WordPress permite desarrollar sitios web administrables con una rapidez y flexibilidad difíciles de ignorar. Una empresa puede tener una web corporativa, una tienda, un blog, formularios, sistemas de reservas y muchas otras funciones aprovechando temas y plugins que evitan desarrollar cada característica desde cero.
Ese ecosistema es una de sus mayores fortalezas.
También genera una responsabilidad que no siempre se explica al cliente.
Una web WordPress no es un producto que se instala una vez y puede olvidarse durante años. Es software y necesita mantenimiento.
No es una afirmación de una empresa de hosting que quiera vender un servicio adicional. Tampoco es una opinión contra WordPress.
La documentación oficial de WordPress indica que una de las acciones más importantes para la seguridad es mantener actualizado WordPress junto con todos los plugins y temas instalados. También recomienda elegir plugins y temas que continúen recibiendo actualizaciones activamente.
Esto debería explicarse antes de entregar una página.
El problema comienza cuando el cliente cree que compró algo que ya no necesita atención
La situación es bastante común.
Una empresa contrata a alguien para desarrollar su página. El diseñador instala WordPress, selecciona un tema, incorpora varios plugins, adapta el diseño y finalmente entrega las claves.
La web funciona.
El cliente paga.
El proyecto se considera terminado.
Pasan los meses.
WordPress continúa evolucionando.
Los plugins reciben nuevas versiones.
Los temas cambian.
Se corrigen errores.
Aparecen nuevas vulnerabilidades.
Algunos desarrolladores continúan manteniendo sus productos y otros los abandonan.
Mientras tanto, nadie vuelve a revisar la página.
Hasta que algo ocurre.
Puede aparecer una redirección extraña. Google comienza a mostrar páginas que el propietario nunca creó. El sitio consume recursos de manera anormal. Se detectan archivos desconocidos. Comienza a enviarse correo que nadie autorizó o simplemente la web deja de funcionar correctamente.
Entonces aparece una respuesta que hemos escuchado muchas veces durante años de trabajo con sitios web:
"Es problema del hosting".
Puede serlo.
Pero no necesariamente.
Y ahí comienza uno de los problemas más frecuentes de falta de información.
Hosting y WordPress no son la misma cosa
El hosting proporciona la infraestructura sobre la cual funciona la aplicación.
Dependiendo del proveedor y del servicio contratado, esa infraestructura puede incluir sistema operativo, servidor web, PHP, base de datos, aislamiento de cuentas, firewall, backups, análisis de malware y otros controles.
Dentro de esa infraestructura funciona WordPress.
Y dentro de WordPress tenemos otra capa formada por plugins, temas, usuarios, contraseñas, integraciones y personalizaciones propias del sitio.
La documentación oficial de WordPress reconoce precisamente esta separación. Su guía de hardening habla tanto de seguridad del servidor como de la propia aplicación y advierte que WordPress, los plugins y los temas deben mantenerse actualizados. También reconoce que un proveedor de hosting tiene responsabilidad sobre la seguridad de la infraestructura que administra.
Por tanto, ambas cosas pueden ser ciertas.
Un mal hosting puede generar problemas.
Una instalación WordPress descuidada también.
Lo profesional es determinar qué falló antes de señalar al responsable.
Cambiar de hosting no limpia automáticamente una web comprometida
Este punto es importante porque muchas veces la reacción inmediata ante una infección es migrar.
Cambiar de proveedor puede ser totalmente válido si existen problemas reales de infraestructura, atención o seguridad.
Pero una migración normalmente traslada archivos y base de datos.
Si esos archivos contienen el mismo plugin vulnerable, la misma extensión abandonada, una puerta trasera o código modificado por un atacante, cambiar de servidor no elimina automáticamente el problema.
Google lo explica desde otro ángulo cuando habla de sitios comprometidos.
Cuando detecta problemas de seguridad recomienda limpiar el sitio y corregir la vulnerabilidad que permitió el ataque antes de solicitar una revisión. Incluso utiliza como ejemplo actualizar un complemento obsoleto que originó el problema.
