«La web funciona, ¿para qué tocarla?». Es la frase que más oímos cuando una empresa nos llega con un WordPress sin actualizar desde hace años. Y suele funcionar… hasta el día en que alguien aprovecha un fallo conocido de un plugin viejo.
Respuesta corta: no actualizar WordPress deja abiertas vulnerabilidades que ya son públicas, sobre todo en los plugins, y con el tiempo provoca incompatibilidades con el servidor. Lo razonable es aplicar las actualizaciones de seguridad en cuanto salen, revisar plugins y tema cada semana o cada dos, y hacer las actualizaciones grandes con copia de seguridad y probando antes.
Qué se actualiza en una web WordPress
- El núcleo de WordPress. Las versiones menores (de seguridad) se suelen aplicar solas; las mayores conviene hacerlas a mano.
- Los plugins. Es donde aparecen la gran mayoría de los fallos de seguridad. Cuantos más tengas, más puertas.
- El tema y, si lo tiene, su plugin de funciones o su maquetador.
- La versión de PHP del servidor. No se ve, pero las versiones antiguas dejan de recibir parches y los plugins nuevos dejan de funcionar con ellas.
Qué puede pasar si no actualizas
Que te hackeen por un fallo que ya estaba corregido
Cuando se publica un parche, el fallo que corrige se hace público. A partir de ahí hay robots que recorren internet buscando webs con la versión vieja. No buscan tu empresa en concreto: buscan cualquier web con ese plugin sin actualizar.
Lo que suele venir después
- Páginas de spam o de farmacia creadas dentro de tu web, que Google acaba indexando.
- Redirecciones a otras webs desde el móvil, que el dueño no ve desde su ordenador.
- Avisos de Google en el navegador («este sitio puede ser peligroso») y caída del tráfico.
- Tu servidor enviando correo basura, y tus correos legítimos acabando en spam.
- Robo de datos de formularios o de clientes, con sus consecuencias legales.
Que la web se rompa sola
Aunque nadie la ataque, el hosting acaba subiendo la versión de PHP. Un plugin abandonado o un tema de hace años puede dejar de funcionar de un día para otro, y entonces la actualización se hace con prisas y con la web caída.
Que pierdas posiciones en Google
Una web hackeada o lenta pierde posiciones. Y una web con muchos plugins viejos suele ser lenta: aprovechar la revisión para quitar lo que sobra y aligerar las imágenes se nota.
Cada cuánto actualizar
| Qué | Cuándo |
|---|---|
| Actualizaciones de seguridad (núcleo y plugins) | En cuanto salen, en días |
| Plugins y tema, versiones normales | Cada semana o cada dos |
| Versiones grandes de WordPress o del maquetador | Tras probarlas, con copia de seguridad |
| Versión de PHP del servidor | Una o dos veces al año, antes de que deje de tener soporte |
| Revisión de plugins que sobran o están abandonados | Cada seis meses |
Cómo actualizar sin romper nada
- Copia de seguridad completa (archivos y base de datos) justo antes, y comprobar que se puede restaurar.
- Actualizar primero en una copia de prueba si la web es importante o hay una actualización grande.
- De uno en uno los plugins críticos (formularios, tienda, maquetador), para saber cuál falla si algo falla.
- Revisar la web después: portada, formularios, carrito y alguna página interna, en móvil y en ordenador.
- Vaciar la caché del plugin de caché y, si lo hay, de Cloudflare.
- Apuntar qué se ha actualizado y cuándo, para saber dónde mirar si mañana algo va raro.
Lo que más vemos en webs descuidadas
- Plugins desactivados que siguen instalados. Desactivado no es lo mismo que borrado: si no se usa, fuera.
- Temas «premium» comprados hace años sin licencia activa, que ya no reciben actualizaciones.
- Dos plugins haciendo lo mismo (dos de caché, dos de SEO), que además se estorban.
- Un hosting muy barato que no permite subir de versión de PHP. A veces el primer paso es cambiar de hosting.
Si estás empezando con WordPress, tienes lo básico en cómo empezar a usar WordPress. Y si prefieres olvidarte, nos encargamos del mantenimiento y las actualizaciones de tu web desde nuestro servicio de diseño y mantenimiento web.
Marketing Web Consulting
Una web nueva que trabaje para ti
Preguntas frecuentes
¿Puedo activar las actualizaciones automáticas de todo?
Para las de seguridad del núcleo, sí; WordPress ya lo hace. Para plugins sencillos y bien mantenidos también suele ir bien. Los plugins críticos, el maquetador y las versiones grandes es mejor actualizarlos a mano y comprobando.
¿Actualizar puede romper mi web?
Puede, sobre todo si hace mucho que no se actualiza o si hay plugins abandonados. Por eso se hace con copia de seguridad y probando. Romperla en una actualización controlada es mucho mejor que romperla por un ataque.
Mi web es pequeña, ¿también me pueden atacar?
Sí. La mayoría de los ataques son automáticos y no eligen víctima: buscan cualquier web con un plugin vulnerable.
¿Cuántos plugins son demasiados?
No hay una cifra. La pregunta es si cada uno se usa y se mantiene. Un plugin sin actualizar desde hace más de un año es candidato a sustituirse.
Deja una respuesta