Si le preguntas a un propietario de un sitio WordPress qu\u00e9 significa el mantenimiento, normalmente mencionar\u00e1 las actualizaciones. Pulsar el bot\u00f3n de actualizar en los plugins, pulsar el bot\u00f3n de actualizar en el n\u00facleo de WordPress, listo. Eso es parte, pero el mantenimiento bien hecho es m\u00e1s amplio y m\u00e1s silencioso que eso. Es un conjunto de peque\u00f1as comprobaciones que mantienen peque\u00f1os los problemas peque\u00f1os, y algunas de ellas se omiten de forma casi universal. Estas son las cinco que vemos descuidadas con m\u00e1s frecuencia, y lo que hacen por ti cuando no lo est\u00e1n.<\/p>\n\n\n\n
La mayor\u00eda de los sitios WordPress tienen copias de seguridad configuradas en alg\u00fan sitio. Muchos menos sitios tienen copias que realmente funcionan. La diferencia solo se vuelve visible el d\u00eda que las necesitas, que es el peor momento posible para descubrir el problema.<\/p>\n\n\n\n
Los fallos habituales son conocidos. El plugin de copias dej\u00f3 de ejecutarse en silencio hace tres meses tras una actualizaci\u00f3n. El destino externo se qued\u00f3 sin almacenamiento y rechaz\u00f3 discretamente las nuevas subidas. Las copias son completas de archivos pero excluyen la base de datos. Las copias son de la base de datos pero excluyen la carpeta de subidas. Las copias existen pero est\u00e1n cifradas y nadie ha probado la clave de descifrado.<\/p>\n\n\n\n
La cura es restaurar de verdad. Elige una copia reciente, levanta un sitio de staging temporal y rest\u00e1urala. Si funciona, lo sabes. Si no, tienes tiempo de arreglar el proceso mientras el sitio en producci\u00f3n sigue sano. Recomendamos hacer esto al menos trimestralmente en cualquier sitio cr\u00edtico para el negocio.<\/p>\n\n\n\n
Las listas de usuarios de WordPress se acumulan. A lo largo de un par de a\u00f1os, un solo sitio recoge un aut\u00f3nomo que cre\u00f3 el formulario de contacto, un desarrollador que hizo una integraci\u00f3n puntual, un colaborador de marketing que necesitaba publicar una entrada, el dise\u00f1ador original que configur\u00f3 los colores de marca, y un par de plugins que crearon discretamente sus propias cuentas de usuario. La mayor\u00eda nunca se eliminan.<\/p>\n\n\n\n
Cada una de esas cuentas es una v\u00eda de entrada a tu sitio. Si a alguna se le dio acceso de nivel administrador, puede hacer cualquier cosa, incluido importar sin querer un compromiso desde su propio port\u00e1til. Si la contrase\u00f1a de un aut\u00f3nomo acaba a\u00f1os despu\u00e9s en una filtraci\u00f3n en alg\u00fan punto de internet, tu acceso de administrador est\u00e1 en la lista.<\/p>\n\n\n\n
Abre la p\u00e1gina de usuarios una vez al trimestre. Cualquiera que no necesite acceso hoy se elimina. Cualquiera que solo necesite publicar contenido no necesita el rol de administrador; necesita como mucho el rol de editor. Aplica el m\u00ednimo privilegio por defecto y eliminar\u00e1s mucho riesgo con muy poco esfuerzo.<\/p>\n\n\n\n
La base de datos de WordPress crece en silencio con el tiempo. Las revisiones de entradas se acumulan sin l\u00edmite si no configuras WordPress para limitarlas. Los borradores autom\u00e1ticos se amontonan. Los transients que nunca se limpiaron llenan la tabla de opciones. Los plugins dejan sus propios datos al eliminarlos. Los comentarios de spam, si no usas un buen filtrado, pueden inflar la tabla de comentarios. Los registros de Action Scheduler de varios plugins pueden llegar a cientos de miles de filas.<\/p>\n\n\n\n
