¿Qué es la resiliencia operacional de un sitio WordPress?
Es la capacidad del sitio de volver a funcionar tras una caída, una intrusión o una actualización fallida, en un plazo que tu empresa ya ha decidido que puede asumir. En la práctica se reduce a cosas comprobables: si existe una copia y se puede restaurar el sitio desde ella, quién tiene acceso al escritorio de WordPress y al servidor, cómo llegan las actualizaciones a producción y quién hace qué cuando algo se rompe.
Soy Mariusz Szatkowski, desarrollador WordPress desde 2006. Trabajo solo, desde Gdynia (Polonia), sin equipo ni subcontratistas. En este trabajo me ocupo de la capa WordPress: copias y sus pruebas, actualizaciones, código, accesos y una descripción por escrito de todo ello que tu departamento de compras puede adjuntar a un cuestionario de seguridad de proveedores.
Copias 3-2-1 y la prueba de restauración
La regla 3-2-1 pide tres copias de los datos en dos tipos de almacenamiento distintos, una de ellas fuera del servidor principal. En un WordPress suele ser una copia en el hosting, otra en un almacenamiento separado en un país de la UE con credenciales que el servidor no conoce, y una tercera sin conexión o en otro proveedor, fuera del alcance de un ransomware que actúe en el servidor.
Una copia cuenta cuando alguien ha restaurado desde ella. Restauro el sitio en staging a partir de una copia reciente y anoto:
- la fecha y qué copia usé,
- cuánto tardó, desde la descarga hasta tener el sitio funcionando,
- qué antigüedad tenía la copia más reciente de la base de datos, que es tu RPO real,
- qué falló y qué corregí.
El RTO (cuánto puede estar caído el sitio) y el RPO (cuántos datos puedes perder, contando hacia atrás) los fija tu empresa, porque solo tú sabes cuánto cuesta una hora sin tienda. La prueba dice si esas cifras se sostienen. Los fallos que más veo: un plugin que lleva meses copiando wp-content y nunca la base de datos, y una tarea de copia que dejó de ejecutarse tras un cambio de contraseña o con el disco lleno sin que nadie se diera cuenta. En mi mantenimiento guardo las copias al menos 30 días en países de la UE.
¿Qué norma se aplica en España?
La NIS2, Directiva (UE) 2022/2555, cubre entidades esenciales e importantes, por regla general medianas y grandes de los sectores que enumera. Su artículo 21 incluye la continuidad de la actividad, “como la gestión de copias de seguridad y la recuperación en caso de catástrofe”, y la seguridad de la cadena de suministro. Por esa segunda razón los cuestionarios llegan también a proveedores pequeños.
En España la ley que traspone la NIS2 estaba en tramitación cuando se revisó esta página. El BOE publica como vigente el Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, que traspuso la primera directiva NIS. Su artículo 19 obliga a los operadores de servicios esenciales y a los proveedores de servicios digitales a notificar incidentes a la autoridad competente a través del CSIRT de referencia; según el artículo 11, es el INCIBE-CERT para las entidades privadas y el CCN-CERT para el sector público.
Si trabajas para la administración, cuenta también el Esquema Nacional de Seguridad (Real Decreto 311/2022). Su artículo 2.3 lo extiende a los sistemas de empresas privadas que prestan servicios a entidades públicas por contrato.
Yo no estoy sujeto a la NIS2: soy una microempresa unipersonal por debajo del umbral. Si tu empresa entra en alguna de estas normas lo decide tu abogado.
Cuando pasa algo
Las notificaciones las presenta tu empresa: el incidente, a través del CSIRT de referencia si te aplica el RD-ley 12/2018, y la brecha de datos personales a la AEPD en un plazo de 72 horas desde que tienes constancia, salvo que sea improbable que suponga un riesgo para las personas (artículo 33 del RGPD).
Como encargado del tratamiento te aviso sin dilación indebida en cuanto sé de una brecha (artículo 33.2 del RGPD) y te paso lo que veo en WordPress: desde cuándo, qué cuentas, qué archivos, qué datos pueden haber salido. Después restauro desde una copia anterior al incidente, cierro el agujero y dejo por escrito lo ocurrido.
