Mantenimiento web WordPress: qué incluye y cuánto cuesta en 2026

Eran las once de la mañana de un martes cuando recibí el mensaje de WhatsApp. Una empresa de servicios en Costa Adeje, nueve años en el mercado, con una web en WordPress que había costado más de tres mil euros hacer. El mensaje decía, literalmente: "Yeray, mi web ha desaparecido y Google dice que está infectada."

Entré al dominio desde mi ordenador. La pantalla estaba en blanco excepto por un aviso rojo de Chrome: "El sitio web contiene programas dañinos." En Google Search Console, la cuenta llevaba cuatro días mostrando la alerta de seguridad sin que nadie la hubiese visto porque el cliente no la había configurado. El hosting tenía backups, pero del servidor, no de la aplicación WordPress. El último backup útil de la web era de hacía once meses.

Lo que siguió fueron tres días de trabajo de limpieza, reconstrucción parcial de contenido, solicitud de revisión a Google y recuperación del posicionamiento que la web había tardado años en ganar. El coste para el cliente, entre el trabajo de forensics, la recuperación y el mes perdido de visibilidad, superó los cuatro mil euros. Todo eso por no tener un mantenimiento básico contratado, que habría costado menos de cien euros al mes.

Cuento esto porque es real. No es una historia de miedo inventada para venderte algo. Es uno de los muchos casos que he gestionado desde que trabajo con webs de negocios en Tenerife. Y el patrón se repite: web bien hecha, ningún mantenimiento, desastre evitable.

El mantenimiento de una web WordPress no es opcional si tu negocio depende de ella. Es una necesidad operativa básica, exactamente igual que el seguro de un coche. Nadie con dos dedos de frente conduce sin seguro. Pero muchos negocios tienen una web WordPress desprotegida, desactualizada y sin copia de seguridad desde hace meses.

Esta guía te explica qué incluye un mantenimiento profesional, qué no incluye, cuánto cuesta de verdad en Canarias en 2026, y cómo elegir entre hacerlo tú mismo o externalizarlo. Sin humo, con precios reales y criterios concretos.

Por qué WordPress necesita mantenimiento activo (y por qué no es opcional)

WordPress mueve el 43% de todos los sitios web del planeta. Ese dato suena impresionante hasta que añades el otro lado de la ecuación: también es el CMS más atacado del mundo, por exactamente la misma razón. La popularidad lo convierte en el objetivo número uno de los bots automatizados que escanean internet en busca de versiones vulnerables de plugins o temas conocidos.

No hablo de hackers con capucha que eligen tu web específicamente. Hablo de scripts automatizados que en cuestión de horas barren millones de dominios buscando versiones conocidas de plugins con vulnerabilidades publicadas. Si tu plugin de contacto tiene una vulnerabilidad reportada en la versión 3.2.1 y tú sigues usando la 3.2.0, eres un objetivo. No porque seas importante o tengas datos valiosos, sino porque estás en la lista de versiones vulnerables que el bot tiene programada.

El 90% de los hackeos de WordPress se producen a través de plugins o temas desactualizados. No es una estadística que me haya inventado: es el dato que manejan empresas de seguridad como Wordfence, que gestiona millones de instalaciones de WordPress y publica informes periódicos de amenazas. La vulnerabilidad más explotada en un año dado no suele ser ningún zero-day sofisticado: es un plugin con una vulnerabilidad parchada que millones de instalaciones de WordPress todavía no han actualizado.

Hay otro problema que se ve menos pero que destruye igual: la acumulación tecnológica. WordPress es software vivo. El núcleo de WordPress se actualiza. Los plugins se actualizan. Los temas se actualizan. El servidor de hosting actualiza su entorno. PHP 7.4 ya no recibe soporte desde hace años. PHP 8.0 y 8.1 están en fin de vida. PHP 8.2 y 8.3 son los estándares actuales. Una web que lleva dos años sin revisión puede estar corriendo sobre una versión de PHP obsoleta que el hosting dejará de soportar, o que ya no es compatible con los plugins más recientes.

Vi este problema de primera mano con una empresa de servicios turísticos en Los Cristianos. Habían hecho su web en 2021, con PHP 7.4 y una versión de WordPress de la época. En 2024, el hosting decidió retirar PHP 7.4 y actualizar automáticamente los servidores a PHP 8.1. La web dejó de funcionar de un día para otro porque varios plugins críticos no eran compatibles con PHP 8.1. No había nadie monitorizando, no había backups recientes, y la empresa perdió tres semanas de visibilidad en plena temporada turística.

El mantenimiento activo previene exactamente estos escenarios. No es una garantía de infalibilidad, pero sí es la diferencia entre detectar un problema antes de que ocurra o después de que ya haya hecho daño.

La analogía del seguro del coche: por qué la metáfora es perfecta

Cuando le digo a un cliente que el mantenimiento web es como el seguro del coche, suele haber un momento de silencio. Y luego: "Sí, pero mi web no mata a nadie si falla."

