: versión de PHP, plugins abandonados, compatibilidad con la hoja de ruta de WordPress y deuda técnica acumulada
• Informe mensual legible: qué se actualizó, qué se rompió y se corrigió, qué riesgos quedan abiertos y qué conviene decidir el mes siguiente

#El mercado de Bilbao y por qué condiciona el mantenimiento

Bilbao terminó el siglo XX cerrando astilleros y altos hornos, y empezó este abriendo el Guggenheim de Frank Gehry en Abandoibarra (1997) como ancla de una reconversión que cambió la postal y, sobre todo, la base económica. Hoy el cinturón industrial sigue ahí (ArcelorMittal en Sestao, Tubacex en Llodio, Petronor en Muskiz) pero la inversión va a movilidad eléctrica, energía y ciberseguridad. La iniciativa BasqueCyberSecurity, impulsada por el Gobierno Vasco a través de SPRI, articula una red de empresas y centros tecnológicos como Tecnalia y Vicomtech (este último con sede en San Sebastián, pero con clientes en Bizkaia) que marca el listón de exigencia en seguridad para cualquier proveedor digital.

Junto a Bilbao Berrikuntza Faktoria (BBF), el hub de innovación abierto en Zorrozaurre dentro del proyecto de reconversión urbana de la antigua isla industrial, conviven aceleradoras como BBK Open Innovation y BIND 4.0 (programa de aceleración industrial del Gobierno Vasco). Para un proveedor de mantenimiento eso se traduce en dos perfiles muy distintos de cliente conviviendo en la misma ciudad: por un lado startups B2B industriales que iteran rápido sobre WordPress como capa de marketing mientras el producto vive en otra plataforma; por otro, empresas familiares y cooperativas con webs maduras donde el riesgo no es la velocidad de cambio, sino la base de datos hinchada de hace una década y los plugins que nadie revisa desde el cambio de gerente.

#Pasarelas de pago, IVA y particularidades fiscales del País Vasco

Una tienda WooCommerce de Bilbao cobra, en la mayoría de casos, a través de Redsys (con TPV virtual contratado con Kutxabank, BBVA, Laboral Kutxa o Caixabank) y muchos compradores esperan ver Bizum en el checkout. A partir de ahí aparece la primera diferencia con el resto del Estado: el País Vasco tiene Concierto Económico, y las tres Haciendas Forales (Bizkaia, Gipuzkoa, Álava) gestionan el IVA y el Impuesto de Sociedades. En Bizkaia, además, lleva años en marcha Batuz, el sistema de control integral de la actividad económica que combina el libro registro de operaciones (LROE) con TicketBAI. Esto importa para el mantenimiento por una razón muy concreta: cualquier conector de facturación que un WooCommerce use para emitir tickets o facturas debe estar certificado y mantenerse al día con cada cambio de la Diputación Foral. VeriFactu, la norma estatal, queda en segundo plano en Bizkaia: aquí manda la normativa foral, y un mantenimiento que confunda ambas regulaciones expone al cliente a sanciones.

Sobre WooCommerce, eso obliga a verificar en cada ciclo de actualización que el complemento de TicketBAI siga emitiendo los XML firmados correctamente, que el envío al servicio web de la Hacienda Foral devuelva la respuesta esperada y que las modificaciones del flujo de checkout no rompan el cálculo del IVA al 4 %, 10 % o 21 % en función del producto. Cuando aparecen ventas a clientes en Francia o Andorra (frecuente en bodegas de Rioja Alavesa o en máquina-herramienta), el OSS-IOSS añade otra capa. Ninguna actualización pasa a producción sin antes confirmar, en pruebas, que un pedido tipo se factura como debe.