No hago guardias 24/7 ni garantizo un tiempo de respuesta. Si tu procedimiento necesita a alguien localizable de madrugada, ese papel tiene que estar en tu empresa o en un proveedor que lo ofrezca.
Qué preguntan los cuestionarios de proveedores sobre la web
Cambian de formato, pero en el apartado de la web vuelven las mismas preguntas:
| Pregunta del cuestionario | Lo que puedo aportar |
|---|---|
| ¿Con qué frecuencia se hacen copias y dónde se guardan? | Calendario, país de almacenamiento, periodo de conservación |
| ¿Cuándo se probó por última vez una restauración? | Registro de la prueba en staging con fecha y duración |
| ¿Cómo gestionáis actualizaciones y vulnerabilidades? | Descripción del proceso: staging, inventario de plugins, fuentes de avisos |
| ¿Quién tiene acceso al sitio? | Lista de cuentas de administrador y fecha de la última revisión |
| ¿Hay contrato de encargado con el proveedor? | Contrato del artículo 28 del RGPD, firmado antes del acceso |
Si tu cliente es un banco, una aseguradora o una empresa de servicios de inversión, las preguntas suelen venir del Reglamento DORA (UE) 2022/2554, aplicable desde el 17 de enero de 2025. Su artículo 30 fija qué deben incluir los contratos de las entidades financieras con sus proveedores TIC. Esas cláusulas van en tu contrato con el cliente financiero; yo describo cómo funciona la capa WordPress.
Actualizaciones, plugins y accesos
Los plugins son la vía de entrada más habitual en WordPress. Llevo un inventario de plugins y temas con sus versiones (WP-CLI lo genera en segundos), sigo los avisos de vulnerabilidades y quito los plugins que su autor ha dejado de mantener. Cada actualización pasa primero por staging.
En los accesos se repite una escena: alguien hizo la web hace años, la relación terminó y su cuenta de administrador sigue funcionando, sin segundo factor. Reviso las cuentas en WordPress, en el hosting y en el registrador del dominio, activo el inicio de sesión en dos pasos para los administradores y te dejo una lista de quién tiene qué acceso.
¿Y si el desarrollador no está disponible?
Trabajo solo, así que esta pregunta me afecta directamente y conviene hacerla antes de firmar. Mi respuesta: los accesos al sitio, al hosting y al dominio son tuyos, el código está en un repositorio junto con una descripción del entorno e instrucciones para las tareas habituales, como restaurar una copia o deshacer una actualización. Otro desarrollador WordPress puede hacerse cargo a partir de ahí sin mí.
Pruebas de penetración
Una prueba de penetración debe hacerla una empresa especializada, contratada por la tuya. Yo ayudo a acotar la parte WordPress, preparo el staging para la prueba y corrijo lo que encuentre en el código y la configuración.
Alcance y límites del servicio
Hago: copias y pruebas de restauración, actualizaciones a través de staging, revisión de accesos, correcciones de seguridad en el código y la configuración de WordPress y una descripción por escrito de todo ello para compras. Antes de tocar datos personales firmamos un contrato de encargado del artículo 28 del RGPD. El contrato es B2B, sujeto a la ley polaca, y la factura va con inversión del sujeto pasivo y mi NIF-IVA europeo PL7393037445.
No hago: guardias 24/7, vigilancia de amenazas tipo SOC, notificaciones a autoridades en tu nombre ni la valoración jurídica de si tu empresa está sujeta a una norma. No hay SLA ni tiempo de reparación garantizado. No vendo hosting: trabajo con el proveedor que hayas elegido.
Servicios relacionados
- Auditoría de seguridad WordPress: revisión de plugins, cuentas y configuración antes del primer cuestionario.
- Mantenimiento WordPress: cuidado continuo con copias, monitorización y actualizaciones.
- Contacto: describe el sitio y el cuestionario que tienes que responder. Te contesto por correo con preguntas y una propuesta de alcance.