Verdad. Pero considera lo siguiente. Cuando tu coche está en perfecto estado de mantenimiento y con seguro a todo riesgo, prácticamente nunca piensas en ello. Cuando tienes un accidente sin seguro o cuando el motor revienta porque nadie ha mirado el aceite en tres años, de repente el coste de haberse ahorrado el mantenimiento queda en ridículo frente al coste de la reparación.

Con una web es igual. El mantenimiento mensual es invisible cuando funciona. Solo se vuelve visible cuando no existe y algo sale mal. Y cuando algo sale mal con una web WordPress sin mantenimiento, los costes son predecibles: recuperación de hackeo (500-2.000€ si el proveedor cobra por horas), reconstrucción de contenido perdido (irremplazable si no hay backups), caída de posicionamiento SEO que puede tardar meses en recuperarse, y la reputación dañada frente a clientes que llegan a tu web durante el periodo de crisis.

Hay otra parte de la analogía que también vale: igual que el seguro del coche tiene franquicias y coberturas distintas, el mantenimiento web tiene niveles. No es lo mismo un coche aparcado en un garaje privado que uno que hace 50.000 km anuales en autopista. No es lo mismo una web corporativa con cuatro páginas estáticas que una tienda WooCommerce procesando pedidos a todas horas.

El nivel de mantenimiento que necesitas depende de lo que hay en juego si tu web falla.

Qué incluye un buen mantenimiento web WordPress

Un servicio de mantenimiento profesional debería cubrir estas áreas. Te las explico una por una porque quiero que entiendas qué significa cada cosa y por qué importa, no solo que recites la lista cuando hables con un proveedor.

Actualizaciones controladas del core, plugins y tema

La actualización del núcleo de WordPress, los plugins instalados y el tema activo es la base del mantenimiento. Pero hay una palabra que marca la diferencia entre un mantenimiento amateur y uno profesional: "controladas."

Actualizar a ciegas es tan peligroso como no actualizar. El proceso correcto es:

1. Backup completo del sitio antes de cualquier actualización, incluyendo base de datos y todos los archivos.
2. Revisión previa del changelog de cada plugin y del core para identificar cambios que puedan afectar la compatibilidad.
3. Actualización en entorno de staging —una copia exacta de la web en un servidor de pruebas— si el sitio es crítico.
4. Verificación manual de que el sitio funciona correctamente después de la actualización: formularios, pasarelas de pago, integraciones externas, rendimiento.
5. Restauración del backup si algo falla, sin discusión.

Para webs con mucho tráfico o tiendas online, las actualizaciones deberían hacerse fuera de las horas de mayor actividad. En Canarias, si tienes una tienda con clientes de la Península o del norte de Europa, hay que tener en cuenta las franjas horarias.

Una cosa que me preguntan mucho: "¿No es suficiente con activar las actualizaciones automáticas de WordPress?" No. WordPress permite activar actualizaciones automáticas del core para versiones menores de seguridad, pero los plugins no se actualizan automáticamente por defecto. Y aunque lo hicieran, la actualización sin verificación posterior es exactamente el escenario que puede tumbar una web. He visto actualizaciones automáticas de plugins que rompieron el diseño completo de la web porque el plugin era incompatible con la versión del tema activo.

Copias de seguridad en dos ubicaciones

Los backups son el elemento más crítico del mantenimiento y el más frecuentemente ignorado. La conversación que me indica que un cliente tiene un problema es esta: "Sí, mi hosting hace backups." Y luego: "¿Puedes acceder a ellos tú mismo? ¿Sabes cuántos días retienen? ¿Los has restaurado alguna vez para verificar que funcionan?"

Silencio.

Un backup útil tiene estas características:

• Frecuencia adecuada al negocio: diaria para tiendas online o webs con contenido que cambia con frecuencia; semanal como mínimo para webs corporativas con poco cambio de contenido.
• Dos ubicaciones independientes: el backup en el mismo servidor que la web es inútil si el servidor falla, es hackeado o el hosting cancela tu cuenta por impago o error administrativo. Los backups deben ir a al menos un almacenamiento externo: Amazon S3, Google Drive, Backblaze, Dropbox o similar.
• Verificación periódica de integridad: no basta con que el backup se ejecute. Hay que verificar periódicamente que el backup es completo y que puede restaurarse. Un backup corrupto es tan útil como no tener backup.
• Retención suficiente: mínimo 30 días de historial. Si tu web es comprometida y no lo descubres inmediatamente —lo cual es habitual— necesitas poder restaurar a una fecha anterior al compromiso. Con solo 7 días de retención, si el hackeo lleva 10 días activo, no tienes a dónde volver.

Herramientas estándar para backups en WordPress: UpdraftPlus (la más popular, con versión gratuita funcional y premium con más opciones), BackupBuddy, y ManageWP (plataforma de gestión de múltiples sitios que incluye backups entre sus funciones).

La pregunta que deberías hacerle a cualquier proveedor de mantenimiento antes de firmar: "¿Dónde van los backups, cuánta retención tienen, y cuánto tardas en restaurarlos si los necesito mañana a primera hora?"

