En 2025 se publicaron 11.334 vulnerabilidades nuevas en el ecosistema de WordPress, un 42 % más que el año anterior: el 91 % estaban en plugins y seis en el núcleo de WordPress (Patchstack, State of WordPress Security in 2026). Dicho de otra forma: una web no se rompe por la tecnología que eligió, se rompe por la cantidad de piezas que le fuimos enchufando encima. Y cada pieza te manda una factura mensual que no se paga en euros, se paga en atención. Aquí está esa factura desglosada por tipo de web, con lo que hay que hacer, lo que pasa si no lo haces y a quién le compensa cada opción. Porque una web puede ser muchas cosas, pero no debería ser un quebradero de cabeza.
Resumen rápido
| Pregunta | Respuesta en una frase | Lo que no lo arregla |
|---|---|---|
| ¿Qué pasa si no actualizo los plugins? | Que la ventana entre que se publica un fallo y se explota se mide en horas, no en meses | Tener la web «oculta» o creer que nadie la busca |
| ¿Cuánto trabajo te pide cada tipo de web? | De nada a media hora al mes, y depende de las piezas, no del CMS | Cambiar de hosting |
| ¿Necesito mantenimiento si mi web es HTML? | Casi nada: dominio, certificado y una copia. Nada que actualizar cada semana | Pagar una cuota mensual por una web que no tiene qué romper |
| ¿Cada cuánto hay que actualizar una web? | Los plugins, en días; el resto, cuando toque y con copia antes | Activar las actualizaciones automáticas y no volver a mirar |
| ¿Por qué una web de cinco páginas acaba con veinte plugins? | Porque cada pequeño añadido llega con su plugin, y ninguno se quita nunca | Instalar un plugin que gestione los plugins |
| ¿Qué parte del mantenimiento ya hace tu hosting? | Menos de la que crees: sus defensas bloquean una minoría de los ataques | Asumir que «está en la nube» significa «está protegido» |
| ¿Puedo hacerlo yo o necesito a alguien? | Puedes, si tu web tiene pocas piezas y tú tienes el hábito | Buena voluntad sin calendario |
¿Qué pasa si no actualizo los plugins?
Que el tiempo que tienes para reaccionar es mucho más corto de lo que parece.
Según el informe de Patchstack, la mediana desde que una vulnerabilidad se hace pública hasta que empieza a explotarse en masa es de cinco horas, y alrededor de la mitad se explotan en las primeras veinticuatro. El 46 % de los fallos publicados en 2025 no tenían arreglo disponible el día en que se hicieron públicos. No es que alguien esté mirando tu web: son robots recorriendo listas de versiones vulnerables, y WordPress mueve cerca del 43 % de las webs del mundo (W3Techs), así que la lista es enorme y tu web está en ella por tamaño de muestra, no por interés.
Lo que pasa de verdad cuando no se actualiza no es un hackeo de película. Es spam inyectado en páginas que nadie visita, redirecciones que solo se activan para visitantes que llegan de Google, o correo saliente que acaba con tu dominio en una lista negra. Se detecta semanas después, normalmente porque un cliente te avisa.
Un consejo: mira la fecha de la última actualización antes de mirar el diseño. Si hace más de tres meses que nadie toca la web, esa es la tarea urgente.
¿Cuánto trabajo te pide cada tipo de web?
Depende del número de piezas móviles, no de la marca del programa.
| Tipo de web | Qué hay que hacer cada mes | Qué pasa si no lo haces | A quién le compensa |
|---|---|---|---|
| HTML estático | Nada. Renovar dominio al año y vigilar el certificado | Nada, hasta que caduque el dominio | Webs de presencia: quién eres, qué haces, cómo te localizan |
| WordPress con lo mínimo | Revisar y actualizar, 10 minutos | Riesgo bajo pero creciente | Quien publica contenido a menudo y quiere hacerlo solo |
| WordPress con maquetador y plugins | Actualizar con copia previa y comprobar que no se rompió nada, 30-45 minutos | Fallos de diseño, formularios que dejan de enviar, puertas abiertas | Webs que crecen y cambian cada mes |
| WooCommerce | Lo anterior más pedidos, pasarela, stock y pruebas de compra | Ventas perdidas sin que te enteres | Tienda con catálogo propio y ganas de controlarlo todo |
| Shopify | Casi nada técnico: el mantenimiento es de la plataforma | Nada se rompe por no mirar | Quien prefiere pagar cuota y dedicarse a vender |
La comparación interesante no es WordPress contra HTML. Es cuántas cosas pueden romperse contra cuánto tiempo tienes. Una web de cinco páginas en HTML lleva años sin pedir nada porque no tiene nada que pedir: no hay base de datos, no hay plugins, no hay versiones. Una web con maquetador y dieciocho extensiones te pide atención constante, y a cambio te deja cambiarlo todo tú sin llamar a nadie. Las dos son decisiones razonables. La mala decisión es elegir la segunda creyendo que se comporta como la primera.
