WordPress es fantástico. Es flexible, se puede editar sin saber programar y mueve una parte enorme de internet. Pero tiene una condición: hay que cuidarlo. Una web WordPress abandonada es como un coche sin revisiones: funciona perfectamente, hasta que no.
Lo decimos con conocimiento de causa. En septiembre nuestra propia web sufrió un ataque de malware. Lo detectamos, lo limpiamos y aprendimos. Esta es la lista que revisamos cada mes, y la que te recomendamos.
La respuesta corta
Una vez al mes, revisa estas cinco cosas en tu web WordPress: actualizaciones (WordPress, tema, plugins y PHP), copias de seguridad, seguridad (usuarios y avisos de malware), velocidad en el móvil y que los formularios y el contacto funcionen. Te lleva media hora y te ahorra disgustos.
1. Actualizaciones
La mayoría de ataques aprovechan fallos ya conocidos y ya corregidos. Si no actualizas, la puerta sigue abierta.
- Actualiza WordPress, el tema y los plugins.
- Borra los plugins que no uses, aunque estén desactivados. Un plugin olvidado es un agujero olvidado.
- Revisa la versión de PHP del servidor. Es el motor de tu web, y también tiene fallos de seguridad. En octubre de 2026 salió uno de los más graves de su historia: te lo contamos en PHP2Shell: qué pasó y qué hacer.
Un consejo: antes de actualizar, haz una copia de seguridad. Y si tu web es importante para el negocio, prueba las actualizaciones grandes en una copia antes de aplicarlas en la web real.
2. Copias de seguridad
La pregunta no es si tienes copias, sino si funcionan.
- Comprueba que se hacen de forma automática y con la frecuencia adecuada.
- Asegúrate de que se guardan fuera del servidor de la web. Si el servidor cae, las copias que están dentro caen con él.
- Una vez cada tanto, prueba a restaurar una. Una copia que nunca se probó es una esperanza, no una copia.
3. Seguridad
- Revisa la lista de usuarios administradores. Si hay alguno que no reconoces, es una alarma.
- Mira los avisos del escáner de malware de tu hosting, si lo tiene.
- Usa contraseñas largas y únicas, y activa la verificación en dos pasos.
- Busca en Google site:tudominio.com y fíjate si aparecen páginas que no creaste. Es una señal típica de infección.
4. Velocidad en el móvil
Las webs se van llenando de cosas con el tiempo: imágenes pesadas, plugins nuevos, scripts de terceros. Y un día carga lenta y nadie sabe por qué.
- Mide tu web una vez al mes con PageSpeed Insights, en la pestaña de móvil.
- Si la nota baja de golpe, revisa qué cambió ese mes.
Te contamos cómo hacerlo en por qué tu web no vende: la velocidad.
5. Que el contacto funcione
Parece obvio, y por eso nadie lo revisa. Hasta que descubres que el formulario lleva dos meses sin enviar nada.
- Envía un mensaje de prueba desde cada formulario.
- Comprueba que el botón de WhatsApp abre el chat correcto.
- Revisa que los emails automáticos no estén cayendo en spam.
Lo que aprendimos del malware
- Te enteras tarde. El malware no avisa. Lo que más ayuda es revisar con regularidad.
- Afecta más que la seguridad. Puede crear páginas basura, perjudicar tu posición en Google y hacer que las IAs vean una web distinta de la que ves tú.
- Limpiar no basta. Hay que cerrar la puerta por la que entraron: contraseñas, plugins y actualizaciones.
En resumen
Media hora al mes es todo lo que necesita una web WordPress para estar sana. Es poco comparado con lo que cuesta arreglarla cuando algo se rompe.
Si prefieres no tener que acordarte, escríbenos y vemos cómo podemos ayudarte a mantenerla.
