Mantenimiento de página web: qué incluye y por qué importa

El mantenimiento de página web es el trabajo continuo que mantiene tu sitio actualizado, respaldado, seguro y rápido después del lanzamiento. Un servicio serio incluye actualizaciones de software, respaldos probados, monitoreo, seguridad y revisión de rendimiento, con tiempos de respuesta por escrito.

Un sitio web es software que depende de otro software: el CMS (el sistema con el que editas tus páginas, como WordPress), sus plugins o extensiones y el servidor donde corre. Cada pieza recibe parches y tiene fecha de caducidad. Si nadie las atiende, el sitio se vuelve lento, falla o se convierte en la puerta de entrada de un ataque. Si prefieres delegarlo, revisa qué cubre un servicio de mantenimiento y soporte para sitios en producción.

Por qué el mantenimiento no es opcional

WordPress se usa en el 39.5% de todos los sitios web, según W3Techs (consultado el 2 de noviembre de 2026). Esa popularidad lo convierte en el blanco favorito de los ataques automatizados. El informe anual de la empresa de seguridad Patchstack sobre WordPress contó 11,334 vulnerabilidades nuevas en su ecosistema durante 2025, 42% más que el año anterior. El 91% estaba en plugins y solo seis en el núcleo de WordPress.

El mismo informe trae el dato más incómodo: el 46% de esas vulnerabilidades no tenía corrección del desarrollador cuando se hizo pública. Actualizar es necesario, pero no basta. También hay que retirar plugins abandonados, vigilar lo que no tiene parche y tener un respaldo listo por si algo entra.

Debajo del sitio hay otras fechas de vencimiento:

• PHP, el lenguaje en el que corren WordPress y muchos sitios a medida, solo da soporte a las ramas 8.2 a 8.5, según su página oficial de versiones (consultado el 2 de noviembre de 2026). La 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026.
• El certificado SSL, el que activa el candado y el “https” en el navegador, dura cada vez menos. El CA/Browser Forum, que reúne a navegadores y emisores de certificados, aprobó en 2025 reducir su vigencia máxima de 398 a 47 días entre 2026 y 2029. Desde el 15 de marzo de 2026 el máximo es de 200 días, y en marzo de 2027 baja a 100, según el calendario publicado por DNSimple. Sin renovación automática, el sitio mostrará una alerta de “no seguro”.
• El dominio se renueva cada año o cada varios años. Si la tarjeta registrada venció o el aviso llega a un correo que nadie lee, puedes perderlo.

Un sitio a medida no se salva de esto: también usa frameworks y librerías (bloques de código reutilizable) que publican parches de seguridad. La diferencia es quién los aplica y cómo. Lo comparamos en WordPress o desarrollo a medida: cuál te conviene.

Qué incluye un servicio de mantenimiento serio

Esta tabla resume las áreas que debería cubrir. Las frecuencias son las que en CloudStudio recomendamos para un sitio corporativo o una tienda pequeña; un sitio con mucho tráfico o pagos en línea pide más.

Actualizaciones con red de seguridad

Actualizar no es apretar “actualizar todo” un viernes en la tarde. Lo sano es probar primero en el entorno de pruebas, respaldar justo antes y revisar después las páginas que más importan, como los formularios y el pago. Si un plugin ya no recibe actualizaciones de su autor, se reemplaza o se elimina. La versión de PHP del servidor también entra en el plan.

Respaldos que sí se pueden restaurar

Un respaldo guardado en el mismo servidor que el sitio se pierde junto con él si el servidor falla o lo cifra un ransomware (programa que secuestra archivos y pide rescate). La copia tiene que vivir en otro lugar y tener varias versiones, para poder regresar a un día anterior al problema. Y hay que probarla: un respaldo que nunca se restauró es una suposición.

Monitoreo y seguridad

El monitoreo de disponibilidad revisa cada pocos minutos que el sitio responda y avisa si no. A eso se suma un firewall de aplicaciones web (un filtro que bloquea peticiones maliciosas antes de que lleguen al sitio), contraseñas únicas con doble factor de autenticación (un código extra además de la contraseña) y una lista corta de quién tiene acceso de administrador. Da de alta tu sitio en Search Console, la herramienta gratuita de Google para dueños de sitios: su informe de problemas de seguridad señala si el sitio fue hackeado o distribuye malware (software malicioso).

Rendimiento

Google recomienda que el contenido principal cargue en menos de 2.5 segundos (LCP), que la página responda a un toque o clic en menos de 200 milisegundos (INP) y que los elementos se muevan poco mientras carga (CLS menor a 0.1), según su documentación sobre Core Web Vitals. Con el tiempo, imágenes pesadas y plugins nuevos empujan esas métricas en la dirección equivocada, así que conviene medirlas cada mes.