Por eso una frase sencilla puede evitar muchas confusiones:
Migrar una web no es lo mismo que sanearla.
Antes de mover una instalación comprometida conviene identificar qué ocurrió y cerrar la causa original.
De lo contrario podemos estar trasladando el problema al siguiente proveedor.
WordPress recomienda mantenerse actualizado porque las vulnerabilidades cambian
WordPress explica que su software se actualiza regularmente para corregir problemas de seguridad.
También advierte que cuando una vulnerabilidad se hace pública, las versiones antiguas pueden quedar más expuestas porque la información necesaria para intentar explotarla ya está disponible.
La misma lógica se aplica a las extensiones.
La documentación oficial de administración de plugins indica que los desarrolladores publican nuevas versiones para añadir funcionalidades, mejorar el código y mantener la seguridad. WordPress recomienda mantener los plugins actualizados y recuerda que conviene disponer de una copia de seguridad reciente antes de hacerlo.
La documentación de actualizaciones automáticas lo expresa de manera directa: para mantener seguro un sitio WordPress, plugins y temas deben conservarse en sus versiones actuales.
Esto cambia completamente la expectativa que debería recibir el propietario de una web.
El proyecto no termina con la publicación.
Comienza otra etapa.
Las vulnerabilidades no son una posibilidad teórica
No hace falta generar miedo para demostrar que el problema existe.
Existen proyectos especializados que registran vulnerabilidades descubiertas en el ecosistema WordPress.
Patchstack informó que durante 2025 se registraron 11,334 nuevas vulnerabilidades relacionadas con el ecosistema WordPress.
El dato más interesante aparece cuando se observa dónde fueron encontradas.
El 91 % correspondió a plugins.
El 9 % correspondió a temas.
Solo seis vulnerabilidades fueron reportadas en el núcleo de WordPress y Patchstack las clasificó como problemas de baja prioridad.
Este dato no debería interpretarse como que todos los plugins son inseguros.
La conclusión razonable es otra.
La superficie de una instalación WordPress es mucho mayor que el núcleo.
Cada componente que añadimos incorpora código adicional que tendremos que mantener, vigilar y eventualmente reemplazar.
Por eso la seguridad comienza incluso antes de instalar el primer plugin.
Elegir un plugin también es una decisión de seguridad
Una pregunta habitual durante el desarrollo es:
"¿Este plugin hace lo que necesito?"
Deberíamos añadir otras.
¿Quién lo desarrolla?
¿Cuándo fue actualizado?
¿Continúa recibiendo soporte?
¿Es compatible con nuestra versión de WordPress?
¿Tiene una base razonable de usuarios?
¿Existe documentación?
¿Sigue siendo necesario instalarlo?
WordPress enseña oficialmente estos criterios en Learn WordPress.
Su tutorial para elegir plugins recomienda prestar atención a cuatro elementos: valoración de los usuarios, fecha de última actualización, cantidad de instalaciones activas y compatibilidad con la versión de WordPress utilizada.
La propia formación de WordPress sugiere evitar plugins que no hayan sido actualizados durante mucho tiempo.
Esto debería formar parte del procedimiento normal de cualquier diseñador.
Si encontramos dos plugins capaces de resolver la misma necesidad y uno continúa recibiendo mantenimiento mientras el otro lleva años abandonado, no deberíamos elegir únicamente por apariencia o comodidad.
Conviene investigar cuál representa una dependencia más saludable para los próximos años.
Que un plugin siga funcionando no significa que debamos ignorar que fue abandonado
Un plugin puede continuar funcionando aunque no reciba actualizaciones.
Eso no demuestra automáticamente que sea vulnerable.
Tampoco demuestra que sea una buena elección a largo plazo.
La ausencia prolongada de mantenimiento debería ser una señal para revisar alternativas.
WordPress recomienda seleccionar plugins y temas que estén recibiendo actualizaciones activas.
La decisión más económica suele ser tomarla antes de construir toda la página alrededor de una dependencia abandonada.
Reemplazar un plugin antes de desarrollar puede tomar minutos.
