Es lo que hago cada mes en un WordPress, con los comandos de WP-CLI para quien quiera hacerlo por su cuenta. Con copia previa siempre:
- Integridad del núcleo y de los plugins del directorio:
wp core verify-checksums y wp plugin verify-checksums --all. Cualquier archivo que no coincide con el original se revisa antes de actualizar. - Qué hay pendiente:
wp core check-update y wp plugin list --update=available. Primero los plugins con fallos publicados; los cambios de versión mayor, uno a uno. - Administradores:
wp user list --role=administrator. Cada cuenta tiene que tener dueño. - Tareas programadas:
wp cron event list. Una tarea con un nombre que no corresponde a ningún plugin es una señal clásica de reinfección. - Comprobación después de actualizar: portada, formularios de contacto, carrito y pago si hay tienda, y el editor (Elementor o el de bloques).
Plugins abandonados
WordPress.org avisa cuando un plugin no se ha probado con las tres últimas versiones mayores de WordPress, y cierra los que tienen un fallo sin corregir o que su autor abandona. Un plugin cerrado no vuelve a recibir parches: si es imprescindible, te propongo una alternativa mantenida y la cambio con copia previa. Cuantos menos plugins, menos puertas. Si quieres revisarlo tú, los pasos están en plugins de WordPress vulnerables.
Versión de PHP
WordPress recomienda PHP 8.3 o superior y advierte de que las versiones antiguas ya no reciben parches de seguridad. Muchos hostings siguen dejando la web en la versión con la que se instaló. Antes de subir de versión compruebo que el tema y los plugins son compatibles, en una copia si la web es grande.
Elementor, WPML y licencias de pago
Los plugins de pago (Elementor Pro, WPML, ACF Pro, las extensiones de WooCommerce) se actualizan desde los servidores de su autor y solo con una licencia activa. Si la licencia caducó, el plugin se queda en la versión que tenía, con sus fallos. Uso tus licencias; si alguna está caducada, te aviso antes de que sea un problema. Una copia «nulled» de un plugin de pago no se puede mantener: es un origen muy habitual de infecciones y hay que sustituirla.
Los dos planes, su precio y lo que incluye cada uno, comparados, están en la página de mantenimiento web. Por qué un mantenimiento cuesta lo que cuesta, en cuánto cuesta el mantenimiento de una web.
Empresa de mantenimiento WordPress: qué pedir
- Que haga copia antes de cada actualización y que la guarde fuera de tu servidor
- Que te diga qué ha actualizado y qué no, por escrito, cada mes
- Que vigile la seguridad, no solo la disponibilidad: integridad de archivos y análisis de malware
- Que quede claro qué pasa si te hackean: ¿la limpieza está incluida o es otra factura?
- Que no haya permanencia y que la web, las copias y los accesos sigan siendo tuyos
Si tu web no es WordPress o tienes varias plataformas, mira el mantenimiento web general. Si el WordPress ya está infectado, primero va la limpieza de WordPress hackeado. Y si antes de contratar quieres saber cómo está, la auditoría de seguridad WordPress te lo dice con un PDF y un plan de acción.