El patr\u00f3n m\u00e1s habitual que encontramos al auditar sitios WordPress de peque\u00f1as empresas australianas en 2026 es lo que hemos empezado a llamar el sitio en piloto autom\u00e1tico. El sitio se construy\u00f3 hace dos o tres a\u00f1os. Se lanz\u00f3. El desarrollador sigui\u00f3 su camino. El propietario ha ido entrando de vez en cuando para actualizar un n\u00famero de tel\u00e9fono o publicar una entrada. Nada se ha descuidado deliberadamente. Simplemente no hab\u00eda ninguna rutina de mantenimiento. No hacer nada parec\u00eda gratis.<\/p>\n\n\n\n
Este art\u00edculo es una revisi\u00f3n realista de lo que cuesta de verdad no hacer nada en 2026. Las cifras que aparecen aqu\u00ed proceden de auditor\u00edas e incidentes reales y recientes. No son te\u00f3ricas.<\/p>\n\n\n\n
El n\u00facleo de WordPress public\u00f3 unas 25 versiones en los \u00faltimos tres a\u00f1os entre lanzamientos mayores y menores. Los plugins han publicado miles de avisos de seguridad durante el mismo periodo. El ecosistema de plugins se mueve deprisa. Un sitio que no se ha tocado en dos a\u00f1os tiene docenas de avisos sin parchear en alg\u00fan punto de su stack.<\/p>\n\n\n\n
No todos ser\u00e1n explotados. Pero cuanto m\u00e1s tiempo pasa, mayor es la probabilidad de que al menos una combinaci\u00f3n de aviso y esc\u00e1ner encuentre el sitio. La probabilidad es peque\u00f1a en cualquier momento concreto y se acerca a la inevitabilidad en un periodo lo bastante largo.<\/p>\n\n\n\n
Un caso reciente de una agencia de S\u00eddney que hemos mencionado a lo largo de esta serie ofrece una imagen representativa. El sitio se vio comprometido a trav\u00e9s de un plugin de gesti\u00f3n de archivos desactualizado. El atacante dej\u00f3 quince archivos maliciosos que implementaban un ataque de encubrimiento (cloaking) de SEO. El descubrimiento se produjo semanas despu\u00e9s de la entrada. Para entonces, Google hab\u00eda indexado suficiente spam bajo el dominio como para afectar de forma tangible al tr\u00e1fico org\u00e1nico de la agencia.<\/p>\n\n\n\n
El trabajo de limpieza \u2014incluida la auditor\u00eda forense, la reparaci\u00f3n archivo por archivo, la rotaci\u00f3n de credenciales, el refuerzo de la seguridad y la reconsideraci\u00f3n en Search Console\u2014 alcanz\u00f3 una cifra de cuatro d\u00edgitos, de baja a media. Los clientes potenciales perdidos durante el periodo de rendimiento degradado fueron comparables. La recuperaci\u00f3n del SEO, incluido el tiempo que cost\u00f3 recuperar posiciones, se prolong\u00f3 durante meses. El coste total, todo incluido, super\u00f3 con holgura el coste de un a\u00f1o completo de soporte profesional a lo largo de los dos a\u00f1os anteriores juntos.<\/p>\n\n\n\n
El rendimiento no se derrumba: se erosiona. El sitio que cargaba en 1,8 segundos en el lanzamiento carga en 4,5 segundos tres a\u00f1os despu\u00e9s, y el propietario no not\u00f3 el deterioro porque cada cambio individual fue diminuto.<\/p>\n\n\n\n
Las Core Web Vitals forman parte de la se\u00f1al de posicionamiento de Google. Un sitio que perdi\u00f3 un segundo en Largest Contentful Paint a lo largo de tres a\u00f1os tambi\u00e9n ha perdido, en silencio, visibilidad en b\u00fasquedas. Esa p\u00e9rdida de tr\u00e1fico rara vez se atribuye al rendimiento, porque nada cambi\u00f3 de forma visible.<\/p>\n\n\n\n
Para un negocio que depende del tr\u00e1fico org\u00e1nico, esta erosi\u00f3n lenta puede ser la parte m\u00e1s cara de no hacer nada. A diferencia de un incidente de seguridad, nunca genera una factura. Genera una tuber\u00eda de clientes potenciales que declina en silencio y que nadie relaciona con su causa real.<\/p>\n\n\n\n