Reemplazarlo años después, cuando decenas de páginas dependen de él, puede convertirse en un proyecto completo.
Los temas también necesitan mantenimiento
Existe otra idea equivocada bastante extendida.
Un tema no es únicamente el aspecto visual de una página.
Puede contener PHP, JavaScript, funciones propias, integraciones y otros componentes que intervienen directamente en el funcionamiento de WordPress.
Por eso también debe mantenerse actualizado.
La documentación oficial de WordPress incluye a los temas dentro de los componentes que deben conservarse actualizados por razones de seguridad.
Antes de elegir uno conviene revisar quién lo mantiene, cuándo recibió su última actualización y si sigue siendo compatible con las versiones modernas de WordPress y PHP.
Un diseño atractivo puede reemplazarse.
Una base técnica abandonada puede convertirse en una deuda bastante más costosa.
Los plugins y temas nulled añaden un riesgo que muchas veces el cliente desconoce
Durante años de revisión de instalaciones WordPress hemos encontrado también sitios construidos utilizando temas y plugins conocidos como nulled.
Normalmente se trata de productos comerciales redistribuidos fuera de sus canales oficiales y utilizados sin la licencia original o mediante archivos modificados.
Aquí conviene evitar exageraciones.
No sería serio afirmar que absolutamente todo plugin o tema nulled contiene malware.
No necesitamos hacerlo para explicar el problema.
La cuestión fundamental es que hemos perdido la trazabilidad y la confianza en el origen del código.
La documentación oficial de hardening de WordPress recomienda expresamente no obtener plugins ni temas desde fuentes no confiables y restringirse al repositorio oficial de WordPress.org o a empresas conocidas.
Google ofrece una recomendación equivalente desde el punto de vista de la seguridad general de sitios web. Recomienda seleccionar cuidadosamente los proveedores de contenido y aplicaciones de terceros y asegurarse de que procedan de fuentes legítimas y confiables.
Cuando descargamos un producto comercial desde una página desconocida no podemos asumir que el archivo sea exactamente el mismo que distribuye el fabricante.
Tampoco sabemos necesariamente quién lo modificó, qué modificaciones realizó o si podremos continuar actualizándolo mediante su canal legítimo.
Utilizar ese tipo de componentes en una página que luego será entregada a un cliente sin explicárselo genera una deuda que el propietario probablemente desconoce.
Instalar menos también puede ser una mejora
Los plugins son una de las mejores características de WordPress.
Permiten incorporar funcionalidades que costaría mucho tiempo desarrollar desde cero.
El problema no está en utilizarlos.
Está en instalarlos sin criterio.
Con el tiempo podemos encontrar un plugin para insertar una pequeña línea de código, otro para una redirección, otro para modificar un texto, otro para una función que ya dejó de utilizarse y varios más que nadie recuerda por qué fueron instalados.
Cada componente adicional es otra pieza que debe mantenerse.
La guía oficial de hardening de WordPress recomienda mantener actualizados los plugins y eliminar aquellos que no se utilizan.
Por eso una buena arquitectura WordPress no se mide por cuántos plugins consigue instalar.
Se mide por si utiliza los necesarios y si esos componentes tienen una razón clara para estar allí.
Actualizar tampoco significa pulsar todos los botones sin pensar
Cuando explicamos que WordPress requiere actualizaciones aparece otra interpretación extrema.
"Entonces actualizo todo cada vez que aparezca un aviso."
En muchos proyectos sencillos eso puede funcionar perfectamente.
En otros conviene hacerlo de forma controlada.
WordPress recomienda mantener los plugins actualizados, pero también aconseja disponer de un backup reciente porque durante una actualización pueden aparecer problemas.
La documentación sobre actualizaciones automáticas también recomienda realizar backups periódicos del sitio.
Una web corporativa sencilla no tiene necesariamente el mismo nivel de dependencia que un WooCommerce conectado con pagos, facturación, constructor visual, reservas y desarrollo propio.
Mantener no significa únicamente actualizar.
También significa comprobar qué ocurrió después.
¿Sigue funcionando el formulario?
