Un mensaje que entró por el formulario de mi propia web el 22 de abril de 2026 lo leí en agosto. Cuatro meses. La web funcionaba, el formulario decía «enviado» y el correo moría por el camino.
Soy Nico, consultor de marketing digital freelance en Sevilla. Llevo el mantenimiento web de webs de autónomos y pymes, y esa historia me la aplico a mí primero. Aquí va qué incluye el mantenimiento, cada cuánto se hace cada cosa y qué pasa cuando no se hace.
¿Qué incluye el mantenimiento de una web?
Cinco bloques de trabajo. Los tres primeros son técnicos y casi nadie los ve. Los dos últimos son los que más disgustos dan.
- Actualizaciones. WordPress, el tema y los plugins, cada semana. Antes de actualizar, una copia, por si algo se rompe.
- Seguridad. Un cortafuegos, un escaneo de malware y alguien que mire los avisos.
- Copias de seguridad. Automáticas y probadas. Una copia que nunca se ha restaurado es una promesa.
- Dominio, hosting y certificado. Que se renueven a tiempo y que estén a tu nombre.
- Que la web haga su trabajo. Formularios que llegan, velocidad razonable y textos al día.
Esta es la tabla que uso para explicarlo, con la frecuencia y lo que te juegas en cada caso:
| Tarea | Cada cuánto | Qué pasa si no se hace |
|---|---|---|
| Actualizar WordPress, tema y plugins con copia previa | Cada semana | El fallo conocido sigue abierto. La mitad de las vulnerabilidades de alto impacto se atacan en menos de 24 horas |
| Seguridad: cortafuegos y escaneo de malware | Siempre activo, revisión semanal | Google puede marcar la web con «Este sitio puede haber sido pirateado» |
| Copias de seguridad y prueba de restauración | Automáticas; restauración de prueba cada trimestre | Si algo se rompe, no hay a dónde volver |
| Versión de PHP del hosting | Una vez al año | PHP 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026 |
| Certificado SSL con renovación automática | Comprobarlo cada mes | El navegador avisa de que la conexión no es segura. Los certificados duran cada vez menos: de 398 días a 47 en 2029 |
| Dominio y hosting a tu nombre, con fecha de renovación | Una vez al año | Si caduca o está en la cuenta de otro, la web se apaga y no puedes hacer nada |
| Formularios y avisos de correo | Cada mes, con un envío de prueba | Los contactos se pierden sin que nadie lo sepa |
¿Por qué hay que actualizar cada semana?
Porque los fallos se publican cada semana y los ataques llegan en horas. Patchstack, una empresa de seguridad de WordPress, contó 11.334 vulnerabilidades nuevas en 2025. Son un 42 % más que en 2024.
Casi todas están en piezas que añades tú. El 91 % estaba en plugins y el 9 % en temas. El núcleo de WordPress sumó 6, y de prioridad baja.
Dos datos más del mismo informe explican la prisa. El 46 % de las vulnerabilidades no tenía parche del desarrollador cuando se hicieron públicas. Y la mitad de las de alto impacto se empezaron a atacar en las primeras 24 horas. La mediana fue de 5 horas.
Por eso la copia va antes de actualizar. Un plugin nuevo puede romper el diseño o un formulario. Con la copia vuelves atrás en minutos. Sin ella, la tentación es no actualizar nunca, que es justo lo que buscan los ataques.
Cada plugin que no usas es una puerta más que vigilar. Si no lo usas, se borra.
¿Qué pasa si no mantienes tu web?
Casi nunca pasa nada el primer mes. El problema llega acumulado.
Google te avisa a ti y a tus clientes. Si Google detecta que la web ha sido pirateada, puede etiquetarla en los resultados con «Este sitio puede haber sido pirateado». Chrome suele mostrar una pantalla de advertencia antes de entrar. Y Google dice que puede afectar a tu posicionamiento durante un tiempo. Quitar el aviso lleva su proceso: limpiar, pedir una revisión en Search Console y esperar. Según la ayuda de Google, la revisión por malware tarda unos días y la de spam, varias semanas.
El hosting deja de recibir parches. PHP es el lenguaje con el que funciona WordPress. Según php.net, la versión 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026, y las anteriores ya no tienen soporte. Muchas webs viejas siguen en versiones antiguas porque un plugin desactualizado no aguanta el cambio. Una cosa arrastra a la otra.