Monitorización de seguridad y WAF

Un escáner de malware activo que detecte código malicioso inyectado, archivos modificados sin autorización o backdoors instalados. Las herramientas estándar son Wordfence, Sucuri o iThemes Security. Wordfence es la más extendida: tiene un firewall a nivel de aplicación (WAF), un escáner de malware, y alertas en tiempo real cuando detecta actividad sospechosa.

El WAF (Web Application Firewall) merece una mención especial porque es la diferencia entre detener un ataque antes de que llegue a WordPress o tener que limpiarlo después. Un WAF bien configurado bloquea intentos de inyección SQL, ataques XSS, intentos de login por fuerza bruta y exploits de plugins conocidos antes de que el código malicioso llegue a ejecutarse en tu WordPress.

La monitorización de seguridad también incluye:

• Verificar que la web no está en listas negras de Google Safe Browsing, que es lo que provoca el aviso rojo de Chrome que mencioné al principio.
• Verificar que el dominio no está blacklisteado en filtros de spam de email, lo que afectaría a la capacidad de envío de formularios y correos transaccionales.
• Revisar los logs de acceso del servidor para detectar patrones de actividad inusual: intentos masivos de login, acceso a rutas inusuales, picos de tráfico desde rangos de IP sospechosos.
• Vigilar que no haya usuarios administradores creados sin autorización (una señal clásica de compromiso).

Monitorización de uptime 24/7

Saber si tu web está caída antes de que un cliente te llame para decírtelo. Parece básico, pero la mayoría de webs de negocios en Tenerife no tienen ningún tipo de monitorización de uptime.

Herramientas como UptimeRobot (tiene plan gratuito con verificación cada 5 minutos), Pingdom o Better Uptime envían una alerta por email o SMS en cuestión de minutos si la web deja de responder. Sin monitorización, puedes estar caído 8, 12 o 24 horas antes de que te enteres porque un cliente decide llamarte en lugar de abandonar y buscar a tu competencia.

Cada hora de caída tiene un coste. Para una tienda WooCommerce con un ticket medio de 80€ y 10 pedidos diarios, una caída de 8 horas a mitad del día puede representar más de 250€ en ventas perdidas, sin contar el daño de reputación y el posicionamiento afectado.

La monitorización de rendimiento complementa el uptime: tiempos de carga, errores en consola, errores de PHP en los logs. Muchos problemas de rendimiento son silenciosos: la web funciona pero más lenta de lo que debería, lo que afecta al SEO y a la experiencia del usuario. Una web que pasó de cargar en 1,8 segundos a cargar en 4,2 segundos sin que nadie lo detecte puede perder posiciones en Google en semanas.

Optimización de base de datos y Core Web Vitals

Con el tiempo, las webs WordPress acumulan basura que ralentiza todo el sistema. La base de datos guarda revisiones de posts (WordPress guarda cada borrador automático), datos de plugins desinstalados que nadie limpió, transientes caducados que llenan la tabla wp_options, datos de sesiones antiguas. Todo eso pesa.

Una base de datos de WordPress bien mantenida debería limpiarse periódicamente: eliminar revisiones antiguas (manteniendo solo las últimas 3-5), limpiar transientes caducados, optimizar las tablas para reducir fragmentación. El impacto en velocidad de una limpieza bien hecha en una base de datos que lleva dos años sin mantenimiento puede ser notable: reducciones de 20-40% en el tiempo de respuesta de la base de datos.

La optimización de velocidad web y Core Web Vitals va más allá de la base de datos. Incluye verificar la configuración de caché (WP Rocket, W3 Total Cache, LiteSpeed Cache según el hosting), optimización de imágenes (conversión a WebP, compresión sin pérdida de calidad), carga diferida de imágenes y scripts, y eliminación de plugins que añaden peso sin aportar valor real.

Google evalúa la experiencia de usuario a través de los Core Web Vitals: LCP (tiempo de carga del elemento principal), INP (respuesta a la interacción del usuario) y CLS (estabilidad visual). Una web con Core Web Vitals deficientes tiene una desventaja de posicionamiento directa frente a competidores con mejor rendimiento técnico.

Gestión del SSL y revisión de estado

El certificado SSL (el candado HTTPS que ves en la barra del navegador) caduca. Let's Encrypt caduca cada 90 días. Los certificados de pago, generalmente cada año. Si caduca, todos los navegadores modernos muestran un aviso de "Conexión no segura" antes de que el usuario llegue a tu web. Es una barrera que ahuyenta al 85% de los visitantes y que Google penaliza activamente.

La renovación automática de Let's Encrypt debería estar configurada, pero falla más veces de lo que la gente cree: cambios en la configuración del servidor, migraciones de hosting, errores de DNS. El mantenimiento regular incluye verificar periódicamente que el certificado está activo, válido y con suficiente margen antes de la renovación.

Además del SSL, la revisión mensual debería incluir verificar que las cabeceras de seguridad HTTP están correctamente configuradas: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options. Son detalles técnicos que la mayoría de usuarios no ven pero que los escáneres de seguridad y Google sí evalúan.

