El coste de no hacer nada: una revisión realista del mantenimiento de WordPress en 2026

El patrón más habitual que encontramos al auditar sitios WordPress de pequeñas empresas australianas en 2026 es lo que hemos empezado a llamar el sitio en piloto automático. El sitio se construyó hace dos o tres años. Se lanzó. El desarrollador siguió su camino. El propietario ha ido entrando de vez en cuando para actualizar un número de teléfono o publicar una entrada. Nada se ha descuidado deliberadamente. Simplemente no había ninguna rutina de mantenimiento. No hacer nada parecía gratis.

Este artículo es una revisión realista de lo que cuesta de verdad no hacer nada en 2026. Las cifras que aparecen aquí proceden de auditorías e incidentes reales y recientes. No son teóricas.

La deuda de seguridad acumulada

El núcleo de WordPress publicó unas 25 versiones en los últimos tres años entre lanzamientos mayores y menores. Los plugins han publicado miles de avisos de seguridad durante el mismo periodo. El ecosistema de plugins se mueve deprisa. Un sitio que no se ha tocado en dos años tiene docenas de avisos sin parchear en algún punto de su stack.

No todos serán explotados. Pero cuanto más tiempo pasa, mayor es la probabilidad de que al menos una combinación de aviso y escáner encuentre el sitio. La probabilidad es pequeña en cualquier momento concreto y se acerca a la inevitabilidad en un periodo lo bastante largo.

El coste de un solo incidente

Un caso reciente de una agencia de Sídney que hemos mencionado a lo largo de esta serie ofrece una imagen representativa. El sitio se vio comprometido a través de un plugin de gestión de archivos desactualizado. El atacante dejó quince archivos maliciosos que implementaban un ataque de encubrimiento (cloaking) de SEO. El descubrimiento se produjo semanas después de la entrada. Para entonces, Google había indexado suficiente spam bajo el dominio como para afectar de forma tangible al tráfico orgánico de la agencia.

El trabajo de limpieza —incluida la auditoría forense, la reparación archivo por archivo, la rotación de credenciales, el refuerzo de la seguridad y la reconsideración en Search Console— alcanzó una cifra de cuatro dígitos, de baja a media. Los clientes potenciales perdidos durante el periodo de rendimiento degradado fueron comparables. La recuperación del SEO, incluido el tiempo que costó recuperar posiciones, se prolongó durante meses. El coste total, todo incluido, superó con holgura el coste de un año completo de soporte profesional a lo largo de los dos años anteriores juntos.

La lenta erosión del rendimiento

El rendimiento no se derrumba: se erosiona. El sitio que cargaba en 1,8 segundos en el lanzamiento carga en 4,5 segundos tres años después, y el propietario no notó el deterioro porque cada cambio individual fue diminuto.

Las Core Web Vitals forman parte de la señal de posicionamiento de Google. Un sitio que perdió un segundo en Largest Contentful Paint a lo largo de tres años también ha perdido, en silencio, visibilidad en búsquedas. Esa pérdida de tráfico rara vez se atribuye al rendimiento, porque nada cambió de forma visible.

Para un negocio que depende del tráfico orgánico, esta erosión lenta puede ser la parte más cara de no hacer nada. A diferencia de un incidente de seguridad, nunca genera una factura. Genera una tubería de clientes potenciales que declina en silencio y que nadie relaciona con su causa real.

El coste reputacional

Los clientes se forman impresiones en segundos. Un sitio con aspecto anticuado, lento o con cualquier rareza visible —como una imagen de cabecera equivocada o un formulario de contacto roto— envía una señal silenciosa sobre el negocio que hay detrás. Los visitantes no piensan conscientemente que el negocio está mal gestionado. Simplemente pasan de largo. La confianza perdida es inmensurable y real.

Para un negocio de servicios en un sector competitivo, la diferencia entre un sitio de aspecto actual y uno anticuado puede ser la diferencia entre una consulta y un clic de vuelta a Google.

El coste de la puesta al día acumulada

Tarde o temprano, todo sitio en piloto automático se enfrenta a un proyecto de puesta al día. La versión de PHP ha superado su fin de vida y el proveedor de hosting ha anunciado una obsolescencia. Un plugin se ha roto por fin y no puede reemplazarse sin repensar la configuración relacionada. El tema está tan atrasado que actualizarlo es más doloroso que una migración. El diseño parece lo bastante viejo como para necesitar una renovación.

Los proyectos de puesta al día en sitios en piloto automático suelen costar varias veces lo que habría costado el mismo trabajo repartido a lo largo del mismo periodo. Las dependencias están más enredadas. Los plugins a reemplazar son más difíciles de abandonar porque los datos se han acumulado. El diseño necesita más actualización porque más convenciones de diseño han evolucionado.

La cuota que parecía ahorrarse cada mes se acumuló en una cuota mucho mayor aplazada a un único año.

El tiempo del propietario

El coste menos visible es el tiempo del propietario. Horas intentando averiguar por qué la actualización de un plugin rompió el formulario de contacto. Horas leyendo consejos contradictorios en foros sobre qué hacer cuando el sitio va lento. Horas preocupándose por si algo ha sido hackeado. Cada una de esas horas se resta del negocio real que el propietario debería estar llevando.

Multiplica por el valor de una hora del tiempo del propietario y las cuentas suelen convertir el soporte gestionado en la opción más barata por sí sola, incluso antes de considerar los costes de incidentes evitados.

Cómo es una base sensata para 2026

Para un sitio WordPress típico de una pequeña empresa australiana en 2026, una base de mantenimiento sensata cuesta unos pocos cientos de dólares al mes. El trabajo incluye actualizaciones semanales de plugins y del núcleo con copia de seguridad previa, limpieza mensual de la base de datos, auditoría trimestral de usuarios, copias de seguridad diarias externas con retención, monitorización de seguridad continua, comprobaciones de rendimiento frente a las Core Web Vitals y un pequeño margen para ajustes de contenido y diseño. Una sola persona puede gestionar esto en 20 o 30 sitios si tiene el sistema montado.

A lo largo de un año son unos pocos miles de dólares. A lo largo de tres años es cómodamente menos que una sola recuperación de un incidente grave, con la ventaja añadida de que el sitio se mantiene actualizado y el proyecto de puesta al día nunca llega a acumularse.

La revisión realista

No hacer nada no es gratis. Es un coste aplazado que se paga de golpe en el peor momento posible. Los propietarios que mejor gestionan sus sitios WordPress son los que han aceptado que el mantenimiento forma parte de tener el sitio, igual que el mantenimiento de una flota forma parte de llevar un negocio de reparto, o el mantenimiento del edificio forma parte de gestionar una oficina.

El cambio de modelo mental es la verdadera mejora. Una vez que el sitio se trata como infraestructura y no como un proyecto puntual, las decisiones técnicas surgen de forma natural.

¿Necesitas ayuda?

Si tu sitio WordPress ha estado en piloto automático y te gustaría una lectura honesta de lo que no hacer nada ha costado hasta ahora —y de cómo sería una recuperación sensata—, en Defyn podemos realizar una auditoría sin compromiso y darte una imagen clara de cómo están las cosas y qué haríamos a continuación.