¿El proceso de compra termina correctamente?
¿Las páginas siguen mostrando el diseño esperado?
¿Aparecieron errores?
¿Las integraciones continúan trabajando?
Esa revisión es parte del mantenimiento.
Mantener todo actualizado tampoco vuelve invulnerable una página
Otra cosa que el cliente debería comprender es que la seguridad absoluta no existe.
Las actualizaciones son fundamentales, pero son solo una capa.
La documentación oficial de WordPress habla de limitar accesos, reducir posibles puntos de entrada, contener daños, mantener backups y conocer regularmente el estado de la instalación.
Google también recomienda mantener todo el software al día, revisar el servidor, monitorizar el sitio y conservar una lista de los componentes instalados y sus versiones.
Su documentación incluso describe como un error común instalar herramientas que facilitan la creación de un sitio y luego olvidarse de ellas.
Un mantenimiento razonable puede incluir actualización de WordPress, plugins y tema, backups, eliminación de componentes innecesarios, revisión de usuarios, comprobaciones de malware, hardening, monitorización y revisión de compatibilidades.
La profundidad dependerá del proyecto.
Pero dejar una instalación durante años sin que nadie se responsabilice de ella no debería considerarse mantenimiento.
Una infección también puede convertirse en un problema para Google
Para algunos propietarios el argumento técnico puede parecer lejano hasta que comprenden que una infección también puede afectar la visibilidad y reputación de su empresa.
Google Search Console dispone de un informe específico denominado Problemas de seguridad.
Google explica que puede utilizarlo para informar de sitios pirateados, malware, software no deseado y contenido utilizado para ingeniería social.
Los sitios afectados pueden mostrar advertencias en los resultados de búsqueda e incluso provocar que el navegador presente una página de advertencia al visitante.
Por tanto, mantener una web no solamente protege archivos.
También protege el trabajo SEO, la reputación y la confianza que el negocio ha ido construyendo.
Puedes tener contenido pirateado sin verlo al visitar tu página principal
Existe otro motivo por el cual algunos propietarios dudan cuando se les explica que su web ha sido comprometida.
Ellos entran al sitio y lo ven normalmente.
"Yo la veo bien."
Eso no descarta una infección.
Google explica que los atacantes pueden introducir contenido sin permiso aprovechando vulnerabilidades del sitio. Search Console puede detectar algunas de esas páginas comprometidas.
Google recomienda incluso realizar periódicamente búsquedas con el operador site: para comprobar qué páginas conoce de nuestro dominio y detectar contenido inesperado que podría haber sido introducido por un atacante.
Una infección no siempre destruye la página principal.
A veces el objetivo del atacante es precisamente pasar desapercibido.
El diseñador debería explicar todo esto antes de entregar el proyecto
El propietario de una pequeña empresa no tiene por qué saber qué es un CVE.
Tampoco tiene por qué entender inicialmente qué diferencias existen entre WordPress, PHP, un plugin, un tema, una base de datos o el servidor.
Precisamente por eso contrata a alguien con conocimientos.
Si quien desarrolla el sitio sabe que WordPress requerirá mantenimiento posterior y decide no explicarlo por temor a que el cliente no quiera contratar el trabajo, el resultado es una expectativa incompleta.
El cliente cree haber comprado un producto que funcionará indefinidamente sin intervención.
La documentación de WordPress muestra que esa expectativa no corresponde al funcionamiento real de la plataforma.
Informarlo no perjudica a WordPress.
Al contrario.
Permite utilizarlo responsablemente.
El mantenimiento puede convertirse en una oportunidad para el diseñador
Hay otra manera de mirar este problema.
Muchos diseñadores viven buscando constantemente el siguiente proyecto.
Terminan una página.
Cobran.
Entregan.
Buscan otro cliente.
Mientras tanto, la página anterior comienza su vida real en Internet sin nadie responsable de acompañarla.
Existe una oportunidad profesional mucho más interesante.
El mantenimiento puede convertirse en un servicio recurrente.
Pero tiene que aportar valor.
No debería presentarse simplemente como:
"Te cobraré todos los meses para actualizar plugins."