Soporte técnico y pequeños cambios de contenido

Un buen plan de mantenimiento incluye un banco de horas mensual para atender peticiones pequeñas sin necesidad de presupuestar cada una por separado. Cambiar un texto, actualizar un precio, añadir una foto al portfolio, corregir un enlace roto: estas tareas menores son las que más interrumpen el trabajo de un negocio cuando no hay nadie a quien llamar directamente.

El tiempo de respuesta garantizado es una variable crítica que hay que preguntar antes de contratar. Para un problema crítico (web caída, hackeo activo), 4 horas es el máximo aceptable. Para cambios de contenido o actualizaciones no urgentes, 24-48 horas es razonable. Un proveedor que no puede comprometerse con tiempos de respuesta no debería gestionar la web de un negocio que depende de ella.

Lo que el mantenimiento estándar NO incluye

Esto es igual de importante que saber qué incluye, porque muchos contratos de mantenimiento tienen letra pequeña que genera conflictos después.

Diseño y maquetación nueva: los cambios visuales en el diseño de la web, la creación de nuevas secciones o el rediseño de páginas existentes no son mantenimiento. Son desarrollo web, que se presupuesta aparte por horas o por proyecto. El banco de horas del mantenimiento está para cambios de contenido menores, no para proyectos de desarrollo.

Creación de contenido: escribir posts de blog, actualizar textos de servicio, crear fichas de producto en WooCommerce. El mantenimiento técnico mantiene el sistema funcionando; la creación de contenido es un servicio separado de marketing o copywriting.

Estrategia SEO activa: el mantenimiento técnico garantiza que la web está en condiciones de posicionar bien —sin errores técnicos, con buena velocidad, con el SSL activo—. Pero la estrategia de palabras clave, la creación de contenido optimizado, el link building y la gestión de Google Business Profile son servicios de SEO separados.

Modificaciones de funcionalidad: añadir un sistema de reservas, integrar una nueva pasarela de pago, crear un portal de clientes, añadir un módulo de suscripciones. Cualquier desarrollo nuevo que añada funcionalidad a la web va aparte del mantenimiento.

Recuperación de hackeos previos: si la web ya está comprometida cuando contratas el mantenimiento, la recuperación es un trabajo separado. El mantenimiento previene el hackeo; limpiar un sitio ya infectado requiere forensics, limpieza de código malicioso, verificación de que no hay puertas traseras ocultas y solicitud de revisión a Google. Ese trabajo puede costar entre 500 y 2.000€ dependiendo de la extensión del compromiso.

Migración de hosting: cambiar la web de un servidor a otro no es mantenimiento. Es una migración con sus propios riesgos, pruebas y procesos.

Rediseño por nueva versión de PHP: si tu web necesita ser reescrita parcialmente porque su código no es compatible con la versión de PHP actual, eso es desarrollo, no mantenimiento. El mantenimiento puede detectar el problema; solucionarlo puede requerir trabajo adicional.

Hosting y mantenimiento: qué cubre uno y qué cubre el otro

Una confusión frecuente: "Mi hosting ya incluye backups y seguridad, ¿para qué necesito mantenimiento aparte?"

El hosting gestiona el servidor. El mantenimiento gestiona WordPress y todo lo que corre sobre él. Son capas distintas.

Lo que un hosting como Raiola Networks, SiteGround, Webempresa o un servidor propio en cPanel generalmente incluye:

• Backups del servidor (copia de todo el sistema, no específica de WordPress)
• Actualizaciones del sistema operativo del servidor
• Seguridad a nivel de red y servidor
• Soporte técnico para problemas del servidor

Lo que el hosting generalmente NO incluye:

• Actualizaciones de WordPress, plugins y temas
• Monitorización de que WordPress funciona correctamente
• Verificación de que los formularios, pasarelas de pago y funciones críticas de WordPress funcionan
• Escaneo de malware específico de WordPress
• Optimización de la base de datos de WordPress
• Soporte cuando un plugin hace que la web se rompa

Dicho esto, hay diferencias entre tipos de hosting que afectan a lo que necesitas del mantenimiento:

Hosting compartido estándar (cPanel): el más económico y el que requiere más mantenimiento externo. El proveedor no toca tu WordPress. Tú eres responsable de todo lo que corre sobre el servidor.

Hosting managed WordPress (como WP Engine, Kinsta, o el servicio managed de SiteGround o Raiola): incluye algunas funciones de mantenimiento: actualizaciones automáticas del core, backups diarios con retención, firewall a nivel de servidor específico para WordPress. Reducen pero no eliminan la necesidad de mantenimiento externo, especialmente para actualizaciones controladas de plugins, verificaciones de compatibilidad y soporte de urgencias específico de WordPress.

Si estás pensando en cambiar el diseño de tu web o migrar de proveedor de hosting, ese es el momento ideal para poner en marcha un plan de mantenimiento al mismo tiempo.