Un consejo: cuenta los plugins activos de tu web ahora mismo. Ese número es tu factura mensual aproximada.
¿Necesito mantenimiento si mi web es HTML?
Casi nada, y conviene decirlo claro porque casi nadie lo dice.
Una web estática son archivos servidos tal cual. No hay panel que actualizar, ni plugins que se pisen, ni base de datos que corromper. Lo que sí tiene fecha de caducidad son tres cosas ajenas a la web: el dominio, que se renueva cada año; el alojamiento; y el certificado de seguridad, que se renueva solo si está bien configurado. Aquí viene un cambio que conviene tener en el radar: el CA/Browser Forum aprobó reducir la vida máxima de los certificados, que baja por tramos desde 2026 hasta los 47 días en 2029. La renovación a mano deja de ser viable para cualquiera, así que lo único que hay que asegurar es que esté automatizada.
Si tu web es un folleto bien hecho —quién eres, qué ofreces, cómo te encuentran— y la actualizas una vez al año, una cuota mensual de mantenimiento no te está protegiendo de nada. Te está cobrando por vigilar algo que no se mueve.
Un consejo: antes de firmar una cuota, pregunta qué se rompería si nadie tocara la web en doce meses. Si la respuesta honesta es «nada», ya tienes tu respuesta.
¿Cada cuánto hay que actualizar una web?
En dos ritmos distintos, y confundirlos es lo que acaba en sustos.
Los plugins y el tema se actualizan en cuanto sale el aviso, porque ahí están el 91 % de los fallos y porque la ventana de cinco horas no espera a tu martes de tareas. El resto —versión de PHP, cambios mayores del maquetador, migraciones— se hace con calma, avisando y con una copia reciente, porque es donde algo se puede romper de verdad. Lo de PHP no es teórico: PHP 8.1 dejó de recibir parches en enero de 2026, así que una web que siga ahí está corriendo sobre algo que ya nadie arregla.
Lo normal es activar las actualizaciones automáticas y dar el asunto por cerrado. Lo que pasa de verdad es que un día una actualización automática cambia el comportamiento de un bloque, el maquetador recoloca media página y nadie se da cuenta hasta que un cliente no encuentra el formulario. Automatizar está bien; automatizar sin mirar después, no.
Un consejo: copia antes, actualiza después, abre la web y haz dos cosas —enviar el formulario y navegar una página interior—. Tres minutos que se ahorran una tarde entera.
¿Por qué una web de cinco páginas acaba con veinte plugins?
Porque cada pequeño favor llega con su propia extensión, y nadie vuelve a quitar ninguna.
La secuencia es siempre la misma. Hace falta un formulario: plugin. Se quiere un aviso de cookies: plugin. Un carrusel que el tema no trae: plugin. Copias de seguridad: plugin. Caché porque ahora va lenta —lógico, hay catorce plugins—: otro plugin. Al final la web tiene más piezas que páginas, y la mitad las instaló alguien que ya no está.
Aquí hay un detalle del informe que desmonta una creencia cómoda: los componentes de pago fueron solo el 29 % de los fallos reportados, pero tuvieron el triple de vulnerabilidades con explotación conocida que los gratuitos. Pagar por un plugin no compra tranquilidad. Lo que la compra es tener pocos y saber por qué está cada uno.
Un consejo: haz la lista de plugins activos y escribe al lado de cada uno qué hace. Los que no sepas explicar son candidatos a desaparecer.
¿Qué parte del mantenimiento ya hace tu hosting?
Menos de la que se presume por el precio.
Los datos del informe de Patchstack son bastante directos: las defensas estándar de los alojamientos bloquearon el 26 % de los ataques, y los cortafuegos tradicionales detuvieron el 12 % de los ataques dirigidos a vulnerabilidades específicas de WordPress. Son una capa, no un paraguas. Lo mismo con las copias: casi todos los hostings hacen una diaria, muchos la guardan solo unos días, y restaurarla te devuelve la web entera, también los pedidos y comentarios posteriores al fallo.
Eso no quiere decir que el hosting dé igual. Quiere decir que su trabajo es mantener el servidor en pie, no mantener tu web al día. Son dos trabajos y solo estás pagando uno.
Un consejo: entra hoy al panel y comprueba dos cosas: cuántos días de copias guarda y si puedes descargarte una. Si no puedes descargarla, no es tu copia.
¿Puedo hacerlo yo o necesito a alguien?