Eso puede parecer un gasto difícil de justificar.
Una revisión periódica puede combinar mantenimiento técnico y evolución.
Se pueden revisar actualizaciones y backups.
Pero también formularios.
Rendimiento.
Search Console.
Problemas de indexación.
Contenido desactualizado.
Nuevos servicios de la empresa.
SEO.
Core Web Vitals.
Conversión.
Seguridad.
Pequeñas mejoras funcionales.
Así cambia la conversación.
El cliente deja de pagar únicamente para evitar que algo se rompa.
Empieza a invertir para que su activo digital continúe funcionando y mejorando.
Y el diseñador deja de depender únicamente de vender una nueva web cada mes.
Hay otra responsabilidad importante cuando se utilizan productos de pago
Muchos sitios WordPress dependen de temas y plugins comerciales.
Esto no representa ningún problema por sí mismo.
Existen excelentes productos de pago.
El asunto importante es otro.
¿Quién es propietario de la cuenta y de la licencia?
Si vas a encargar el desarrollo de tu sitio y este dependerá de plugins o temas comerciales, conviene preguntar desde el comienzo quién comprará esas licencias.
Si quieres conservar independencia frente a un diseñador determinado, una opción muy saludable es crear tú mismo la cuenta del fabricante con tu correo y realizar la compra directamente.
El diseñador puede indicarte qué producto necesita, instalarlo, configurarlo y mantenerlo.
Pero la cuenta permanece bajo tu control.
Si mañana cambia el profesional responsable de la web, la licencia continúa contigo.
Comprar un plugin no siempre significa recibir actualizaciones para toda la vida
Aquí es importante no generalizar.
Cada fabricante establece sus propias condiciones.
Algunos plugins y temas funcionan mediante suscripción anual.
Otros venden periodos determinados de soporte y actualizaciones.
Algunos ofrecen licencias de por vida.
Otros permiten seguir utilizando la versión instalada después de vencer la suscripción, pero dejan de entregar nuevas actualizaciones o soporte.
Por eso la recomendación correcta no es asumir que una licencia comercial incluye actualizaciones perpetuas.
Antes de comprar hay que revisar las condiciones oficiales del proveedor.
El cliente debería conocer cuánto dura la licencia, cuántos sitios permite, qué actualizaciones incluye, cuánto cuesta renovar y qué ocurre cuando deja de pagarse.
La fuente válida para esas condiciones es siempre el fabricante del producto concreto.
Lo importante es evitar quedar atrapado por una dependencia que nunca se explicó
Supongamos que una agencia utiliza una licencia propia que permite instalar determinado plugin en cien páginas de clientes.
Eso no es necesariamente una mala práctica.
Puede formar parte perfectamente de su servicio.
Lo que debe existir es transparencia.
El propietario debería saber que esa licencia pertenece a la agencia y comprender qué ocurrirá si deja de contratar sus servicios.
¿El plugin seguirá funcionando?
¿Dejará de recibir actualizaciones?
¿Tendrá que comprar su propia licencia?
¿Podrá transferirse?
Estas condiciones deberían explicarse antes.
El problema no es que una agencia utilice su licencia.
El problema aparece cuando el cliente descubre esa dependencia varios años después.
Las cuentas importantes también deberían estar bajo control del propietario
Este principio no debería limitarse únicamente a los plugins.
Una empresa debería saber quién controla los activos fundamentales de su presencia digital.
Dominio.
Hosting.
Licencias críticas.
Google Search Console.
Google Analytics.
Correo empresarial.
Cuentas comerciales necesarias para la web.
El proveedor puede administrarlas.
Pero el propietario debería saber que existen y conservar un mecanismo razonable de control o recuperación.
Una relación profesional sana no necesita crear dependencias artificiales.
Un cliente debería continuar trabajando con un diseñador porque el servicio le aporta valor, no porque técnicamente no puede dejarlo.
Una buena entrega debería incluir algo más que usuario y contraseña
Cuando se termina un proyecto WordPress, sería útil entregar también un inventario básico.