Planes y precios de mantenimiento web en Canarias

Los precios que voy a darte son rangos reales del mercado en 2026, basados en lo que cobran tanto agencias locales en Tenerife como proveedores de mantenimiento especializados a nivel nacional. No son precios inventados para quedar bien: son los que me encuentro cuando comparo ofertas del mercado.

Plan	Precio mensual	Horas incluidas	Qué incluye
Básico	30-80€/mes	0-1h	Actualizaciones manuales mensuales, backup semanal en hosting, monitorización uptime básica, revisión SSL. Sin soporte urgencias.
Estándar	80-200€/mes	1-3h	Todo el básico + backup diario en ubicación remota, escáner de malware semanal, WAF activo, revisión velocidad mensual, soporte 48h laborables.
Premium	200-500€/mes	3-6h	Todo el estándar + staging para pruebas, monitorización proactiva, soporte urgencias 4h, informes mensuales, optimización CWV, pequeños cambios de contenido.
Tienda WooCommerce	300-800€/mes	4-8h	Todo el premium + backups cada 4-6h, pruebas de cadena de pago, compatibilidad RGPD, análisis de logs de transacciones.
Por horas (sin contrato)	60-120€/hora	Variable	Intervenciones puntuales bajo demanda. Sin monitorización continua.

Algunas aclaraciones sobre la tabla:

El plan básico tiene sentido para una web informativa de una empresa pequeña que no depende de la web para generar leads. Una web de un electricista en La Laguna que tiene su teléfono y tres páginas de servicios puede estar bien cubierta con un plan básico.

El plan estándar es el mínimo razonable para cualquier empresa que usa su web como canal de captación activo. Si tienes un formulario de contacto que genera leads, si tienes un blog activo, si dependes del posicionamiento en Google para que te encuentren, el estándar es tu punto de entrada.

El plan premium tiene sentido para empresas cuya web es un activo crítico del negocio: una clínica, un despacho de abogados con reservas online, una empresa de servicios con cotizador online. Empresas donde una caída de cuatro horas tiene un coste medible en euros.

El plan WooCommerce es una categoría aparte porque una tienda online tiene requerimientos completamente distintos a una web corporativa. El ritmo de actualizaciones, la criticidad de los backups y la necesidad de verificar continuamente que el proceso de compra funciona lo justifican.

La opción por horas es la más cara a largo plazo y la que ofrece menos protección real, porque sin monitorización continua los problemas no se detectan hasta que el cliente los reporta.

Para contexto: el coste de diseño web en Tenerife suele estar entre 1.500 y 8.000€ por un proyecto completo. El mantenimiento anual de ese activo, incluso en el plan estándar, representa entre el 6% y el 15% del coste inicial. Es una inversión razonable para proteger lo que ya gastaste.

DIY vs agencia: cuándo tiene sentido hacer el mantenimiento tú mismo

La respuesta corta: puedes hacer el mantenimiento básico tú mismo si tienes tiempo y disposición a aprender. La pregunta real es si ese tiempo tiene un uso mejor.

Lo que puedes hacer tú sin ser técnico:

• Instalar y configurar UpdraftPlus para backups automáticos con almacenamiento en Google Drive o Dropbox. Hay tutoriales en YouTube que lo explican en 20 minutos.
• Actualizar WordPress, plugins y temas desde el panel de administración, siempre después de hacer un backup manual.
• Instalar Wordfence en su versión gratuita para tener un escáner básico de malware y firewall.
• Configurar UptimeRobot (gratuito) para recibir alertas cuando la web caiga.
• Verificar mensualmente que el SSL está activo y vigente.

Lo que es más difícil de hacer sin experiencia técnica:

• Gestionar incompatibilidades entre actualizaciones de plugins cuando rompen algo.
• Diagnosticar y resolver un hackeo o una inyección de código malicioso.
• Optimizar la base de datos y la caché correctamente.
• Configurar un WAF a nivel de servidor o mediante Cloudflare.
• Leer los logs del servidor para detectar actividad sospechosa.
• Mantener un entorno de staging para probar actualizaciones antes de aplicarlas en producción.

El tiempo necesario para hacer el mantenimiento bien —con backups verificados, actualizaciones controladas, monitorización activa— es de 3-6 horas al mes para una web de complejidad media. Para una tienda WooCommerce, más. Para muchos propietarios de negocios en Tenerife, ese tiempo tiene un coste de oportunidad alto: son horas que podrías estar atendiendo clientes, haciendo presupuestos o gestionando tu negocio.

Una opción intermedia que funciona bien para negocios con presupuesto ajustado: contrata un plan básico de mantenimiento con una agencia para cubrir las cosas que no puedes gestionar tú (actualizaciones de emergencia, recuperación de problemas críticos, optimización técnica), y gestiona tú los backups y las actualizaciones de contenido menor.

Herramientas que usamos para el mantenimiento de WordPress

Por transparencia, estas son las herramientas que usamos en el día a día para gestionar el mantenimiento de webs WordPress de clientes:

ManageWP: plataforma de gestión centralizada que permite gestionar múltiples webs de WordPress desde un solo panel. Incluye backups, actualizaciones en lote, monitorización de seguridad, informes de rendimiento y verificación de uptime. Es la columna vertebral de la gestión de múltiples sitios.

