Qué le pasa a una web que nadie toca en dos años
La llamada empieza casi siempre igual: «la web va rara». A veces es que va lenta, a veces que el formulario no llega, y de vez en cuando que el navegador enseña una pantalla roja antes de dejar entrar a nadie. Lo que todas tienen en común es la respuesta a la siguiente pregunta: desde cuándo no se toca. Y la respuesta suele ser dos años, o tres.
Lo que vas a leer
Lo que se rompe solo mientras tú no haces nada
Una web no es un folleto impreso. Un folleto, si lo guardas en un cajón, dentro de dos años sigue igual. Una web no: está enchufada a internet, apoyada sobre media docena de piezas que no son tuyas, y todas esas piezas se mueven mientras tú no miras.
Los números del último informe de Patchstack, que es la gente que lleva la cuenta de esto, dan la medida:
En 2025 se publicaron 11.334 vulnerabilidades nuevas en el ecosistema de WordPress. Un 42 % más que el año anterior.
Ahora el dato que cambia la conversación con la mayoría de la gente. De esas 11.334, el 91 % estaban en plugins y el 9 % en temas. El núcleo de WordPress, el programa en sí, tuvo seis, todas de prioridad baja.
Esto es importante porque el reproche que oigo siempre es «es que WordPress es inseguro». No. WordPress es razonablemente seguro. El problema son los veintitantos complementos que tiene instalados tu web, puestos ahí a lo largo de los años, la mitad de los cuales ya no usas y tres de los cuales su autor abandonó.
Y hay un detalle peor: el 46 % de esas vulnerabilidades no tenía parche del desarrollador cuando se hicieron públicas. O sea, que ni actualizando estabas cubierto en casi la mitad de los casos. Ahí la única defensa es no tener instalado lo que no usas.
Las que te entran son las viejas, no las nuevas
Aquí está, para mí, el dato más revelador de todo el informe, y es el que explica por qué el mantenimiento funciona.
De las diez vulnerabilidades más atacadas durante 2025, solo cuatro se habían publicado ese año. Las otras seis eran de años anteriores. Ya tenían parche. Llevaban meses o años arregladas.
Lo que entra en las webs no es casi nunca un fallo nuevo y sofisticado. Es un fallo viejo, conocido, publicado y corregido, que alguien no aplicó. Los atacantes no van buscando webs interesantes: pasan una lista de fallos conocidos por millones de dominios a ver cuál no está al día. Tu web no es un objetivo, es un número de la lista.
La otra cara de la moneda es la velocidad. Cuando sale una vulnerabilidad de las que se explotan de verdad, la mediana ponderada hasta el primer intento es de cinco horas. Y la mitad de las de alto impacto se explotan en menos de un día.
Cinco horas no es un plazo que puedas cumplir a mano. Pero tampoco hace falta: con las actualizaciones automáticas bien configuradas y alguien mirando una vez al mes que no se haya roto nada, estás fuera de la lista de los fáciles. Que es de lo que va esto.
No es tener la web perfecta. Es no estar entre las que todavía tienen un agujero que se publicó hace dos años.
Debajo de tu web hay un PHP, y también caduca
Esta es la parte que casi nadie mira, porque no se ve desde fuera.
Tu web se ejecuta sobre un lenguaje, PHP, que vive en el servidor. Ese lenguaje tiene versiones, y cada versión deja de recibir parches de seguridad en una fecha concreta. No es opinable, está publicado en php.net con fecha.
Mira cómo está el parque hoy mismo, según W3Techs:
| Versión de PHP | Cuántas webs la usan | Soporte de seguridad |
|---|---|---|
| PHP 8 | 64,7 % | Sí, en las ramas recientes |
| PHP 7 | 27,4 % | Terminó el 28 de noviembre de 2022 |
| PHP 5 | 7,8 % | Terminó el 31 de diciembre de 2018 |
Suma las dos últimas filas: más de un tercio de las webs del mundo corren sobre una versión de PHP que no recibe parches de seguridad. Algunas llevan así desde 2018.
Y hay un efecto secundario que sale caro. Cuanto más tiempo pasas sin actualizar, más difícil es actualizar. Si tu web lleva cuatro años en PHP 7 y el alojamiento te obliga a saltar a PHP 8, la web revienta: los plugins viejos no son compatibles y el tema tampoco. Lo que habría sido una actualización rutinaria se convierte en un proyecto de rehacer medio sitio, normalmente con prisa y normalmente el día que el hosting te da un plazo.
«Mi hosting ya me protege»
Lo oigo mucho, y entiendo de dónde viene: lo pone en la página del alojamiento. Vamos con lo que dicen los números.