Puedes, si tu web tiene pocas piezas y tú tienes la costumbre. Las dos condiciones cuentan.
Con un sitio sencillo, el mantenimiento cabe en quince minutos al mes: copia, actualizaciones, comprobar el formulario, mirar que el certificado sigue vivo. Lo que falla no es la capacidad técnica, es la constancia: las tareas invisibles se posponen sin coste aparente hasta el día que cuestan todo de golpe.
Delegar tiene sentido en tres casos. Cuando la web vende y una caída se mide en dinero. Cuando tiene tantas piezas que una actualización necesita comprobar cosas. Y cuando sabes, con honestidad, que no lo vas a mirar. Ese tercero es el más común y el que menos se dice en voz alta.
Un consejo: si eliges hacerlo tú, pon una cita recurrente en el calendario el mismo día que publiques la web. Sin cita, no hay mantenimiento, hay intención.
Cómo lo hacemos en Mister Mikel
Montamos webs y tiendas, y antes de proponer nada preguntamos cuánto vas a poder mirar tu web al mes: si la respuesta es «poco», la web se diseña con menos piezas, no con más vigilancia. A veces eso significa una web estática que no te va a pedir nada en años, y entonces lo decimos y no hay cuota. Cuando el sitio sí necesita manos cada mes —porque vende, porque cambia, porque tiene mucho montado encima—, lo cubrimos con una suscripción de desarrollo: cómo funciona.
Preguntas frecuentes
No por ser de pago. En el informe de Patchstack de 2026, los componentes premium fueron el 29 % de los fallos reportados de 2025, pero concentraron el triple de vulnerabilidades con explotación conocida que los gratuitos. Lo que reduce el riesgo es otra cosa: que el plugin tenga mantenimiento activo, muchas instalaciones, un historial de parches rápidos y una función que realmente necesites. Un plugin de pago abandonado es más peligroso que uno gratuito con actualizaciones cada mes.
Porque se suelen comprar juntos y llegan en la misma factura, pero son dos servicios distintos: el dominio es el nombre y el hosting es el espacio donde vive la web. Importa el día que algo falla, porque el sitio donde hay que entrar es distinto según el síntoma: si la web no carga pero el correo funciona, suele ser hosting; si no funciona nada y el aviso habla de expiración, suele ser el dominio. Y importa aún más en un cambio de proveedor, porque se pueden mover por separado. Saber quién tiene cada cosa y con qué cuenta se accede es la mitad del trabajo de cualquier urgencia.
Si es estática, sí, con el dominio pagado y la renovación del certificado automatizada. Si es WordPress con plugins, un año es mucho: lo habitual al volver no es encontrarla caída, sino encontrar actualizaciones acumuladas que ya no se pueden aplicar en orden, y ahí aparecen los incidentes. Si sabes que vas a estar un año sin tocarla, lo sensato es plantearlo antes y dejarla en un formato que aguante la ausencia. Una web que va a estar quieta se construye distinto de una que va a cambiar cada mes.
Cuando el mantenimiento se convierte en sostener, es decir, cuando cada cambio pequeño obliga a comprobar otras tres cosas. Suele coincidir con tres señales juntas: plugins que ya nadie actualiza, un maquetador varias versiones atrás y nadie que recuerde por qué algo está montado así. A partir de ahí, el tiempo que se va en que nada se rompa es mayor que el que costaría rehacerla bien, y encima no deja nada. Rehacer también compensa cuando lo que necesita el negocio ya no se parece a lo que la web fue pensada para hacer.
Cinco cosas que ahorran discusiones después. A nombre de quién está el dominio, que debe ser tuyo y no de quien te la hace. Qué hosting y con qué acceso. Quién actualiza y con qué frecuencia, por escrito. Dónde se guardan las copias y si las puedes descargar tú. Y la pregunta que ordena todas las demás: cuánto vas a poder dedicarle al mes, porque de eso depende si tu web debe ser estática, un WordPress con lo mínimo o algo con más piezas. Contestar esto al principio es lo que evita la web que nadie mantiene.
Sigue leyendo
- Suscripción de desarrollo: tu departamento de diseño
- Proyectos digitales
- Cómo gestionar tu tienda Shopify con IA
- Tiendas online en Shopify
Fuentes
- Patchstack, State of WordPress Security in 2026 (datos de 2025): vulnerabilidades, reparto por componente, tiempo hasta la explotación y eficacia de las defensas del hosting.
- CA/Browser Forum, papeleta SC-081v3 (abril de 2025): calendario de reducción de la validez de los certificados TLS.
- php.net, calendario de versiones soportadas: fin de los parches de seguridad de PHP 8.1.
- W3Techs, estadísticas de uso de gestores de contenido.