UpdraftPlus Premium: para backups de sitios individuales con configuraciones específicas. La versión premium añade almacenamiento en S3, encriptación de backups, y la opción de backup incremental (solo guarda los cambios desde el último backup, lo que reduce el tamaño y el tiempo).

Wordfence: firewall y escáner de malware para WordPress. La versión gratuita es funcional para protección básica; la versión premium actualiza las reglas del firewall en tiempo real (la gratuita tiene 30 días de retraso) y añade lista negra de IPs en tiempo real.

UptimeRobot: monitorización de uptime con verificación cada 5 minutos en el plan gratuito. Envía alertas por email, SMS o Slack cuando la web cae. Simple, fiable, y el plan gratuito es más que suficiente para la mayoría de sitios.

WP Rocket: plugin de caché y optimización de rendimiento. No es gratuito (49$/año por licencia para un sitio), pero es el mejor en su categoría y la configuración correcta puede mejorar el LCP en un 30-50% en webs con problemas de velocidad. La alternativa gratuita más completa es LiteSpeed Cache, pero requiere hosting con LiteSpeed para funcionar al máximo potencial.

Cloudflare: red de distribución de contenido (CDN) y WAF gratuito. El plan gratuito de Cloudflare ofrece protección DDoS básica, CDN global, y un proxy que oculta la IP real del servidor. Para webs en Tenerife con visitantes de la Península o del norte de Europa, el CDN de Cloudflare reduce los tiempos de carga para esos visitantes al servir el contenido desde servidores más cercanos.

Mantenimiento web para WooCommerce: un nivel distinto

Las tiendas online con WooCommerce tienen requerimientos que van más allá del mantenimiento estándar de WordPress. No porque sean más complicadas de mantener técnicamente, sino porque el coste de un fallo es inmediato y medible en euros.

Backups más frecuentes y con más retención: una tienda puede recibir pedidos en cualquier momento del día. Los backups deberían ser al menos diarios, idealmente cada 4-6 horas si el volumen lo justifica, y la retención debería ser de al menos 30-60 días. Si hay una discrepancia entre los pedidos en la tienda y los pedidos en el sistema de gestión, necesitas poder reconstruir qué pasó a nivel de base de datos.

Pruebas periódicas de la cadena de pago: verificar que el proceso de compra funciona de principio a fin, con una transacción de prueba real (muchas pasarelas de pago tienen modo sandbox para esto). Un fallo en la pasarela no siempre genera un error visible al usuario: a veces el carrito simplemente no procesa sin ningún mensaje de error claro. Sin verificaciones periódicas, un fallo puede estar activo días antes de que alguien se queje.

Actualizaciones de WooCommerce con más cuidado: WooCommerce tiene dependencias complejas con plugins de pasarelas de pago (Redsys, Stripe, PayPal), gestión de envíos (Correios, SEUR, MRW), facturación y fiscalidad. Las actualizaciones de WooCommerce pueden romper estas integraciones si no se prueban antes en staging.

Compatibilidad con RGPD y ley de cookies: revisión periódica de que los formularios de registro, el rastreo analítico y la gestión de datos personales cumplen con la normativa vigente. Las multas de la AEPD por incumplimiento del RGPD no tienen un mínimo bajo: pueden ser significativas incluso para pymes.

Monitorización de errores de transacción: revisar los logs de WooCommerce regularmente para detectar pedidos que no completaron el pago, errores de integración con la pasarela o problemas de stock que generan errores silenciosos.

Para tiendas en Tenerife que generan más de 5-10 pedidos al día, el coste del mantenimiento completo de WooCommerce está justificado desde el primer mes. Una sola caída de 24 horas en temporada alta puede superar el coste de un año de mantenimiento.

Riesgos reales de no hacer mantenimiento: lo que he visto pasar

He gestionado suficientes situaciones de crisis como para tener una lista clara de lo que ocurre cuando una web WordPress no se mantiene. No son hipótesis: son cosas que he visto de primera mano con negocios en Tenerife y Canarias.

El hackeo silencioso: el más peligroso porque pasa desapercibido durante semanas o meses. El atacante no tumba la web: inyecta código para enviar spam desde tu dominio, redirigir a los visitantes a webs fraudulentas en ciertos navegadores, o minar criptomonedas usando los recursos de tu servidor. Mientras tanto, tu web "funciona" para ti cuando la visitas, pero Google lleva semanas registrando el comportamiento fraudulento y penalizándote en el índice.

La pantalla blanca de la muerte: una actualización de plugin incompatible con el tema o con PHP provoca un error fatal que muestra una pantalla en blanco o un error 500. Sin backup reciente, la única opción es intentar reparar el problema en producción o reconstruir desde cero. He visto esto costar más de dos días de trabajo a empresas que no tenían backup.