En el mismo informe hicieron pruebas de intrusión contra alojamientos reales con sus defensas puestas. Bloquearon entre el 12 % y el 26 % de los ataques, según el caso. Es mejor que nada. No es una protección.
Con las copias de seguridad pasa algo parecido, y lo he visto más veces de las que me gustaría. El alojamiento guarda los últimos siete días. Suena bien hasta que te infectan: como quien entra no rompe nada visible y se queda dentro semanas, cuando te enteras las siete copias están infectadas. Has restaurado el problema.
Una copia solo vale si cumple tres cosas: se guarda fuera del mismo servidor, tiene profundidad de más de una semana, y alguien la ha restaurado alguna vez para comprobar que funciona. Una copia que nunca se ha probado a restaurar no es una copia, es una carpeta.
Tres cosas que se venden como mantenimiento y no lo son
Antes de contratar nada, conviene saber distinguir.
El plugin de seguridad como única defensa. Instalar un complemento que promete blindar la web y quedarse tranquilo. Ayuda contra lo tonto, y está bien tenerlo. Pero recuerda el 46 %: casi la mitad de las vulnerabilidades no tenían parche ni del propio desarrollador el día que se hicieron públicas. Ningún plugin arregla el agujero de otro plugin. Y es un complemento más que actualizar.
La copia semanal y nada más. Hay mantenimientos que consisten en una copia automática y un informe mensual que dice que todo va bien. Si nadie actualiza nada ni mira los avisos, eso no es mantener una web: es fotografiarla mientras envejece. Y si la copia vive en el mismo servidor y nadie la ha restaurado nunca, ya hemos visto lo que vale.
El mantenimiento con SEO incluido que no toca nada. Una cuota mensual donde la parte de posicionamiento es un informe automático de posiciones. Un informe no es trabajo. Si pagas por SEO, que haya cambios concretos cada mes y que te los cuenten en una frase que entiendas.
Mi criterio, por si sirve: si no puedes mirar la factura del mes y decir qué se hizo, no estás pagando mantenimiento.
Qué hacer esta semana si no tienes mantenimiento
Nada de lo que viene requiere contratar a nadie. Son comprobaciones que puedes hacer tú o pedirle a quien te hizo la web.
- Entra al panel de tu web y mira cuántas actualizaciones pendientes tienes. Si el número pasa de diez, ya sabes desde cuándo no se toca.
- Mira la lista de plugins y cuenta los que no usas. Desinstala, no desactives: un plugin desactivado con un fallo conocido sigue siendo un fichero accesible en tu servidor.
- Busca en Google `site:tudominio.es` y mira si aparece alguna página que tú no has escrito. Es la forma más rápida de descubrir una infección vieja.
- Comprueba la fecha de caducidad del certificado y apúntala en el calendario. Caducan siempre en fin de semana.
- Mándate un mensaje desde tu propio formulario de contacto. Es el fallo que más veo, y el que más caro sale, porque nadie se entera hasta pasadas semanas.
- Pregúntale a tu alojamiento qué versión de PHP estás usando. Si empieza por 7 o por 5, tienes deberes.
Si de esas seis cosas te fallan dos o más, no es que tu web esté mal hecha: es que lleva demasiado tiempo sin que nadie la mire. Lo cuento con precios y con lo que incluye cada mes en la página de mantenimiento web.
Y si prefieres que lo mire yo antes de decidir nada, dime la dirección y te digo cómo está. Sin coste y sin compromiso, que para eso estoy aquí al lado.
Dime la dirección de tu web y te digo cómo está
Miro por fuera qué tienes desactualizado, qué va lento y si hay algo ya comprometido, y te lo cuento en una hora sin coste. Si no hay nada que hacer, te lo digo igual y no te vendo nada.
Rolando Díaz Hernández
Informático autónomo en Logroño, con más de 30 años de oficio. Gestiona cuentas de vendedor de Amazon en cuatro marketplaces europeos, implanta inteligencia artificial en empresas, hace webs a mano y es distribuidor oficial de Facturandoo. Escribe sobre lo que le pasa trabajando, no sobre lo que ha leído.
Fuentes
- Patchstack, State of WordPress Security in 2026. De ahí salen las 11.334 vulnerabilidades de 2025, el reparto entre plugins y temas, el 46 % sin parche, la mediana de cinco horas y las pruebas de intrusión contra las defensas del alojamiento.
- W3Techs, uso de versiones de PHP. Datos consultados el 13 de octubre de 2026.
- php.net, versiones con soporte y fechas de fin de vida. De ahí las fechas de PHP 7.4 y PHP 5.6.