Mantenimiento web WordPress: qué incluye y por qué importa

Una web no es un folleto que se imprime y se olvida. Se parece más a un coche: si nadie le cambia el aceite, un día no arranca, y suele ser el peor día. Lo malo es que casi todo el mantenimiento web de WordPress no se ve, así que es lo primero que se deja «para cuando haya tiempo».

En esta guía te contamos qué incluye, cada cuánto hay que hacer cada tarea, cómo actualizar sin romper nada y cuándo te compensa hacerlo tú o dejarlo en manos de alguien.

¿Qué incluye el mantenimiento de una web WordPress?

Incluye seis trabajos: actualizar, hacer copias, vigilar la seguridad, cuidar la velocidad, comprobar que Google puede leer la web y corregir lo que falle. Si un servicio de mantenimiento solo te habla de «actualizar plugins», se está dejando la mitad.

Hay un punto que casi nadie menciona: comprobar los formularios. Una actualización o un cambio del hosting pueden dejarlos sin enviar correos, y la web parece perfecta mientras los contactos se pierden. Nos pasó en nuestra propia web: el hosting no dejaba usar la función de correo de PHP y tuvimos que enviar los avisos por SMTP. Sin una prueba real no lo habríamos visto.

¿Por qué es tan importante el mantenimiento de WordPress?

Porque WordPress es el sistema más usado del mundo, y eso lo convierte en un objetivo muy goloso para los ataques automáticos. Según W3Techs, citado por Barn2 en abril de 2026, alrededor del 42,6 % de todas las webs usan WordPress. Quien ataca no te elige a ti: busca en internet webs con un plugin vulnerable.

El informe State of WordPress Security in 2026 de Patchstack deja unas cifras que conviene conocer:

• 11.334 vulnerabilidades nuevas en 2025, un 42 % más que en 2024.
• El 91 % estaba en plugins y el 9 % en temas. En el propio WordPress solo se notificaron 6, de baja prioridad.
• El 46 % no tenía arreglo del desarrollador cuando se hizo público.
• Muy poco margen: en las más atacadas, la mediana ponderada hasta el primer ataque es de 5 horas.
• El hosting no basta: en sus pruebas, las defensas habituales de los proveedores bloquearon solo el 26 % de los ataques en el mejor de los casos.

La conclusión práctica no es que WordPress sea inseguro, sino que una web con muchos plugins y sin nadie al cargo sí lo es. Google recomienda lo mismo en su guía para prevenir malware: mantener al día el software y los plugins, tener una lista de lo que hay instalado y vigilar la web con Search Console.

Y no es solo seguridad. Una web lenta, con errores o caída también te cuesta visibilidad. Hay quien revisa su ficha de Google porque no aparece en Maps y se olvida de que esa ficha lleva a una web que tiene que funcionar cuando el cliente hace clic.

¿Cada cuánto hay que hacer cada tarea de mantenimiento?

Las copias y la vigilancia, a diario o cada semana; las actualizaciones, cada semana; el resto, una vez al mes o al trimestre. Este calendario es nuestra recomendación orientativa para una web de empresa de tamaño normal. Una tienda online con pedidos cada día necesita ir más deprisa.

¿Cómo actualizar WordPress sin romper la web?

Con una copia reciente hecha antes de empezar, actualizando por partes y comprobando la web después. La documentación de WordPress pide hacer copia antes de actualizar y comprobar que existe y que se puede usar: dice que sin una copia completa, volver atrás es casi imposible.

1. Haz una copia completa. Archivos y base de datos, y comprueba que el archivo está ahí y no pesa cero.
2. Lee qué cambia. En los plugins grandes, como un constructor de páginas o una tienda, mira las notas de la versión.
3. Prueba primero en una copia de la web si tu hosting te lo permite, sobre todo con cambios grandes.
4. Actualiza por partes. Primero los plugins pequeños, luego los grandes, después el tema y por último WordPress. Si algo falla, sabrás qué ha sido.
5. Vacía la caché. Si no, puedes estar viendo la versión antigua, o tus visitas una rota.
6. Comprueba lo que da dinero. Portada, una página de servicio, el móvil y un envío real del formulario.

Las actualizaciones automáticas ayudan, pero con matices. WordPress instala por defecto las versiones menores, que incluyen las de seguridad, y su documentación desaconseja desactivarlas. Con los plugins, automatizar los sencillos tiene sentido por lo poco que tarda un ataque; en los que sostienen la web, como el constructor o la tienda, muchos profesionales prefieren actualizar a mano y comprobar. En cualquier caso, automático no significa que nadie deba mirar: alguien tiene que notar si algo se ha roto.

¿Cómo saber si tus copias de seguridad sirven?

Solo hay una forma: restaurando una de prueba. Una copia que nunca se ha probado es una esperanza, no una copia. Tres reglas sencillas:

• Guárdala fuera de tu servidor. Si hackean la web o falla el hosting, una copia en el mismo sitio puede caer con ella. Usa un espacio aparte, como una nube o el almacenamiento de un plugin de copias.
• Que incluya archivos y base de datos. Los textos están en la base de datos y las imágenes, en los archivos. Con una de las dos partes no recuperas la web.
• Guarda varias, de fechas distintas. Un hackeo puede pasar semanas sin que lo veas, y entonces la copia de ayer también está infectada.

¿Qué señales indican que tu web está desatendida?

