Cómo saber si tu sitio WordPress necesita mantenimiento urgente

Un lunes a la mañana alguien del equipo entra al sitio de la empresa y encuentra algo raro: la página tarda una eternidad, el formulario de contacto no envía nada o el navegador muestra una advertencia roja. Nadie sabe bien quién lo armó, cuándo se actualizó por última vez ni dónde está la contraseña del hosting.

Esa escena es muy común en sitios hechos con WordPress. La plataforma es flexible, popular y relativamente fácil de administrar, y justamente por eso muchas empresas la publican, la dejan andando y se olvidan de ella durante meses o años.

Sin embargo, un sitio WordPress no es un folleto impreso. Tiene núcleo, tema, plugins, una base de datos, una versión de PHP y un servidor que cambian con el tiempo. Cuando nadie acompaña esos cambios, los problemas se acumulan en silencio hasta que aparecen todos juntos, generalmente en el peor momento.

En esta nota repasamos las señales que indican que un sitio WordPress necesita mantenimiento urgente, cómo distinguir lo grave de lo que puede esperar, qué revisar primero, qué no conviene hacer apurados y cómo pasar de apagar incendios a un mantenimiento ordenado. Al final hay una lista de verificación para hacer un diagnóstico rápido.

Por qué un sitio WordPress se deteriora aunque nadie lo toque

La idea de que “si no lo toco, no se rompe” no aplica a un sitio web publicado. El entorno alrededor del sitio cambia aunque el contenido quede igual.

Algunos cambios que ocurren sin que la empresa haga nada:

Se publican nuevas versiones del núcleo de WordPress con correcciones de seguridad.
Los plugins y temas reciben actualizaciones, o dejan de recibirlas porque se abandonan.
El proveedor de hosting actualiza o retira versiones de PHP y de la base de datos.
Los navegadores endurecen sus reglas sobre certificados, cookies y contenido mixto.
Se descubren vulnerabilidades en componentes que el sitio usa hace años.

El resultado es un sitio que funcionaba bien el día que se publicó y que, con el paso del tiempo, queda cada vez más expuesto y más frágil.

El problema de los sitios “huérfanos”

Muchas empresas tienen un sitio que armó un proveedor anterior, un freelancer que ya no responde o alguien del equipo que se fue. Nadie tiene claro qué plugins se instalaron ni por qué.

En esos casos el riesgo no es solo técnico. También es operativo: si algo falla, no hay a quién llamar, no hay accesos documentados y cada minuto de diagnóstico se pierde buscando contraseñas.

Por qué WordPress es un blanco frecuente

WordPress se usa en una enorme cantidad de sitios en todo el mundo. Eso lo vuelve atractivo para ataques automatizados que recorren internet buscando versiones viejas, plugins vulnerables y contraseñas débiles.

No hace falta que la empresa sea grande o conocida. Los bots no eligen víctimas por su facturación, sino por las puertas que encuentran abiertas.

Señales de alarma que no conviene postergar

Hay síntomas que indican que el sitio necesita atención inmediata. No son detalles estéticos: afectan la seguridad, la reputación o la capacidad de recibir consultas.

Conviene actuar el mismo día si aparece alguna de estas señales:

El navegador o Google muestran una advertencia de sitio peligroso o engañoso.
Aparecen páginas, enlaces o textos que nadie del equipo publicó.
El sitio redirige a otras páginas, sobre todo desde el celular o desde Google.
Hay usuarios administradores que nadie reconoce.
El hosting avisó que suspendió la cuenta o detectó archivos maliciosos.
El sitio muestra una pantalla en blanco o un error crítico en el administrador.

Cuando aparece una de estas señales, ya no se trata de mantenimiento preventivo. Se trata de contener un incidente.

Advertencias de Google y del navegador

Si Google detecta malware, phishing o contenido engañoso, puede mostrar una advertencia a los visitantes antes de que entren al sitio. Esa advertencia espanta a cualquier cliente potencial.

