Una cuota mensual de mantenimiento de WordPress puede parecer la partida m\u00e1s f\u00e1cil de recortar. Nada parece estar mal. El sitio funciona. \u00bfPor qu\u00e9 pagar cada mes por algo invisible? La respuesta honesta es la misma raz\u00f3n por la que revisas tu coche o inspeccionas el tejado. El coste de la prevenci\u00f3n rutinaria es m\u00ednimo frente al coste de la emergencia que evita. Este art\u00edculo repasa las cuentas de por qu\u00e9 una rutina de mantenimiento mensual ahorra miles de d\u00f3lares, y de d\u00f3nde provienen realmente esos ahorros.<\/p>
Veamos qu\u00e9 ocurre en un sitio WordPress t\u00edpico de una peque\u00f1a empresa australiana que lleva un a\u00f1o en piloto autom\u00e1tico. Los plugins no se han actualizado desde la \u00faltima vez que alguien inici\u00f3 sesi\u00f3n. Dos de ellos tienen avisos de seguridad publicados desde entonces. El sitio funciona con PHP 7.4, que ya ha llegado al final de su vida \u00fatil. Hay una cuenta de administrador con una contrase\u00f1a de seis caracteres que ha aparecido en tres bases de datos de filtraciones distintas.<\/p>
El sitio no est\u00e1 bajo ataque activo. Simplemente est\u00e1 expuesto. El riesgo est\u00e1 ah\u00ed, esperando a que llegue el escaneo equivocado. En cuanto eso ocurre, los costes se disparan en cascada.<\/p>
Limpiar un sitio WordPress hackeado no es un trabajo r\u00e1pido. Solo la auditor\u00eda forense puede llevar un d\u00eda entero. Identificar el punto de entrada, encontrar cada archivo inyectado, comprobar inyecciones en la base de datos, confirmar que no hay cuentas de usuario fraudulentas, validar que los archivos del n\u00facleo no han sido modificados. Despu\u00e9s la limpieza en s\u00ed, luego la reconstrucci\u00f3n de los componentes da\u00f1ados, despu\u00e9s rotar todas las credenciales y finalmente enviar solicitudes de reconsideraci\u00f3n en Google Search Console.<\/p>
A las tarifas de los desarrolladores australianos, una limpieza completa suele situarse en cifras de cuatro d\u00edgitos bajas o medias. Hemos visto facturas de m\u00e1s de cinco mil d\u00f3lares en incidentes m\u00e1s complicados. El mismo sitio con mantenimiento mensual habr\u00eda evitado el punto de entrada meses antes por una fracci\u00f3n de ese coste.<\/p>
Mientras el sitio est\u00e1 fuera de l\u00ednea o visiblemente comprometido, cada consulta, cada reserva directa y cada transacci\u00f3n se pierde. Una peque\u00f1a empresa que recibe diez consultas al d\u00eda de tr\u00e1fico org\u00e1nico, con una conversi\u00f3n media a ingresos, puede perder miles de d\u00f3lares en los d\u00edas que tarda en identificar, reparar y verificar la limpieza.<\/p>
Para los sitios de comercio electr\u00f3nico las cifras son peores. Cada hora con un proceso de pago que no funciona son horas de pedidos que no se realizan. Para un sitio que factura quinientos d\u00f3lares al d\u00eda, un incidente de tres d\u00edas supone mil quinientos d\u00f3lares en ingresos perdidos, antes de cualquier otro coste.<\/p>
Este es el coste que m\u00e1s duele a largo plazo. Si un sitio hackeado ha estado sirviendo contenido encubierto a Googlebot, aunque sea durante unas semanas, el buscador puede haber indexado spam bajo tu dominio y aplicado una degradaci\u00f3n algor\u00edtmica o una penalizaci\u00f3n por acci\u00f3n manual.<\/p>
Recuperarse de esto puede llevar meses. Hay que eliminar el contenido malicioso, solicitar el rastreo de nuevo de las URL y, en algunos casos, presentar una solicitud de reconsideraci\u00f3n. Durante esa recuperaci\u00f3n, el tr\u00e1fico org\u00e1nico permanece deprimido. Para un negocio que obtiene la mayor\u00eda de sus clientes potenciales de la b\u00fasqueda, esta es la partida m\u00e1s cara del incidente, y no aparece en ninguna factura. Simplemente drena poco a poco el flujo de oportunidades.<\/p>