Plugins con actualizaciones pendientes desde hace meses, avisos en Salud del sitio y formularios que nadie ha probado. En cinco minutos puedes hacer esta revisión:

• El Escritorio muestra muchas actualizaciones pendientes, o hay plugins que llevan años sin novedades.
• Herramientas > Salud del sitio marca problemas críticos.
• Hay usuarios administradores que no reconoces. La guía de Google sobre webs hackeadas lo cita como señal de alerta, igual que las páginas nuevas sospechosas.
• Al buscar site:tudominio.com en Google aparecen páginas raras, productos que no vendes o textos en otro idioma.
• Search Console muestra algo en Problemas de seguridad.
• Nadie sabe quién tiene las claves de la web, del dominio o del hosting.
• Lo último del blog o del pie de página tiene varios años.

Si encuentras páginas raras o un administrador desconocido, trátalo como urgente. Cambia las contraseñas, pide ayuda a un profesional y no restaures a ciegas una copia antigua: hay que encontrar por dónde entraron para cerrar el agujero. Para una primera visión de cómo te ve internet, puedes pasar la ITVO, nuestra inspección de visibilidad, que no sustituye a una auditoría de seguridad.

¿Es mejor hacer el mantenimiento tú o delegarlo?

Hazlo tú si tu web es sencilla, tienes tiempo y sabes recuperarla; delégalo si te da miedo pulsar «Actualizar» o si la web te trae clientes. DreamHost plantea tres preguntas que nos parecen las buenas: si puedes gestionar las actualizaciones con confianza, cuánto te cuesta una hora con la web caída y si de verdad tienes ese tiempo.

En precio, DreamHost estimaba en septiembre de 2025 entre 50 y 100 dólares al mes para un servicio básico y de 300 a más de 1.000 para uno integral. Son cifras del propio autor y del mercado estadounidense, así que tómalas solo como orientación: lo importante es comparar qué incluye cada cuota.

¿Qué preguntar antes de contratar un mantenimiento web?

Pregunta qué pasa cuando algo se rompe, porque ahí es donde se separa un buen servicio de uno que solo pulsa botones. Estas son las preguntas que haríamos nosotros:

• ¿Hacéis copia antes de actualizar y dónde se guarda? ¿Habéis probado a restaurarla?
• Si me hackean, ¿la limpieza está incluida o se cobra aparte?
• ¿Comprobáis la web y los formularios después de cada actualización?
• ¿Los cambios de contenido entran en la cuota? ¿Cuántos, y cuánto tardáis?
• ¿Revisáis Search Console o solo la parte técnica?
• ¿Me enviáis un informe de lo que hacéis cada mes?
• Si me voy, ¿me quedo con todas las claves, y la web y el dominio son míos?
• ¿Hay permanencia?

Desconfía de quien te asegure que su web «no se puede hackear». Nadie puede prometer eso, y más cuando casi la mitad de los fallos del informe de Patchstack no tenían arreglo al hacerse públicos.

¿Cómo hacemos el mantenimiento web en Contenidon?

Va incluido en todos nuestros planes, junto con el contenido de tu web, tu ficha de Google y tus redes. Desde 89 € al mes + IVA, sin permanencia y con el alta gratuita. Para nosotros no tiene sentido escribir artículos en una web que nadie cuida.

Incluye actualizaciones comprobando que todo sigue funcionando, seguridad y monitorización, limpieza si te han hackeado, copias periódicas de la web y de la base de datos, velocidad, los cambios que hagan falta sin presupuesto por cada uno, restyling si la web se ha quedado anticuada, y revisión de indexación en Search Console. Lo tienes con detalle en nuestros planes y servicios, y aquí explicamos qué hacemos el primer mes, cuando dejamos la web a punto.

Dos de nuestros clientes lo cuentan mejor. Enrique de las Heras, de Making Luxury: «Nuestra web llevaba tiempo sin que nadie la actualizara y un día apareció hackeada. Contenidon la limpió, la puso al día y ahora la mantienen ellos. Por fin tengo a alguien que se ocupa de la web de verdad.» Cristina Wert, de Labbox: «La web funcionaba, pero nadie se ocupaba de ella: plugins sin actualizar, avisos de seguridad… Ahora está al día, con copias de seguridad, y no tengo que preocuparme.»

Y si prefieres hablar con alguien cerca, aquí tienes nuestra agencia en El Masnou.

Preguntas frecuentes sobre el mantenimiento web de WordPress

¿Qué incluye el mantenimiento de una web WordPress?

Actualizaciones de WordPress, plugins, tema y PHP; copias de seguridad; seguridad y vigilancia; velocidad; revisión de Search Console e indexación; y pequeños cambios de contenido. Conviene también comprobar que los formularios siguen llegando después de cada actualización.

¿Cada cuánto hay que actualizar WordPress?

Como orientación, revisa plugins y tema cada semana. Las versiones menores de WordPress, que incluyen las de seguridad, se instalan solas por defecto. En una tienda online o una web con mucha actividad conviene revisarlo más a menudo.

¿Qué pasa si no hago mantenimiento en mi web?

Puede seguir funcionando un tiempo, pero acumula riesgos: plugins con fallos conocidos, copias que no sirven, lentitud y formularios que dejan de llegar. El informe de Patchstack cuenta 11.334 vulnerabilidades nuevas en WordPress en 2025, el 91 % en plugins.

¿Cuánto cuesta el mantenimiento de una web WordPress?

Depende de lo que incluya. DreamHost estimaba en 2025 de 50 a 100 dólares al mes para un servicio básico y de 300 a más de 1.000 para uno integral, en el mercado estadounidense. En Contenidon va incluido en todos los planes, desde 89 € al mes + IVA.

¿Mi hosting ya hace el mantenimiento?

Normalmente no todo. Muchos hostings ofrecen copias y algo de seguridad, pero no comprueban tus plugins, tus formularios ni Search Console. En las pruebas de Patchstack, las defensas habituales del hosting bloquearon como mucho el 26 % de los ataques.