Se puede consultar el estado del dominio en el informe de Navegación segura de Google. Si el sitio está verificado en Search Console, el apartado de problemas de seguridad detalla qué se detectó y cómo pedir una revisión una vez limpio.

Contenido extraño y redirecciones

Un síntoma clásico de un sitio comprometido es el spam inyectado: páginas de productos que la empresa no vende, enlaces ocultos o resultados de búsqueda con títulos en otros idiomas.

Otro es la redirección selectiva. El dueño entra desde la computadora de la oficina y todo parece normal, pero un cliente que llega desde Google con el celular termina en una página de apuestas o de ofertas falsas.

Usuarios y archivos que nadie reconoce

Un usuario con rol de administrador creado sin explicación es una señal muy seria. Lo mismo vale para archivos PHP nuevos en carpetas de imágenes o plugins que nadie recuerda haber instalado.

En esos casos conviene no borrar nada a las apuradas: primero hay que preservar evidencia y entender el alcance.

Señales técnicas que indican deterioro

No todo lo urgente es un ataque. Muchas veces el sitio simplemente se quedó atrás y empieza a fallar por acumulación.

Estas señales indican que el mantenimiento está muy demorado:

El panel muestra decenas de actualizaciones pendientes.
WordPress avisa que la versión de PHP del servidor está desactualizada.
Hay plugins que no se actualizan hace años o que ya no figuran en el repositorio oficial.
El tema fue modificado directamente y no se puede actualizar sin perder cambios.
La herramienta de Salud del sitio muestra problemas críticos.
Los backups no existen, fallan o nadie sabe dónde están.

La herramienta de Salud del sitio

WordPress incluye una pantalla de Salud del sitio en Herramientas que revisa la configuración y marca problemas críticos y mejoras recomendadas.

No reemplaza una auditoría, pero es un buen primer termómetro. Si aparecen avisos sobre PHP, actualizaciones automáticas, HTTPS o tareas programadas, ya hay trabajo pendiente.

Versiones de PHP fuera de soporte

PHP es el lenguaje sobre el que corre WordPress. Cada versión tiene un período de soporte, y el sitio oficial publica el calendario de versiones soportadas.

Correr una versión sin soporte significa no recibir correcciones de seguridad. Además, WordPress publica sus requisitos recomendados, que conviene contrastar con lo que ofrece el hosting.

El detalle importante es que subir la versión de PHP puede romper plugins o temas viejos. Por eso no es un cambio para hacer un viernes a la tarde sin prueba previa.

Síntomas de negocio que también cuentan

A veces las señales no aparecen en el panel de WordPress, sino en el día a día comercial. Son igual de importantes porque muestran que el sitio dejó de cumplir su función.

Conviene prestar atención si:

Llegan menos consultas desde el formulario y nadie sabe por qué.
Los correos del sitio caen en spam o directamente no llegan.
Clientes avisan que la página no carga o se ve rota en el celular.
El sitio aparece cada vez peor en búsquedas de la marca.
Las campañas pagas llevan a páginas lentas o con errores.

Formularios que fallan en silencio

Un formulario de contacto roto es uno de los problemas más caros y menos visibles. El visitante completa sus datos, aprieta enviar y el mensaje nunca llega a nadie.

La forma más simple de detectarlo es enviar una consulta de prueba de forma periódica y confirmar que llega a la casilla correcta. Si el sitio envía correos sin un servicio SMTP configurado, la entrega suele ser poco confiable.

Velocidad y experiencia en el celular

Un sitio lento no siempre es un sitio roto, pero suele ser un sitio descuidado: imágenes enormes, plugins que cargan scripts en todas las páginas, caché mal configurada o un hosting que quedó chico.

Herramientas como PageSpeed Insights ayudan a ver cómo se comporta el sitio con datos de laboratorio y, cuando hay suficiente tráfico, con datos de usuarios reales.

Cómo distinguir lo urgente de lo importante

No todo requiere la misma velocidad de respuesta. Ordenar los problemas evita dos errores frecuentes: entrar en pánico por detalles menores o ignorar un incidente real.