No necesita ser un documento de cien páginas.
Basta con que permita responder preguntas importantes.
Qué tema utiliza la web.
Qué plugins son esenciales.
Cuáles son gratuitos.
Cuáles son comerciales.
Quién posee las licencias.
Qué renovaciones existen.
Qué servicio de hosting utiliza.
Qué mantenimiento requiere.
Quién se responsabilizará de él.
Dónde se encuentran los backups.
Qué cuentas principales están relacionadas con el proyecto.
Esta información evita uno de los escenarios que vemos con demasiada frecuencia.
Años después nadie sabe quién compró determinada licencia.
Nadie recuerda por qué se instaló un plugin.
El desarrollador original ya no trabaja con el cliente.
El correo utilizado para registrar un producto pertenece a otra persona.
Y cualquier actualización se convierte en una investigación.
El hosting tampoco queda fuera de esta historia
Todo lo anterior no significa que el hosting nunca sea responsable.
Eso sería tan incorrecto como responsabilizarlo automáticamente de cualquier infección.
Google advierte expresamente que incluso un propietario que mantiene sus componentes actualizados puede continuar expuesto si el proveedor de alojamiento no aplica correctamente los parches del sistema operativo y de su infraestructura.
WordPress también recomienda utilizar un proveedor de hosting confiable que mantenga adecuadamente el entorno donde funciona la aplicación.
Por tanto, la seguridad es compartida.
El proveedor mantiene su infraestructura.
El responsable de WordPress mantiene la aplicación.
El propietario protege sus credenciales y decisiones administrativas.
El diseñador debe instalar componentes confiables y explicar las dependencias que introduce.
Cuando todos entienden qué parte les corresponde, es mucho más sencillo diagnosticar un problema.
Lo que no deberíamos hacer es buscar un culpable antes de investigar
Cuando existe un incidente, la pregunta útil no es:
"¿A quién le echamos la culpa?"
Es:
"¿Por dónde entraron?"
¿Había un plugin vulnerable?
¿Un tema abandonado?
¿Una contraseña comprometida?
¿Software nulled?
¿WordPress llevaba años sin actualizar?
¿El servidor tenía un problema?
¿El equipo desde donde se administraba la web estaba comprometido?
¿Hubo varias causas?
La documentación oficial de WordPress recuerda incluso que ninguna medida aplicada al servidor o al propio WordPress puede proteger completamente una instalación si el ordenador utilizado para administrarla contiene malware o un keylogger.
La seguridad rara vez se resuelve correctamente cuando comenzamos por la conclusión.
Primero necesitamos evidencia.
WordPress sigue siendo una excelente herramienta
Este artículo no pretende desaconsejar WordPress.
Todo lo contrario.
Su flexibilidad permite construir soluciones excelentes y administrables sin reinventar cada parte de una aplicación.
El problema no es aprovechar WordPress.
El problema es aprovechar sus ventajas y ocultar sus responsabilidades.
Una implementación profesional debería comenzar escogiendo correctamente sus componentes.
Debería evitar software de procedencia dudosa.
Debería utilizar plugins necesarios y activamente mantenidos.
Debería conservar las licencias comerciales de forma clara.
Debería definir quién realizará las actualizaciones.
Debería tener backups.
Y debería saber qué ocurrirá después de la entrega.
La pregunta correcta no es:
"¿WordPress es seguro o inseguro?"
Tampoco:
"¿El hosting tiene la culpa?"
La pregunta realmente útil es:
¿Quién se hará responsable de esta instalación WordPress durante toda su vida útil?
Si esa pregunta tiene una respuesta desde el primer día, hemos dado un paso enorme.
El cliente sabe qué está comprando.
El diseñador puede convertir el mantenimiento en un servicio profesional recurrente.
El hosting puede concentrarse en la infraestructura que le corresponde.
Y la página tiene muchas más posibilidades de continuar siendo útil, actualizada y saludable durante los años siguientes.
Construir una web es un proyecto.
Mantenerla es un proceso.
Y explicar esa diferencia antes de cobrar y entregar debería formar parte de un trabajo profesional.