#Seguridad, AEPD y consentimiento informado

La seguridad de un WordPress en Bilbao se mide en dos planos. El primero, el técnico: cortafuegos de aplicación ajustado a los vectores propios de WordPress (xmlrpc, formularios de comentarios, endpoints de la REST API), parametrización de consultas, escapado de salida, verificación de nonces y limitación de intentos en wp-login. El segundo, el normativo: el RGPD se aplica directamente, la LOPDGDD lo complementa, y el artículo 22.2 de la LSSI-CE obliga a un consentimiento informado antes de instalar cookies no esenciales. La guía sobre el uso de cookies de la AEPD, publicada en su versión actualizada en 2023, es taxativa: el banner debe ofrecer un botón de rechazo al mismo nivel visual que el de aceptación, y solo las cookies técnicas pueden cargarse antes del consentimiento. Las sanciones por incumplimiento del RGPD llegan hasta 20 millones de euros o el 4 % de la facturación global del grupo, y la AEPD ha multado a empresas por banners mal diseñados aunque el resto del aviso legal fuera correcto.

El mantenimiento, por tanto, no se queda en aplicar parches. Verifica que el gestor de consentimiento (Complianz, Iubenda, CookieYes o un desarrollo propio) siga funcionando tras cada actualización de WordPress y de los plugins de marketing, que las cookies de Google Analytics 4, Meta Pixel o LinkedIn Insight Tag no se carguen antes del consentimiento, y que los textos legales (aviso legal, política de privacidad, política de cookies y condiciones de contratación) sigan accesibles desde el footer. Cuando hay un incidente confirmado, la respuesta queda registrada con cronología, evidencias y causa raíz, y se evalúa si procede notificarlo a la AEPD en el plazo de 72 horas que marca el reglamento.

#Hosting, latencia y dónde vive el sitio en realidad

La mayor parte de los WordPress en Bilbao que llegan a mantenimiento están alojados en proveedores españoles como Webempresa, Raiola Networks, Hostinet o IONOS, con CPD principal en Madrid, Barcelona o, en algunos casos, en Bizkaia. Una fracción menor vive en VPS de DigitalOcean en Fráncfort o en Amazon Web Services en la región de Irlanda. La diferencia se nota: para un sitio cuyo público está en Bizkaia y Cantabria, alojar en CPD español o europeo con CDN de Cloudflare delante reduce el tiempo de respuesta del servidor en decenas de milisegundos respecto a un origen en Estados Unidos, y eso se traduce en mejores Core Web Vitals sin tocar el código. Cuando el cliente es una cooperativa de Mondragón con operaciones internacionales, conviene revisar la estrategia de caché perimetral y la geolocalización de los datos para no chocar con las cláusulas RGPD del contrato de encargo de tratamiento.

#Cómo se ejecuta el trabajo

El onboarding empieza siempre con una auditoría de la instalación existente: inventario de plugins, configuración del hosting, estado real de las copias de seguridad, postura de seguridad, una referencia de rendimiento medida con Lighthouse y, si aplica, una revisión del cumplimiento RGPD y de la integración con TicketBAI. Con esos datos sobre la mesa se prioriza la remediación. Un sitio descuidado (PHP 7.4 todavía en producción, plugins sin actualizar desde hace dos años, backups que no restauran) suele necesitar más reparación que mantenimiento durante el primer mes, y eso se dice de entrada, no a mitad de camino.

A partir de ahí, la cadencia se vuelve predecible:

1. Ciclo de actualización probado. Cada actualización de núcleo, plugins y temas se valida en el entorno de pruebas y se promueve a producción con un plan de reversión escrito. Para tiendas, ese ciclo incluye una compra de prueba con Redsys o Bizum y, en Bizkaia, una emisión simulada de TicketBAI antes de dar por buena la versión.
2. Copias de seguridad y monitorización. Backups diarios con retención de 30 días y vigilancia de disponibilidad. Si algo cae fuera de horario y el acuerdo lo cubre, se actúa fuera de horario, respetando los festivos del País Vasco (Aste Nagusia en agosto, San Mamés, festivos forales) que no siempre coinciden con el calendario laboral del resto del Estado.
3. Rendimiento medido. Se mide antes y después de cada intervención relevante con métricas de Core Web Vitals, no con percepciones. En una plaza donde el comprador medio llega desde móvil sobre una red 5G de Euskaltel-MasMovil o sobre la fibra de Movistar, la fricción se nota rápido en formularios y checkout.
4. Informe mensual. Un documento legible con lo hecho, lo pendiente y las decisiones que requieren su aprobación.
5. Respuesta a incidentes. Para caídas de producción o brechas de seguridad, se activa el protocolo acordado: responder, contener, documentar y remediar, dejando todo registrado por si la AEPD pregunta.

