El 31 de diciembre de 2026, PHP 8.2 deja de recibir parches de seguridad. A principios de octubre de 2026, las estadísticas de WordPress.org indican que una de cada cuatro webs WordPress sigue funcionando con esa versión, y más de un tercio usa versiones de PHP que ya no reciben ningún parche. Casi ninguno de esos propietarios ha decidido quedarse ahí; en muchos casos nadie revisaba qué versión tenía el servidor.
Para eso sirve un plan de mantenimiento. En este artículo explicamos qué consideramos el mínimo para una web WordPress o una tienda WooCommerce, por qué pulsar Actualizar todo no basta y qué preguntas hacer antes de firmar un contrato de mantenimiento.
Por qué pulsar Actualizar no es un plan de mantenimiento
El informe de Patchstack sobre 2025 contó 11.334 vulnerabilidades nuevas en el ecosistema WordPress, un 42 % más que el año anterior. El 91 % estaban en plugins, el 9 % en temas y solo 6 en el núcleo de WordPress. En las más explotadas, la mediana hasta los ataques masivos fue de 5 horas.
De ahí salen dos conclusiones. El riesgo está en los plugins que instalas, así que tener pocos y bien mantenidos importa más que cualquier ajuste. Y una web que se actualiza cuando alguien se acuerda queda expuesta durante días o semanas. El mismo informe señala que el 46 % de las vulnerabilidades no tenía parche cuando se hicieron públicas. En esos casos todavía no hay nada que actualizar, y la única defensa es quitar el plugin o bloquear el ataque con una regla de cortafuegos.
Actualizar a ciegas también tiene su riesgo. Una actualización de WooCommerce que cambia las plantillas del pago, un maquetador que descoloca el diseño, un plugin de pagos que de repente exige una versión de PHP más nueva: cualquiera de los tres puede tumbar una tienda que estaba al día. Mantener una web es actualizar a menudo y comprobar después que todo sigue funcionando.
Qué debe incluir un plan de mantenimiento mensual
Esto es lo que consideramos el mínimo. La frecuencia depende de la web: una web corporativa con un formulario de contacto necesita menos atención que una tienda que recibe pedidos todos los días.
1. Actualizaciones probadas antes en una copia
Las actualizaciones del núcleo, los plugins y el tema van primero a una copia de pruebas, un clon privado de la web. Allí revisamos las páginas que traen dinero o contactos: la portada, un producto, el carrito, el pago con una compra de prueba y el formulario de contacto. Solo entonces pasan a la web real, con una copia de seguridad hecha minutos antes. Un parche que corrige un fallo que ya se está atacando se salta la cola y se aplica el mismo día.
WordPress puede actualizar plugins y temas de forma automática. Lo activamos en plugins pequeños y de poco riesgo, y dejamos WooCommerce, el maquetador y los plugins de pago en actualizaciones manuales que se prueban antes.
2. Copias de seguridad que se han restaurado alguna vez
Nadie sabe si una copia funciona hasta que se ha restaurado al menos una vez. Archivos y base de datos deberían copiarse cada día y guardarse fuera del servidor donde está la web, como recomienda también la documentación de WordPress sobre copias de seguridad , para que un fallo del servidor o una cuenta comprometida no se lleve las copias por delante. En una tienda, la base de datos merece copias más frecuentes, porque los pedidos entran durante todo el día.
Cada pocos meses conviene restaurar una copia en un entorno de pruebas y comprobar que la web arranca y que están los últimos pedidos. Pregunta a tu proveedor dónde se guardan las copias, cuántos días atrás puedes volver y cuándo probó una restauración por última vez. Si la respuesta a lo último es nunca, eso es lo primero que hay que arreglar.
3. Versiones de PHP y del servidor
PHP es el lenguaje con el que funciona WordPress, y cada versión recibe parches de seguridad durante un tiempo limitado. WordPress recomienda PHP 8.3 o superior. Estas son las fechas de fin que publica el proyecto PHP:
- PHP 8.1 y anteriores: sin parches de seguridad desde el 31 de diciembre de 2025.
- PHP 8.2: parches de seguridad hasta el 31 de diciembre de 2026.
- PHP 8.3: hasta el 31 de diciembre de 2027.
- PHP 8.4: hasta el 31 de diciembre de 2028.
- PHP 8.5: hasta el 31 de diciembre de 2029.