La revisión mensual de 6 puntos

Aunque delegues el mantenimiento, alguien de tu empresa debería poder comprobar que se está haciendo. En CloudStudio recomendamos esta revisión mensual de 6 puntos, que toma menos de media hora:

1. Abre el sitio en tu celular y en una computadora. Recorre inicio, servicios y contacto.
2. Llena el formulario de contacto y confirma que el correo llegó a quien debe atenderlo.
3. Pide la fecha del último respaldo y de la última prueba de restauración.
4. Revisa el informe de problemas de seguridad de Search Console.
5. Mide la página de inicio en PageSpeed Insights, la herramienta gratuita de Google que califica la velocidad, y compara contra el mes anterior.
6. Confirma las fechas de vencimiento del dominio y del certificado.

Si algún punto falla dos meses seguidos, tienes una conversación pendiente con tu proveedor. Y si el formulario recaba datos personales, revisa también que siga mostrando el aviso que pide la ley; lo explicamos en qué exige la nueva ley al aviso de privacidad web.

Quién lo hace: tú, tu hosting o un proveedor

Una confusión frecuente es pensar que el hosting (el servicio que renta el servidor donde vive tu sitio) ya incluye el mantenimiento. Casi siempre cubre la infraestructura, no tu aplicación: mantienen encendido el servidor, pero no actualizan tus plugins ni revisan tus formularios.

Si tu sitio corre en un servidor propio o en la nube (un VPS, un servidor virtual que rentas por mes), alguien también debe aplicar los parches del sistema operativo y vigilar el consumo de recursos. Esa parte entra en la administración de infraestructura cloud, y conviene que el mismo equipo coordine ambas cosas para no culparse entre proveedores cuando algo falla.

Qué preguntar antes de contratar mantenimiento

Pide estas respuestas por escrito:

• Qué incluye exactamente y qué se cobra aparte: ¿cambios de contenido, horas de desarrollo, migraciones?
• Cada cuánto respaldan, dónde guardan las copias, cuántas versiones conservan y cuándo fue la última prueba de restauración.
• En cuánto tiempo responden ante una caída o un hackeo, y en qué horario. Esto se llama nivel de servicio o SLA.
• Qué pasa si el sitio se infecta: ¿la limpieza está incluida o se cobra como proyecto?
• Qué reporte recibirás cada mes y quién es tu contacto.
• Cómo te entregan accesos, código y respaldos si decides cambiar de proveedor.

En CloudStudio recomendamos que el contrato de mantenimiento se firme el mismo día que el de desarrollo, con alcance y tiempos de respuesta definidos. Un ejemplo de relación a largo plazo es el portal bilingüe del centro de promoción comercial de Indonesia (ITPC CDMX), que mantenemos en operación continua y cuya renovación para 2026 ya está firmada. Si el problema ya ocurrió, la guía sobre qué hacer con una página web hackeada en las primeras horas te ayuda a ordenar la respuesta.

Preguntas frecuentes

¿Cada cuánto se le debe dar mantenimiento a una página web?

Partes del trabajo son continuas: el monitoreo corre todo el tiempo y los respaldos, cada día. Las actualizaciones conviene aplicarlas cada semana, o el mismo día si el parche es de seguridad crítica. Rendimiento, accesos y renovaciones se revisan cada mes.

¿Cuánto cuesta el mantenimiento de una página web?

Depende sobre todo de la complejidad del sitio, del tiempo de respuesta que exijas y de si incluye horas de cambios. Para dimensionarlo, compáralo con lo que pierdes sin él. Como ejemplo hipotético, una tienda que vende $90,000 MXN al mes deja de vender unos $3,000 por cada día caída (cálculo propio: 90,000 entre 30), sin contar el costo de limpiar un hackeo.

¿El hosting incluye el mantenimiento del sitio?

Por lo general, no. El hosting mantiene el servidor; las actualizaciones de tu CMS, plugins, formularios y contenido son responsabilidad tuya o de tu proveedor de mantenimiento. Algunos planes de hosting administrado actualizan WordPress de forma automática, pero no prueban que tu sitio siga funcionando después.

¿Qué pasa si no actualizo los plugins de WordPress?

Las vulnerabilidades ya publicadas quedan abiertas, y los ataques automatizados las buscan sitio por sitio. Además, con el tiempo los plugins viejos dejan de ser compatibles con versiones nuevas de PHP y el sitio puede dejar de funcionar al cambiar de servidor.

Si no sabes cuándo fue el último respaldo de tu sitio ni quién actualiza sus plugins, agenda una revisión del estado de tu sitio y te decimos qué está al día, qué está en riesgo y qué conviene atender primero.