#Problemas que aparecen con más frecuencia en Bilbao

Las empresas vascas suelen llegar con tres situaciones recurrentes. La primera: bases de datos lentas en webs corporativas con muchos años de historia, típicas de cooperativas y empresas familiares con dos décadas de catálogo, descargas técnicas y revisiones de producto acumuladas. Se depuran las opciones autoload, se limpian los transients caducados, se reconstruyen índices y se archivan revisiones antiguas, con una mejora notable en el tiempo de respuesta del servidor. La segunda: tiendas WooCommerce donde una actualización del plugin de Redsys o del conector de TicketBAI rompió el flujo de pago o el envío del XML a la Hacienda Foral. Se reproduce el fallo en pruebas, se aísla el plugin responsable y se despliega con reversión inmediata disponible. La tercera: equipos editoriales bilingües (castellano y euskera) que sin querer rompen plantillas o publican una de las dos versiones a medias. Se configuran flujos con WPML o Polylang, control de revisiones, publicación programada y permisos por rol que evitan cambios destructivos y mantienen la paridad de hreflang.

#Rendimiento en una plaza con comprador exigente

La arquitectura de rendimiento se apoya en varias capas. En recursos: imágenes servidas en WebP y AVIF mediante srcset responsivo, CSS dividido por ruta e insertado en línea para el contenido visible al cargar, y JavaScript con tree-shaking y carga diferida. En caché: navegador, CDN, caché de aplicación y caché de consultas con invalidación selectiva. En red: HTTP moderno, compresión Brotli y resource hints. En render: CSS crítico en línea y carga perezosa de imágenes e iframes. Cada decisión se justifica con una medición, no con un eslogan, y las referencias quedan en la documentación del proyecto. Para un fabricante industrial que vende a compradores técnicos del BIND 4.0 o del propio BEC, donde el tráfico desde móvil pesa pero también hay sesiones largas desde escritorio, el equilibrio entre LCP y CLS se ajusta caso a caso.

#Visibilidad en buscadores y en respuestas de IA

El mantenimiento también protege la visibilidad ganada. Se vigila que las actualizaciones no rompan el marcado Schema.org, los hreflang en sitios bilingües (castellano y euskera), ni la indexación. Para empresas con presencia internacional (frecuente en máquina-herramienta vasca o en consultoras de ingeniería con clientes en Latinoamérica), se revisan los pares hreflang es-ES, eu-ES, en y, según el caso, fr o pt. A medida que crecen las respuestas generadas por IA (AI Overviews de Google, ChatGPT, Perplexity), se estructura el contenido con definiciones claras de entidades, afirmaciones verificables y fuentes citadas, para que la información de la empresa sea utilizable por esos sistemas sin perder rigor.

#Trabajo en remoto, cliente en Bilbao

El mantenimiento se gestiona en remoto a través de un canal de tickets por escrito y un informe mensual de estado. Las llamadas se reservan para resolver decisiones o repasar los detalles de un incidente. Esa forma de trabajar funciona igual de bien para una empresa en pleno Casco Viejo que para una en el polígono de Júndiz en Vitoria-Gasteiz o en el área de Boroa cerca de Amorebieta: lo que importa es la trazabilidad de cada cambio, no la cercanía física al servidor, que en cualquier caso vive en un centro de datos.

#Empiece su proyecto de mantenimiento en Bilbao

Si su empresa en Bilbao o en Bizkaia necesita un mantenimiento WordPress serio, con criterio sobre las pasarelas españolas, las Haciendas Forales y la normativa de la AEPD, el primer paso es una auditoría de la instalación actual y una conversación honesta sobre lo que necesita. La valoración es individual y se ajusta al estado real del sitio y al alcance acordado. Sin facturas sorpresa: los cambios de alcance se hablan antes, con sus implicaciones claras.