Esta tabla resume una forma práctica de priorizar:

Situación	Prioridad	Qué hacer
Advertencia de Google, redirecciones o spam inyectado	Inmediata	Contener, preservar evidencia, limpiar y pedir revisión
Usuarios administradores desconocidos	Inmediata	Bloquear accesos, cambiar credenciales y auditar
Sitio caído o error crítico	Inmediata	Restaurar servicio con backup o diagnóstico guiado
PHP fuera de soporte	Alta	Probar compatibilidad en copia y planificar la migración
Plugins abandonados o con vulnerabilidades conocidas	Alta	Reemplazar o eliminar con prueba previa
Muchas actualizaciones pendientes	Alta	Backup, actualización por etapas y verificación
Formularios que no envían	Alta	Configurar envío confiable y probar
Lentitud general	Media	Medir, optimizar imágenes, caché y plugins
Diseño desactualizado	Planificable	Evaluar rediseño dentro de un plan

La prioridad no depende solo de la gravedad técnica. También depende de cuánto depende el negocio del sitio para vender o recibir consultas.

Qué hacer primero si sospechás que el sitio fue comprometido

Cuando hay señales de un ataque, el orden de los pasos importa. Actuar rápido no significa actuar sin método.

Una secuencia razonable es:

Avisar al proveedor de hosting y pedir información sobre lo que detectaron.
Hacer una copia completa del estado actual, aunque esté infectado, para poder analizarlo.
Cambiar contraseñas del administrador, del hosting, del FTP o SFTP y de la base de datos.
Revisar y eliminar usuarios administradores desconocidos.
Identificar el punto de entrada probable: plugin vulnerable, contraseña filtrada o archivo modificado.
Limpiar o restaurar desde un backup limpio anterior al incidente.
Actualizar todo lo que quedó desactualizado antes de volver a exponer el sitio.
Pedir la revisión en Search Console si Google había marcado el sitio.

Restaurar un backup sin cerrar la puerta por la que entraron suele terminar en una reinfección a los pocos días.

Qué no conviene hacer apurados

En medio de la urgencia aparecen decisiones que agravan el problema:

Borrar archivos al azar sin saber qué hacen.
Instalar varios plugins de seguridad a la vez.
Restaurar un backup sin verificar que sea anterior al incidente.
Cambiar solo la contraseña del panel y olvidar el hosting y la base de datos.
Dar por terminado el incidente porque la portada “se ve bien”.

Actualizaciones: por qué asustan y cómo hacerlas bien

Muchas empresas postergan las actualizaciones porque alguna vez un update rompió el sitio. Es una preocupación razonable, pero no actualizar es un riesgo mayor a mediano plazo.

La documentación oficial explica cómo actualizar WordPress y cómo funcionan las actualizaciones automáticas en segundo plano. La clave está en el proceso, no solo en apretar el botón.

Un proceso de actualización seguro

Un esquema sensato incluye:

Backup completo y verificado antes de empezar.
Prueba previa en una copia del sitio cuando hay cambios grandes.
Actualizaciones por etapas: núcleo, luego plugins críticos, luego el resto.
Revisión posterior de páginas clave, formularios y, si hay tienda, el proceso de compra.
Registro de qué se actualizó y cuándo.

Cuando el sitio quedó muy atrás

Si el sitio lleva años sin actualizarse, saltar todo de golpe puede generar incompatibilidades difíciles de rastrear. En esos casos conviene trabajar en una copia, avanzar de a poco y documentar cada cambio.

A veces el diagnóstico muestra que el tema o algunos plugins no tienen arreglo razonable. Ahí la decisión deja de ser “actualizar” y pasa a ser reemplazar componentes o rehacer partes del sitio.

Plugins y temas: menos es más

Cada plugin suma funcionalidad, pero también código para mantener, posibles conflictos y una puerta más para revisar. Un sitio con muchos plugins no es necesariamente malo, pero sí exige más cuidado.