Algunos clientes ver\u00e1n el sitio comprometido antes de que se repare. Algunos ver\u00e1n una advertencia de seguridad del navegador. Algunos se lo comentar\u00e1n a otros. Nada de esto acaba con un negocio de la noche a la ma\u00f1ana, pero erosiona la confianza. La confianza es cara de reconstruir y casi imposible de medir con precisi\u00f3n. Es la partida que los due\u00f1os de negocios sienten pero no pueden cotizar.<\/p>
Un acuerdo serio de soporte gestionado de WordPress en Australia suele situarse entre cien y unos pocos cientos de d\u00f3lares al mes, seg\u00fan el tama\u00f1o y la complejidad del sitio. A lo largo de un a\u00f1o, eso supone entre uno y tres mil d\u00f3lares, c\u00f3modamente menos que la limpieza de un solo incidente, y un orden de magnitud menos que el coste total de un compromiso grave con recuperaci\u00f3n de SEO.<\/p>
El plan cubre actualizaciones, copias de seguridad, monitorizaci\u00f3n de seguridad, comprobaciones de rendimiento, peque\u00f1os cambios de contenido y respuesta a incidentes. No es un lujo. Es la versi\u00f3n m\u00e1s barata de las cuentas.<\/p>
Las cuentas mejoran a\u00fan m\u00e1s cuando cuentas los ahorros m\u00e1s peque\u00f1os. Sin un plan de soporte, pagas tiempo puntual de desarrollador cada vez que quieres un peque\u00f1o cambio. Un nuevo miembro del equipo en la p\u00e1gina de personal, una nueva imagen de producto, una actualizaci\u00f3n del n\u00famero de tel\u00e9fono. Cada una de estas es una tarea r\u00e1pida, pero a tarifas por hora se acumulan.<\/p>
Un buen plan de soporte suele incluir una peque\u00f1a asignaci\u00f3n mensual para este tipo de trabajo. La fricci\u00f3n de pedir cambios desaparece. El sitio se mantiene al d\u00eda. La empresa ahorra en facturas puntuales y en el tiempo que el due\u00f1o sol\u00eda dedicar a intentar hacer peque\u00f1as ediciones por su cuenta.<\/p>
El mantenimiento mensual no consiste solo en prevenir el riesgo de este mes. Consiste en prevenir la lenta acumulaci\u00f3n de riesgo a lo largo de los a\u00f1os. Un sitio que se ha mantenido mensualmente durante tres a\u00f1os es enormemente distinto de un sitio que se ha mantenido de forma promedio durante ese periodo.<\/p>
El sitio bien mantenido tiene un n\u00facleo actual, PHP actual, plugins actuales, sin dependencias abandonadas, una lista de usuarios limpia, una copia de seguridad que funciona, una referencia de rendimiento conocida y una postura de seguridad conocida. El sitio descuidado ha acumulado todos los riesgos que no se han abordado, y cada uno de ellos se ha multiplicado contra los dem\u00e1s.<\/p>
El caso de la agencia de S\u00eddney que hemos comentado en art\u00edculos anteriores es un ejemplo concreto \u00fatil. El incidente fue un ataque de encubrimiento SEO que inyect\u00f3 quince archivos maliciosos a trav\u00e9s de un plugin de gesti\u00f3n de archivos desactualizado. La limpieza llev\u00f3 d\u00edas. La recuperaci\u00f3n del SEO llev\u00f3 meses. El propietario todav\u00eda est\u00e1 reconstruyendo su posicionamiento.<\/p>
Comp\u00e1ralo con un a\u00f1o de mantenimiento mensual, que habr\u00eda detectado el plugin vulnerable en el primer mes, lo habr\u00eda eliminado, habr\u00eda aplicado las actualizaciones del n\u00facleo y de PHP, y habr\u00eda ejecutado an\u00e1lisis peri\u00f3dicos de integridad de archivos. El punto de entrada nunca se habr\u00eda abierto. El coste habr\u00eda sido una peque\u00f1a fracci\u00f3n del resultado real.<\/p>