La pérdida de datos irreemplazable: el proveedor de hosting cambia de política, cancela la cuenta por impago de un mes, o simplemente el disco duro del servidor falla. Si los únicos backups eran los del hosting y esos también se perdieron (lo cual pasa), años de contenido, configuraciones, pedidos e imágenes desaparecen.

La caída de SEO post-hackeo: incluso después de limpiar un hackeo, recuperar el posicionamiento que Google penalizó puede tardar 2-4 meses. Para una empresa que dependía de su tráfico orgánico para generar leads, eso son meses de ingresos reducidos mientras Google procesa la revisión de seguridad y re-indexa el sitio como limpio.

El SSL caducado en temporada alta: un SSL caducado en plena temporada turística para un negocio del sur de Tenerife. Todos los navegadores muestran la advertencia. Los visitantes abandonan. Las llamadas directas caen. Y la renovación, que debería tomar 10 minutos con renovación automática configurada, se convierte en una urgencia un sábado por la mañana porque nadie estaba monitorizando.

Señales de que tu web necesita mantenimiento urgente ahora mismo

Si tienes alguna de estas situaciones, actúa esta semana. No el mes que viene. Esta semana.

• La última actualización de WordPress o de plugins fue hace más de tres meses.
• No sabes si tienes backups ni dónde están almacenados.
• La web está en HTTP (sin el candado SSL).
• La web tarda más de cuatro segundos en cargar en móvil (compruébalo en pagespeed.web.dev).
• Hay plugins desactivados pero no eliminados en el listado de plugins.
• Hay plugins que el repositorio de WordPress marca como "no testeados con las últimas versiones" hace más de dos años.
• Has recibido alertas de Google Search Console sobre problemas de seguridad o de experiencia de usuario.
• Tu hosting ha cambiado la versión de PHP y no sabes si tu web es compatible.
• Has visto en los logs un pico inusual de tráfico desde IPs extranjeras.
• Google Search Console muestra páginas con errores de rastreo que llevan meses sin resolverse.

Preguntas frecuentes sobre mantenimiento WordPress

¿Puedo hacer el mantenimiento de WordPress yo mismo?

Sí, técnicamente. Las actualizaciones básicas, los backups con UpdraftPlus y la monitorización con UptimeRobot están al alcance de cualquier usuario con disposición a aprender. El problema es el tiempo: hacerlo bien —con backups verificados, actualizaciones controladas, revisión de logs— son entre 3 y 6 horas al mes para una web de complejidad media. Para muchos propietarios de negocios, ese tiempo tiene un mejor uso. Si decides hacerlo tú, sé disciplinado: un sistema de mantenimiento que se hace cuando te acuerdas no es un sistema de mantenimiento.

¿Qué pasa si no hago mantenimiento durante seis meses?

El riesgo aumenta de forma no lineal. Los primeros dos meses sin actualizar, el riesgo es bajo. A los cuatro meses, los plugins sin actualizar tienen vulnerabilidades conocidas públicamente que los bots ya están explotando. A los seis meses, hay una probabilidad significativa de que la web esté comprometida o funcionando con incompatibilidades de PHP que están degradando el rendimiento. La base de datos ha crecido sin optimización. El SSL puede haber caducado. Y si algo falla a partir de ese punto, sin backups recientes puede perderse trabajo que no tiene recuperación.

¿El hosting ya incluye el mantenimiento de WordPress?

No, aunque algunos hostings managed de WordPress (WP Engine, Kinsta, Flywheel) incluyen funciones que se solapan parcialmente. El hosting gestiona el servidor. El mantenimiento de WordPress gestiona la aplicación que corre sobre ese servidor. Son responsabilidades distintas. Raiola Networks, SiteGround y Webempresa —los más usados entre nuestros clientes en Canarias— ofrecen backups del servidor y seguridad a nivel de infraestructura, pero las actualizaciones, la compatibilidad de plugins y la optimización de WordPress son responsabilidad del propietario del sitio.

¿Cada cuánto hay que actualizar WordPress y los plugins?

Las actualizaciones de seguridad menores del core de WordPress (de 6.7.1 a 6.7.2, por ejemplo) deberían aplicarse en cuanto salen, idealmente en la primera semana. Las actualizaciones mayores (de 6.7 a 6.8) requieren más pruebas y pueden esperar 1-2 semanas para que la comunidad reporte incompatibilidades. Los plugins deberían revisarse semanalmente. Los temas, con cada actualización mayor de WordPress para verificar compatibilidad.

¿El mantenimiento web mejora el SEO?

Sí, de forma directa y medible. La velocidad de carga (Core Web Vitals), la ausencia de errores 404, el SSL activo, la ausencia de malware y el código limpio son factores técnicos de SEO. Una web técnicamente sana posiciona mejor que una web con problemas acumulados, independientemente de la calidad del contenido. He visto webs recuperar posiciones perdidas únicamente por limpiar errores técnicos que llevaban meses acumulados.

¿Qué diferencia hay entre mantenimiento básico y mantenimiento premium?