Nada de esto rompe el sitio de inmediato. Solo hace que todo sea ligeramente m\u00e1s lento. Las cargas de p\u00e1gina pasan m\u00e1s tiempo esperando consultas a la base de datos. Las p\u00e1ginas de administraci\u00f3n tardan m\u00e1s en renderizarse. Las copias de seguridad crecen y tardan m\u00e1s en ejecutarse. A lo largo de un par de a\u00f1os, un sitio peque\u00f1o puede acabar con una base de datos muchas veces mayor que su contenido real.<\/p>\n\n\n\n
Una limpieza trimestral de la base de datos, idealmente con herramientas adecuadas y no con plugins agresivos de borrado autom\u00e1tico, mantiene el sitio ligero. Configura l\u00edmites de revisiones de entradas en wp-config.php. Vac\u00eda las papeleras. Elimina claves de opciones sin usar que dejaron plugins desinstalados. Reindexa las tablas lentas. Despu\u00e9s, haz una copia de seguridad nueva.<\/p>\n\n\n\n
Esta es una de las comprobaciones m\u00e1s pasadas por alto, y es la que detect\u00f3 un compromiso reciente de una agencia de S\u00eddney que auditamos. El atacante hab\u00eda dejado quince archivos maliciosos en carpetas que imitaban los nombres de p\u00e1ginas de WordPress del sitio. Nadie hab\u00eda mirado la ra\u00edz del documento en meses. Si lo hubieran hecho, los archivos se habr\u00edan detectado en minutos.<\/p>\n\n\n\n
La ra\u00edz del documento de un sitio WordPress deber\u00eda contener los archivos del n\u00facleo de WordPress y muy poco m\u00e1s. Si encuentras carpetas que no reconoces, archivos .php fuera de wp-admin, wp-content y wp-includes, archivos de copia de seguridad, volcados .sql, o copias de desarrollo de archivos con nombres como wp-config.bak, algo va mal. Investiga cada archivo que no puedas justificar.<\/p>\n\n\n\n
Una revisi\u00f3n mensual de la ra\u00edz del documento, ya sea por SFTP o con el gestor de archivos de tu hosting, es una tarea de quince minutos que detecta una categor\u00eda de ataque que la mayor\u00eda de la monitorizaci\u00f3n no.<\/p>\n\n\n\n
WordPress usa un conjunto de claves secretas criptogr\u00e1ficas y salts, definidos en wp-config.php, para firmar las cookies y proteger los datos de sesi\u00f3n. Se generan cuando se instala WordPress y casi nadie vuelve a cambiarlos. Si se han filtrado en alg\u00fan momento, todos los tokens de sesi\u00f3n emitidos desde entonces siguen siendo t\u00e9cnicamente v\u00e1lidos, y un atacante que capturara uno alguna vez a\u00fan podr\u00eda usarlo.<\/p>\n\n\n\n
Rotarlos una o dos veces al a\u00f1o invalida todas las sesiones existentes, obliga a todos a volver a iniciar sesi\u00f3n y te da un reinicio limpio. La misma l\u00f3gica se aplica a las contrase\u00f1as de aplicaci\u00f3n que usan los plugins e integraciones, a las claves de API de servicios que se conectan a tu sitio, y a cualquier token puntual que hayas emitido para migraciones o pruebas.<\/p>\n\n\n\n
Cada vez que un empleado o colaborador se va, o cada vez que sospechas que una credencial pueda haber quedado expuesta, la rotaci\u00f3n es esencial. Los cinco minutos que lleva son la mejora de seguridad m\u00e1s barata que har\u00e1s jam\u00e1s.<\/p>\n\n\n\n
El hilo com\u00fan entre estas cinco es que ninguna produce resultados visibles. Restaurar una copia de prueba, eliminar la antigua cuenta de administrador de un colaborador, limpiar revisiones de entradas, escanear la ra\u00edz del documento, rotar claves criptogr\u00e1ficas. El sitio se ve id\u00e9ntico antes y despu\u00e9s. El trabajo es invisible hasta el d\u00eda en que es la diferencia entre recuperarse de un problema en una hora o reconstruir el sitio desde cero.<\/p>\n\n\n\n
Por eso precisamente se omiten. La recompensa por hacerlas es la ausencia de un problema, y a los humanos se les da mal valorar las ausencias. Una buena rutina de soporte las integra como un h\u00e1bito, de modo que la pregunta de si merece la pena hacerlas hoy nunca llega a plantearse.<\/p>\n\n\n\n