Mantenimiento WordPress en Madrid: qué incluye y precios

Por qué el mantenimiento WordPress no es opcional: una historia real de septiembre 2026

En septiembre de 2026 me tocó limpiar una cuenta de hosting compartido con varias webs WordPress infectadas. Nadie lo notaba a simple vista: las webs funcionaban, pero Google veía páginas de spam que a los visitantes no se les mostraban. Había administradores falsos creados directamente en la base de datos, un plugin de gestor de archivos usado como puerta trasera y propietarios desconocidos añadidos a Google Search Console.

Lo que pasó por dentro:

• Las webs compartían la misma cuenta de hosting, así que la infección pasó de unas a otras.
• Alguien creó administradores falsos en la base de datos.
• Un plugin de gestor de archivos se usaba como puerta trasera para volver a entrar.
• Había código que enseñaba spam solo a Google, con mapas del sitio falsos.
• Google Search Console tenía propietarios desconocidos añadidos.

La limpieza: reinstalar núcleos de WordPress desde fuentes limpias (wordpress.org), eliminar usuarios falsos, borrar backdoors, limpiar base de datos, cerrar todos los accesos no autorizados, montar vigilancia continua con avisos por Telegram, copias diarias. Fueron varios días de trabajo intenso. Con copias, actualizaciones y vigilancia desde el principio, se habría detectado mucho antes y habría costado mucho menos.

Moraleja: WordPress sin mantenimiento es una puerta abierta. Esperar a que se queme la casa es más caro y más lento que prevenir.

Qué debe incluir un buen mantenimiento WordPress de verdad

Un buen mantenimiento no es "arreglar si se rompe". Es preventivo. Mira qué buscar en el contrato:

• Copias de seguridad automáticas. Mínimo regla 3-2-1: 3 copias, en 2 medios distintos, 1 copia fuera de tu hosting. Frecuencia: diaria o semanal. ¿Qué pasa si tu proveedor pierde una copia? Necesitas almacenamiento externo (AWS, Dropbox, servicio específico como UpdraftPlus).
• Actualizaciones de núcleo y plugins. Automatizadas o supervisadas. Cada actualización debe probarse en staging antes de producción.
• Vigilancia de seguridad. Monitorización de intentos de acceso fallidos, cambios de archivos sensibles, inyección de código. Si el hosting tiene Wordfence o equivalente, úsalo. Si no, herramientas como Solid Security o vigilancia externa vía Cloudflare.
• Acceso controlado. 2FA en todos los usuarios, elimina cuentas antiguas, cambia contraseñas cada trimestre, whitelist de IPs si es posible.
• Informe mensual. Qué se actualizó, qué se verificó, qué problemas se detectaron. No es un email vago; debe incluir números: actualizaciones aplicadas, accesos rechazados, estado de copias.

También: claridad sobre qué NO está incluido. ¿Soporte urgente a las 3 de la madrugada? ¿Cambios de contenido? ¿Rediseños? Especifica en el contrato.

Las tareas principales: copias, actualizaciones, vigilancia

Copias automáticas (3-2-1). Tres copias totales: una en tu hosting (reciente, para recuperación rápida), una en almacenamiento externo tipo Dropbox, una en segundo servidor tipo AWS. Frecuencia mínima: semanal. Si tu web tiene tienda online, copia diaria. Verifica que puedas restaurar desde una copia con 1 clic; si necesitas 1 hora de trabajo manual, no es una copia de verdad.

Actualizaciones supervisadas. WordPress recibe actualizaciones de seguridad cada 2-4 semanas. Cada plugin y cada tema también. No apliques todas de golpe en producción; siempre staging primero. Tu proveedor debe tener un entorno staging automático o manual. Duración: 10-30 minutos por web, incluido testeo.

Vigilancia 24/7. Monitoriza accesos fallidos (fuerza bruta), cambios de ficheros, inyección de código, uptime de servidor. Alertas por email o Telegram cuando algo se detecte. La vigilancia manual una vez al mes no es suficiente; necesitas alertas automáticas.

Limpieza de errores de logs. Los logs se llenan rápido. Revisión semanal, limpieza automática de registros huérfanos (de plugins eliminados, requests fallidas). Si los logs crecen sin control, pueden colapsar tu servidor.

Presupuesto según tamaño de tu cartera

Una web (Esencial): 39 €/mes. Actualizaciones, copias diarias, seguridad básica, vigilancia y 1 hora de cambios al mes. IVA incluido.

Hasta tres webs (Profesional): 89 €/mes. Todo lo anterior, más copias externas, seguridad avanzada y optimización de velocidad.

Hasta ocho webs (White-Label): 179 €/mes. Pensado para agencias: informes con su marca y prioridad en incidencias.

Más webs o tiendas online con mucho movimiento: presupuesto a medida según lo que necesiten.

Nota: estos son ejemplos basados en El Gabli. Otros proveedores pueden tener modelos distintos. Lo importante es que no sea "presupuesto abierto", sino una cantidad mensual cerrada con exclusiones claras.

Cómo organizar el primer mantenimiento

1. Inventario inicial. Comparte lista de dominios, hosting actual, versiones actuales de WordPress, plugins, tema. Si no sabes, el proveedor puede hacer un scan inicial (30-60 minutos).
2. Accesos seguros. No envíes credenciales por email. Usa un gestor de contraseñas o plataforma segura (1Password, Bitwarden). El proveedor solo debe ver lo que necesita.
3. Revisión del estado actual. Antes de empezar reviso la seguridad (plugins vulnerables, usuarios que sobran, restos de malware), las copias y la velocidad, y te digo qué he encontrado antes de tocar nada.
4. Limpieza si es necesario. Si la web ya está hackeada o mal mantenida, primer mes incluye limpieza de backdoors, eliminación de usuarios falsos, reseteo de permisos. Esto toma horas extra; acuerda si entra en el plan o es costo adicional.
5. Setup de alertas. El proveedor configura monitorización: Telegram, email, webhook, lo que uses. Prueba que las alertas llegan antes de dar por completo el setup.
6. Informe de inicio. Debería incluir: estado actual, problemas encontrados, plan de acción primeros 30 días, acceso al panel de control del mantenimiento.

Qué debe traer el informe de mantenimiento

Un informe de verdad distingue lo que se ejecutó, lo que se verificó, y lo que está pendiente. Mira qué buscar:

• Resumen ejecutivo. Estado general (OK, con advertencias, crítico), número de webs monitorizadas, incidentes detectados y resueltos.
• Actualizaciones aplicadas. Qué versión de WordPress, plugins y temas. Si se aplicó, debe incluir: versión anterior, versión nueva, fecha, tiempo de downtime (debería ser < 1 minuto).
• Copias realizadas. Fechas de copias, tamaño, ubicación, estado (OK, error, falta validación). ¿Puedes restaurar desde una?
• Incidentes detectados. Intentos de acceso fallidos, cambios no autorizados, archivos sospechosos, plugins desactivados. Número y descripción.
• Cambios de Core Web Vitals. Métrica de rendimiento (Largest Contentful Paint, First Input Delay, Cumulative Layout Shift). Incluye benchmark anterior y actual, pero SIN presentar un cambio de 0.1s como "mejora crítica".
• Recomendaciones. Qué debe actualizarse después, qué requiere atención manual, qué puede esperar.

No confundas "ha habido 100 accesos fallidos bloqueados" con "tu sitio fue atacado". El primero es normal (vigilancia funcionando). El segundo requiere investigación.

Preguntas frecuentes