La diferencia principal es la proactividad. Un mantenimiento básico reacciona cuando algo falla. Un mantenimiento premium detecta los problemas antes de que lleguen a afectar al funcionamiento del sitio: monitorización continua, revisiones proactivas, informes mensuales del estado técnico, staging para pruebas previas a actualizaciones críticas. Para la mayoría de negocios en Tenerife, el estándar es el equilibrio correcto entre cobertura y coste.

¿Qué pasa si tengo un hackeo y no tengo mantenimiento contratado?

Lo primero es contener el daño: aislar el sitio (muchos hostings permiten poner la web en mantenimiento o bajarla temporalmente), notificar al hosting para que revisen el servidor, y hacer una copia de lo que hay aunque esté comprometido (para forensics). Después viene la limpieza: eliminar el malware, verificar que no hay puertas traseras, actualizar todo, cambiar todas las contraseñas. Y finalmente, solicitar revisión a Google si el sitio estaba en listas negras. El coste total de ese proceso, facturado por horas, suele superar varios años de mantenimiento preventivo.

¿Cuánto tiempo lleva configurar un plan de mantenimiento desde cero?

Para una web existente, la configuración inicial —instalar y configurar las herramientas de backup, seguridad y monitorización, hacer la auditoría del estado actual, resolver los problemas más urgentes— lleva entre 2 y 4 horas dependiendo del estado de la web. Es trabajo que se hace una vez. Después, el mantenimiento mensual continúa de forma sistemática. Si la web tiene problemas técnicos previos (plugins obsoletos, PHP desactualizado, base de datos sin optimizar), la configuración inicial puede llevar más tiempo.

Qué preguntar antes de contratar un servicio de mantenimiento web

Antes de firmar cualquier contrato de mantenimiento, estas son las preguntas que debes hacer. Un proveedor serio responde todas sin dudar:

1. ¿Con qué frecuencia se hacen los backups y dónde se almacenan exactamente? ¿Son en el mismo servidor o en una ubicación externa?
2. ¿Cuánta retención tienen los backups? ¿30 días, 60 días, más?
3. ¿Puedes restaurar un backup tú mismo o tienes que esperar a que lo hagan ellos? ¿En cuánto tiempo?
4. ¿Cuál es el tiempo de respuesta garantizado ante un problema crítico (web caída, hackeo activo)?
5. ¿Se incluye un entorno de staging para probar actualizaciones antes de aplicarlas en producción?
6. ¿Las actualizaciones se hacen automáticamente o hay revisión manual previa? ¿Quién verifica que todo funciona después de la actualización?
7. ¿Qué pasa si una actualización rompe algo? ¿Está incluida la restauración en el contrato o se cobra aparte?
8. ¿Hay informes mensuales del estado de la web? ¿Qué incluyen?
9. ¿Qué herramientas usan para la seguridad? ¿Hay WAF activo?
10. ¿Qué pasa al final del contrato? ¿Puedo llevarme el acceso a todas las herramientas configuradas o quedan en manos de la agencia?

La pregunta número diez es la que más gente olvida hacer y la que más conflictos genera al cambiar de proveedor. Asegúrate de que tienes acceso propio al hosting, al panel de WordPress, a Google Search Console y a Google Analytics independientemente de quién gestione el mantenimiento.

Cómo empezar si llevas tiempo sin mantenimiento

Si llevas meses sin revisar tu web WordPress —o si nunca has tenido mantenimiento contratado— el punto de partida no es contratar inmediatamente un plan mensual. El primer paso es conocer el estado real de tu web.

Una auditoría básica que puedes hacer tú mismo en menos de una hora:

Entra a tu WordPress y ve a Escritorio > Actualizaciones. Cuántas actualizaciones pendientes hay. Si hay más de 5, el riesgo de incompatibilidad al actualizar todo de golpe es real.

Verifica el estado del SSL. Entra a tu web en Chrome. Si no hay candado HTTPS en la barra del navegador, hay un problema urgente.

Comprueba la velocidad en pagespeed.web.dev. Escribe tu URL y mira el score en móvil. Por debajo de 50 es deficiente. Entre 50 y 90 necesita mejoras. Por encima de 90 es bueno.

Verifica si tienes Google Search Console configurado. Si no lo tienes, es lo primero que debes hacer: es gratuito, es de Google, y es la fuente de datos más fiable sobre cómo ve Google tu web.

Intenta localizar tus backups. Pregunta a tu hosting cuándo fue el último backup, cuánto retienen y cómo puedes restaurarlo si lo necesitas.

Con esa información tienes una foto del estado real de tu web. Desde ahí, puedes decidir si lo que necesitas es configurar las herramientas básicas tú mismo o contratar a alguien para que ponga todo en orden.

---

Si tienes una web WordPress que lleva tiempo sin revisión, que ha tenido algún problema de seguridad o que simplemente no sabes en qué estado está, escríbenos y te hacemos una revisión gratuita del estado técnico. Te decimos exactamente qué hay que priorizar, cuánto debería costar arreglarlo, y si tiene sentido que lo gestiones tú o externalizarlo. Sin compromiso y sin venderte lo que no necesitas.