Al revisar los plugins conviene preguntarse:

¿Se usa realmente o quedó de una prueba vieja?
¿Recibe actualizaciones y soporte?
¿Hay otro plugin que hace lo mismo?
¿Carga recursos en todas las páginas aunque se use en una sola?
¿Tiene vulnerabilidades conocidas publicadas?

Para chequear vulnerabilidades conocidas existen bases públicas como WPScan, que registran problemas reportados en el núcleo, plugins y temas.

Temas modificados sin tema hijo

Un caso frecuente es un tema comercial modificado directamente en sus archivos. El sitio queda “congelado”: si se actualiza el tema, se pierden los cambios; si no se actualiza, queda expuesto.

La salida suele ser migrar las personalizaciones a un tema hijo o a un desarrollo propio, con el cuidado de no romper el diseño actual.

Plugins piratas o “nulled”

Instalar versiones pirateadas de plugins o temas pagos es una de las formas más directas de meter código malicioso en un sitio. Si el sitio tiene componentes de origen dudoso, reemplazarlos por versiones legítimas debería estar al tope de la lista.

Backups: la red que tiene que existir antes del problema

Ningún plan de mantenimiento tiene sentido sin backups confiables. Son la diferencia entre un mal día y semanas de reconstrucción.

La guía de WordPress sobre copias de seguridad recuerda que hay que respaldar tanto los archivos como la base de datos. Además, conviene que al menos una copia se guarde fuera del mismo servidor.

Un esquema mínimo para un sitio institucional o una tienda debería contemplar:

Backup automático diario o con la frecuencia que exija el ritmo de cambios.
Copia de archivos y base de datos, no solo de una de las dos partes.
Al menos una copia fuera del hosting principal.
Retención de varios días o semanas para poder volver antes de un incidente.
Pruebas de restauración periódicas en un entorno separado.

Un backup que nunca se restauró es una promesa, no una garantía.

Accesos y seguridad básica

Gran parte de los incidentes en WordPress se explican por accesos mal gestionados. Revisarlos lleva poco tiempo y reduce mucho el riesgo.

La documentación oficial sobre endurecimiento de WordPress reúne buenas prácticas que conviene aplicar con criterio.

Algunos puntos básicos:

Un usuario personal por persona, sin cuentas compartidas.
Rol de administrador solo para quien realmente lo necesita.
Contraseñas largas y únicas, guardadas en un gestor.
Doble factor de autenticación para los administradores.
Accesos de exproveedores y exempleados dados de baja.
Credenciales de hosting, dominio y DNS documentadas y bajo control de la empresa.

El dominio y el hosting también son parte del sitio

Un sitio puede estar impecable y caerse igual porque venció el dominio, el certificado o el plan de hosting. Si esos servicios están a nombre de un tercero, la empresa ni siquiera recibe los avisos.

Conviene saber quién es el titular del dominio, cuándo vence, dónde está alojado el sitio y quién recibe las facturas y notificaciones.

Escenarios frecuentes

Cada sitio tiene su historia, pero hay patrones que se repiten en pymes y empresas medianas.

Una empresa de servicios con el sitio armado hace años

El sitio se ve correcto, pero tiene decenas de actualizaciones pendientes, PHP viejo y un formulario que dejó de enviar hace meses. Nadie lo notó porque las consultas llegaban por WhatsApp y otros canales.

La prioridad suele ser backup, recuperación del formulario, actualización por etapas y migración de PHP con prueba previa.

Una tienda online antes de una fecha comercial fuerte

Faltan pocas semanas para una campaña y el sitio está lento, con plugins de pago desactualizados. Un error durante esos días se traduce en ventas perdidas.

Acá conviene congelar cambios grandes cerca de la fecha, actualizar con tiempo, probar el checkout completo y tener un plan de vuelta atrás.

Un sitio con spam inyectado

Google empieza a mostrar resultados extraños para la marca y algunos clientes reportan redirecciones. El incidente ya está en curso.

