Mantenimiento de WordPress, cuántas horas exige cada mes

El mantenimiento de WordPress es la tarea que casi ninguna pyme presupuesta hasta que algo deja de funcionar: un plugin desactualizado tira la web, o Google avisa de que el sitio está comprometido. Entre mayo y octubre de 2026, WordPress ha publicado actualizaciones de núcleo en nueve fechas distintas, y el ecosistema de plugins ha sumado miles de vulnerabilidades nuevas. Si gestionas la web de tu empresa y nadie se ocupa de esto cada mes, esto es qué tareas hacen falta de verdad, cuántas horas exigen y cuándo conviene dejar de hacerlo a mano.

Un WordPress de empresa sin tienda online necesita entre 3 y 6 horas de mantenimiento al mes: actualizar núcleo, plugins y temas, revisar que la copia de seguridad funciona y comprobar que ningún componente instalado tiene una vulnerabilidad conocida sin parchear. Con tienda online o pasarela de pago, la cifra sube a 8-12 horas.

Las tareas que exige cuidar un WordPress

Mantener un WordPress no es solo pulsar "actualizar" cuando aparece el aviso en el panel. Son varias tareas distintas, con una periodicidad distinta cada una, y conviene no mezclarlas: de nada sirve actualizar el núcleo si la copia de seguridad lleva meses sin comprobarse.

• Actualizar el núcleo de WordPress, los plugins y el tema, probando antes en un entorno de pruebas si el cambio es mayor.
• Revisar que la copia de seguridad se genera, se guarda fuera del propio servidor y se puede restaurar, no solo que existe.
• Comprobar que ningún plugin instalado tiene una vulnerabilidad conocida sin parchear, aunque siga funcionando con normalidad.
• Vigilar el tiempo de carga tras cada actualización, porque un plugin nuevo puede empeorarlo sin que se note a simple vista.
• Revisar enlaces rotos, formularios de contacto y certificado SSL, que son los fallos que menos se detectan solos.

Cada una de estas tareas puede delegarse por separado, pero casi nunca se contratan así: lo habitual es un plan de mantenimiento que las agrupa todas con una periodicidad mensual o quincenal.

Vulnerabilidades que aparecen cada año en WordPress

WordPress mueve el 39,6% de todas las páginas web del mundo, según W3Techs, lo que lo convierte en el objetivo más rentable para automatizar ataques. En 2025 el ecosistema sumó 11.334 vulnerabilidades nuevas, un 42% más que en 2024, según el informe de seguridad de Patchstack.

Por qué los plugins concentran el riesgo

El 91% de esas vulnerabilidades apareció en plugins, el 9% en temas y solo seis en el núcleo, y esas seis eran de prioridad baja. La diferencia no es casualidad: el núcleo lo revisa un equipo fijo con un proceso de publicación formal, y cada plugin lo mantiene quien lo mantiene, con recursos muy distintos entre un proyecto gratuito y uno de pago. El dato que sorprende: los plugins premium o freemium concentraron tres veces más vulnerabilidades explotadas que los gratuitos, porque cobrar por soporte no siempre significa revisar antes el código.

Las horas entre el aviso y el ataque

El 46% de las vulnerabilidades de 2025 se hizo pública sin parche listo, y la mediana hasta el primer intento de explotación masiva fue de cinco horas. Revisar actualizaciones una vez a la semana deja días de ventana con un fallo ya conocido y sin corregir. Por eso un plan de mantenimiento serio incluye avisos de seguridad casi en tiempo real sobre los plugins concretos instalados, no un boletín genérico.

Una vulnerabilidad crítica en WordPress es un fallo con CVSS de 9.0 o más: permite tomar el control del sitio o ejecutar código en el servidor sin credenciales previas.

Cuánto mantenimiento de WordPress hace falta al mes

La cifra depende del tamaño de la web y de cuántos plugins activos tiene, pero conviene desglosarla tarea por tarea para no quedarse en un número que suena bien y no explica nada:

• Actualizaciones de núcleo, plugins y temas, comprobando que la web sigue funcionando después: entre 1 y 2 horas a la semana.
• Verificación de que la copia de seguridad se ha generado y es restaurable: 15-30 minutos a la semana, y una restauración de prueba completa una vez al trimestre.
• Monitorización de seguridad y revisión de avisos sobre los plugins instalados: trabajo continuo más que una tarea puntual, pero que ocupa poco si está automatizado con una herramienta.
• Prueba completa tras cada actualización mayor de WordPress, como las de las versiones 7.0 y 7.1 de 2026: de 2 a 4 horas, unas pocas veces al año.