Pasar a una versión más nueva de PHP suele ser una tarde de trabajo en la copia de pruebas: cambiar la versión, recorrer la web, leer el registro de errores y actualizar o sustituir los plugins que fallan. Planificado ahora es una tarde tranquila; en la última semana de diciembre es una urgencia. Algunos proveedores de hosting y distribuciones Linux siguen parcheando versiones antiguas por su cuenta, así que pregunta al tuyo. Si no es tu caso, una web con PHP 8.1 o anterior ya funciona sin parches de seguridad, y una con 8.2 debería cambiar antes de fin de año.
4. Seguridad más allá de las actualizaciones
- Revisar las cuentas de usuario: sin accesos compartidos, sin antiguos empleados o agencias con permisos de administrador y con verificación en dos pasos para cada administrador.
- Borrar los plugins y temas inactivos o abandonados por sus autores. Desactivarlos no basta, porque los archivos siguen en el servidor.
- Un cortafuegos de aplicaciones web (WAF) que bloquee ataques conocidos y cubra el hueco mientras todavía no hay parche.
- Buscar archivos del núcleo modificados y archivos PHP inesperados en la carpeta de subidas, un sitio habitual para esconder código inyectado.
5. Monitorización
La web debería comprobarse desde fuera cada pocos minutos, para enterarse de una caída antes de que llame un cliente. Lo mismo vale para la caducidad del certificado SSL y del dominio. De vez en cuando conviene enviar una prueba por el formulario de contacto y hacer un pedido de prueba: un formulario que deja de enviar correos sin avisar es de los fallos más caros y de los más difíciles de ver.
6. Velocidad y un informe mensual breve
Una vez al mes, revisar la velocidad de carga en móvil con PageSpeed Insights, el tamaño de la base de datos y las páginas más lentas. Después, un informe breve: qué se actualizó, qué se bloqueó, cómo cambió la velocidad y qué recomendamos para el mes siguiente. Debería poder leerse en dos minutos; si no, nadie lo lee.
Lo que no cubre el mantenimiento
Un plan de mantenimiento mantiene la web segura y funcionando. No incluye funciones nuevas, rediseños, páginas nuevas ni cambios de contenido, y el contrato debería decirlo por escrito. Los planes que prometen cambios ilimitados suelen acabar con los cambios hechos tarde o con el mantenimiento hecho mal. Preferimos un alcance mensual claro y, para todo lo demás, un presupuesto aparte o una pequeña bolsa de horas.
Si lo haces tú: una lista mensual
Si te ocupas tú de la web, esto es lo mínimo que haríamos cada mes:
- Haz una copia de seguridad completa y guarda una copia fuera del servidor.
- Abre Herramientas, Salud del sitio en el escritorio de WordPress. Avisa de una versión de PHP antigua y de otros problemas.
- Actualiza en una copia de pruebas si tu hosting la ofrece. Si no, actualiza los plugins de uno en uno y revisa la portada, el carrito y el formulario de contacto después de cada uno.
- Borra los plugins y temas que no uses.
- Revisa la lista de usuarios y quita a quien ya no necesite acceso.
- Envía un mensaje de prueba por cada formulario de la web.
- Apunta la versión de PHP y la fecha de la última copia que restauraste.
Si algún paso te lleva más de una hora, o prefieres no tocar tú una tienda en funcionamiento, compensa delegarlo.
Cómo comparar ofertas de mantenimiento
Los precios varían mucho entre proveedores, y los planes más baratos a menudo cubren poco más que las actualizaciones automáticas. Antes de firmar, haz estas preguntas:
- ¿Dónde se guardan las copias, durante cuánto tiempo y cuándo fue la última prueba de restauración?
- ¿Las actualizaciones se prueban en una copia antes de llegar a la web real?
- ¿Qué pasa si una actualización rompe algo y en cuánto tiempo respondéis?
- ¿Quién cambia la versión de PHP y cuándo?
- ¿Qué entra cada mes y cómo se facturan los demás cambios?
Un proveedor que lo hace bien responde con datos concretos: dónde están las copias, cuántos días cubren y la fecha de la última prueba.
El mantenimiento forma parte de nuestro trabajo en webs WordPress y tiendas WooCommerce, junto con la optimización de velocidad y rendimiento.
¿No sabes cómo se mantiene hoy tu web?
Envíanos la dirección de tu web y cuéntanos cómo se cuida ahora. Te diremos qué falta y qué incluiría un plan de mantenimiento para tu caso.