La respuesta pasa por contener, limpiar, cerrar el punto de entrada, actualizar todo y pedir la revisión. Después, sumar monitoreo para detectar a tiempo una recaída.

De apagar incendios a un mantenimiento ordenado

Resolver la urgencia es el primer paso. El segundo es evitar que la situación se repita dentro de seis meses.

Un plan de mantenimiento razonable suele combinar:

Actualizaciones periódicas con backup previo y verificación posterior.
Monitoreo de disponibilidad para enterarse antes que los clientes.
Revisión mensual de plugins, usuarios y avisos de seguridad.
Pruebas periódicas de formularios y procesos críticos.
Control de vencimientos de dominio, certificado y hosting.
Un responsable claro, interno o externo, con accesos documentados.

Preguntas para hacerse antes de elegir quién lo mantiene

¿Quién actualiza el sitio y con qué frecuencia?
¿Qué pasa si un update rompe algo un viernes a la noche?
¿Dónde se guardan los backups y quién los probó por última vez?
¿Cuánto tiempo puede estar caído el sitio sin afectar al negocio?
¿Los accesos quedan a nombre de la empresa?

Las respuestas definen si alcanza con un mantenimiento básico o si conviene un acompañamiento más cercano.

Lista de verificación

Antes de decidir si tu sitio WordPress necesita mantenimiento urgente, revisá:

El dominio no aparece marcado en el informe de Navegación segura de Google.
Search Console no muestra problemas de seguridad.
No hay páginas, enlaces ni textos que nadie del equipo publicó.
El sitio no redirige a páginas externas desde el celular ni desde Google.
Todos los usuarios administradores son conocidos y necesarios.
El núcleo de WordPress está actualizado.
Los plugins y el tema están actualizados y tienen soporte vigente.
No hay plugins o temas de origen dudoso.
La versión de PHP del servidor está dentro del período de soporte.
La pantalla de Salud del sitio no muestra problemas críticos.
Existe un backup reciente de archivos y base de datos.
Al menos una copia está fuera del hosting principal.
Alguien probó restaurar un backup en los últimos meses.
El formulario de contacto envía y los correos llegan a destino.
El sitio carga razonablemente rápido en el celular.
El certificado HTTPS está vigente y no hay advertencias en el navegador.
El dominio y el hosting están a nombre de la empresa, con vencimientos conocidos.
Los accesos de exproveedores y exempleados fueron dados de baja.
Los administradores usan doble factor de autenticación.
Hay una persona o proveedor responsable del mantenimiento.

Si varios ítems quedan sin respuesta clara, el sitio probablemente ya necesita atención.

Un sitio cuidado trabaja todos los días

Un sitio WordPress bien mantenido no llama la atención: carga, recibe consultas, aparece en búsquedas y transmite confianza. Esa normalidad es justamente el resultado de un trabajo constante que no se ve.

El abandono, en cambio, se paga de golpe. Una advertencia de Google, un formulario mudo durante meses o una infección justo antes de una campaña cuestan mucho más que un mantenimiento planificado.

No hace falta resolver todo en un día. Hace falta saber en qué estado está el sitio, atender primero lo urgente y después sostener una rutina simple con responsables claros.

En Soup IT ayudamos a empresas a diagnosticar, recuperar y mantener sitios web en WordPress y desarrollos a medida: auditoría técnica, limpieza de incidentes, actualizaciones seguras, migración de PHP y hosting, backups probados, optimización de velocidad y monitoreo. Podemos hacernos cargo del mantenimiento o acompañar al equipo interno.

Si tu sitio tiene actualizaciones pendientes, señales extrañas o simplemente nadie sabe bien cómo está, podemos revisarlo y convertir ese diagnóstico en un plan concreto de prioridades. Escribinos por WhatsApp o a contacto@soupit.ar.

Además, podés visitar Soup IT y seguirnos en LinkedIn e Instagram para encontrar más contenidos sobre sitios web, e-commerce, desarrollo de software, automatización, infraestructura y tecnología aplicada a empresas.