Sumado, un WordPress corporativo sencillo, sin tienda ni integraciones de pago, se mueve entre 3 y 6 horas al mes. Uno con tienda online, pasarela de pago o varios formularios conectados a un CRM sube a 8-12 horas, porque cada actualización de un plugin de pago hay que probarla contra el flujo de compra completo antes de darla por buena.

Qué pasa si descuidas las actualizaciones

El escenario más visible es el pirateo: un plugin con una vulnerabilidad conocida y sin parchear es la vía de entrada más común, no un ataque dirigido contra esa empresa en concreto. El rastreo es automático y no distingue el tamaño del negocio: localiza la versión expuesta, no quién la usa.

El daño rara vez se queda en lo técnico. Una web marcada como comprometida puede acabar en la lista negra de Google Safe Browsing, que avisa con una pantalla roja a quien intenta entrar antes de que vea una sola página, y salir de esa lista no es inmediato ni automático. Mientras tanto, cualquier posición ganada con meses de trabajo se pierde, porque Google deja de mostrar un resultado que identifica como inseguro. Y si la web lleva meses sin tocarse, el problema ya no es solo seguridad: plugins abandonados que dejan de ser compatibles con la versión de PHP del hosting, formularios que dejan de enviar el correo sin que nadie lo note, o un certificado SSL caducado que el navegador bloquea directamente.

Externalizar el cuidado o asumirlo dentro de casa

Las tres opciones habituales son un freelance por horas, un plan de mantenimiento mensual con una agencia y un hosting gestionado que asume parte del trabajo de serie. Ninguna sustituye del todo a las demás: cada una cubre una parte distinta de la lista de tareas.

Qué resuelve un hosting gestionado y qué no

Un hosting gestionado para WordPress suele incluir copias de seguridad automáticas, actualizaciones de núcleo y un firewall a nivel de servidor, y eso cubre buena parte del riesgo de seguridad sin que nadie tenga que acordarse. Lo que no cubre es la parte de contenido y configuración: nadie revisa si el plugin de SEO sigue bien configurado, ni si el tiempo de carga sigue dentro del límite que marca Google tras instalar algo nuevo. Esa parte sigue exigiendo que alguien mire la web con criterio, no solo que el servidor aplique parches.

Preguntas frecuentes sobre el mantenimiento de WordPress

¿Cada cuánto hay que actualizar WordPress?

WordPress publica actualizaciones de seguridad en cuanto detecta un fallo grave, sin esperar a una versión programada: solo entre mayo y octubre de 2026 sacó parches en nueve fechas distintas. Lo razonable es revisar el panel una vez a la semana y aplicar cualquier aviso de seguridad el mismo día en que aparece, no cuando toque.

¿Cuánto cuesta el mantenimiento de WordPress para una pyme?

No hay una tarifa única porque depende de las horas reales que exige esa web: a partir de 3-6 horas al mes para un sitio corporativo sencillo, más si hay tienda online o integraciones de pago que probar después de cada actualización. Compararlo en horas, no solo en euros al mes, evita pagar un plan que no cubre lo que esa web necesita.

¿Qué pasa si no actualizo nunca los plugins?

Antes o después, uno de ellos queda con una vulnerabilidad pública y sin parchear, que es la vía de entrada más habitual para comprometer una web. El rastreo que busca esas versiones expuestas es automático: no hace falta que nadie se fije en esa pyme en concreto para que la encuentre.

¿Un hosting gestionado sustituye el mantenimiento completo?

No del todo. Cubre copias de seguridad, actualizaciones de núcleo y parte de la seguridad de servidor, pero no revisa la configuración del SEO, el rendimiento tras un cambio ni si un plugin concreto sigue siendo compatible. Para eso sigue haciendo falta que alguien con criterio mire la web, aunque sea una vez al mes.

Fuente: Patchstack – State of WordPress Security in 2026