Los clientes se forman impresiones en segundos. Un sitio con aspecto anticuado, lento o con cualquier rareza visible \u2014como una imagen de cabecera equivocada o un formulario de contacto roto\u2014 env\u00eda una se\u00f1al silenciosa sobre el negocio que hay detr\u00e1s. Los visitantes no piensan conscientemente que el negocio est\u00e1 mal gestionado. Simplemente pasan de largo. La confianza perdida es inmensurable y real.<\/p>\n\n\n\n
Para un negocio de servicios en un sector competitivo, la diferencia entre un sitio de aspecto actual y uno anticuado puede ser la diferencia entre una consulta y un clic de vuelta a Google.<\/p>\n\n\n\n
Tarde o temprano, todo sitio en piloto autom\u00e1tico se enfrenta a un proyecto de puesta al d\u00eda. La versi\u00f3n de PHP ha superado su fin de vida y el proveedor de hosting ha anunciado una obsolescencia. Un plugin se ha roto por fin y no puede reemplazarse sin repensar la configuraci\u00f3n relacionada. El tema est\u00e1 tan atrasado que actualizarlo es m\u00e1s doloroso que una migraci\u00f3n. El dise\u00f1o parece lo bastante viejo como para necesitar una renovaci\u00f3n.<\/p>\n\n\n\n
Los proyectos de puesta al d\u00eda en sitios en piloto autom\u00e1tico suelen costar varias veces lo que habr\u00eda costado el mismo trabajo repartido a lo largo del mismo periodo. Las dependencias est\u00e1n m\u00e1s enredadas. Los plugins a reemplazar son m\u00e1s dif\u00edciles de abandonar porque los datos se han acumulado. El dise\u00f1o necesita m\u00e1s actualizaci\u00f3n porque m\u00e1s convenciones de dise\u00f1o han evolucionado.<\/p>\n\n\n\n
La cuota que parec\u00eda ahorrarse cada mes se acumul\u00f3 en una cuota mucho mayor aplazada a un \u00fanico a\u00f1o.<\/p>\n\n\n\n
El coste menos visible es el tiempo del propietario. Horas intentando averiguar por qu\u00e9 la actualizaci\u00f3n de un plugin rompi\u00f3 el formulario de contacto. Horas leyendo consejos contradictorios en foros sobre qu\u00e9 hacer cuando el sitio va lento. Horas preocup\u00e1ndose por si algo ha sido hackeado. Cada una de esas horas se resta del negocio real que el propietario deber\u00eda estar llevando.<\/p>\n\n\n\n
Multiplica por el valor de una hora del tiempo del propietario y las cuentas suelen convertir el soporte gestionado en la opci\u00f3n m\u00e1s barata por s\u00ed sola, incluso antes de considerar los costes de incidentes evitados.<\/p>\n\n\n\n
Para un sitio WordPress t\u00edpico de una peque\u00f1a empresa australiana en 2026, una base de mantenimiento sensata cuesta unos pocos cientos de d\u00f3lares al mes. El trabajo incluye actualizaciones semanales de plugins y del n\u00facleo con copia de seguridad previa, limpieza mensual de la base de datos, auditor\u00eda trimestral de usuarios, copias de seguridad diarias externas con retenci\u00f3n, monitorizaci\u00f3n de seguridad continua, comprobaciones de rendimiento frente a las Core Web Vitals y un peque\u00f1o margen para ajustes de contenido y dise\u00f1o. Una sola persona puede gestionar esto en 20 o 30 sitios si tiene el sistema montado.<\/p>\n\n\n\n
A lo largo de un a\u00f1o son unos pocos miles de d\u00f3lares. A lo largo de tres a\u00f1os es c\u00f3modamente menos que una sola recuperaci\u00f3n de un incidente grave, con la ventaja a\u00f1adida de que el sitio se mantiene actualizado y el proyecto de puesta al d\u00eda nunca llega a acumularse.<\/p>\n\n\n\n
No hacer nada no es gratis. Es un coste aplazado que se paga de golpe en el peor momento posible. Los propietarios que mejor gestionan sus sitios WordPress son los que han aceptado que el mantenimiento forma parte de tener el sitio, igual que el mantenimiento de una flota forma parte de llevar un negocio de reparto, o el mantenimiento del edificio forma parte de gestionar una oficina.<\/p>\n\n\n\n
El cambio de modelo mental es la verdadera mejora. Una vez que el sitio se trata como infraestructura y no como un proyecto puntual, las decisiones t\u00e9cnicas surgen de forma natural.<\/p>\n\n\n\n