El certificado caduca. El certificado SSL es el candado del navegador. El CA/Browser Forum, que pone las reglas de los certificados, aprobó en abril de 2025 bajar su duración máxima de 398 días a 47 entre marzo de 2026 y marzo de 2029. Con la renovación automática no te enteras. Sin ella, el navegador avisa de que tu web no es segura.
El dominio caduca o no es tuyo. Aquí no hace falta saber de técnica: basta una fecha en el calendario y una cuenta a tu nombre.
Lo que veo en mis clientes
Mantengo 11 webs WordPress con un sistema propio que actualiza cada semana, con copia antes de tocar nada. En 2026 he tenido que resolver a mano 4 incidencias. Una incidencia es una actualización que rompe algo y que la copia permite deshacer.
Cuatro en un año parece poco. Ahora piensa en esas cuatro sin copia y sin nadie mirando. Habrían sido cuatro webs con algo roto hasta que un cliente avisara.
Lo que más me encuentro al empezar tiene poco de técnico. El 28 % de los clientes que llegan a mí no tiene las claves de su dominio o de su hosting. Están en la cuenta del sobrino, de la agencia anterior o de alguien que ya no coge el teléfono. Por eso, en todo lo que hago, el dominio y el hosting van a nombre del cliente desde el primer día.
Cuando hay que mover webs de servidor, la disciplina es la misma: copia, entorno de pruebas y comprobar antes de dar el salto. Así movimos el ecosistema de webs de Factoría Serendipia: todo movido, nada roto.
Si estás decidiendo cómo hacer tu web, este coste va en la cuenta desde el principio. Lo cuento en WordPress o web a código y en cuánto cuesta una página web.
Cuánto cuesta y quién lo puede hacer
Puedes hacerlo tú si tienes una tarde a la semana y no te da miedo el panel de WordPress. La checklist de abajo te sirve para eso.
Si prefieres no pensar en ello, mi mantenimiento web cuesta desde 120 €/mes, sin IVA y con 30 días de preaviso. Incluye actualizaciones semanales con copia previa, seguridad, copias de seguridad e informe de estado. Los planes Plus y Pro suman informe mensual, horas de cambios y revisión SEO, a precio cerrado según tu web. Si buscas a alguien para hacer la web desde cero, aquí tienes cómo contratar un diseñador web sin llevarte sorpresas.
Si no sabes en qué estado está tu web, en la Sesión de Diagnóstico la miro antes de hablar contigo. Son 30 minutos, gratis, y sales con tres prioridades. Reserva la tuya.
Fuentes
- Patchstack, State of WordPress Security in 2026 (11.334 vulnerabilidades nuevas en 2025, +42 % frente a 2024; 91 % en plugins, 9 % en temas, 6 en el núcleo; 46 % sin parche al hacerse públicas; mitad de las de alto impacto atacadas en 24 horas, mediana de 5 horas; actualizado el 25 de febrero de 2026): https://www.patchstack.com/whitepaper/state-of-wordpress-security-in-2026/
- Ayuda de Search Console, Informe de problemas de seguridad (etiqueta «Este sitio puede haber sido pirateado», aviso en el navegador, efecto en el posicionamiento, plazos de revisión; consultado el 28 de octubre de 2026): https://support.google.com/webmasters/answer/6347750?hl=es
- PHP, Supported Versions (PHP 8.2 con parches de seguridad hasta el 31 de diciembre de 2026; consultado el 28 de octubre de 2026): https://php.net/supported-versions
- CA/Browser Forum, Ballot SC-081v3 (duración máxima de los certificados de 398 a 47 días entre marzo de 2026 y marzo de 2029; votación cerrada el 11 de abril de 2025): https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/
- Datos propios: webs WordPress mantenidas por Auve Nico e incidencias de 2026; clientes que llegan sin claves (datos de septiembre de 2026); formulario de auvenico.es (abril-agosto de 2026); caso publicado de Factoría Serendipia.
Consultor de marketing digital freelance en Sevilla. Trabajo la presencia digital de profesionales y pymes con un principio simple: tu web como centro de operaciones. Desde 2018 haciendo webs, SEO y redes con mis propias manos.
Conóceme
