«No necesito mantenimiento web» (y otras frases que se dicen justo antes de necesitarlo)

Hay una conversación que, con los años, se repite casi con la misma puntuación.

Un cliente te escribe tranquilo, casi aliviado, y te suelta:

"Voy a dejar de pagar el mantenimiento de WordPress. Total, es un gasto que me puedo ahorrar."

Y ahí, otra vez, tocan las dos versiones de uno mismo.

La profesional, que responde con serenidad que es su decisión y que quedas a su disposición.

Y la otra, la que se muerde la lengua para no decir:

"Perfecto. Es como quitar el seguro del coche porque llevas tres años sin tener un accidente. Técnicamente estás ahorrando. Estadísticamente estás tentando a la suerte."

No lo dices. O al menos no así.

Por qué el mantenimiento parece un gasto tonto

Aquí está la trampa, y es una trampa buena: el mantenimiento bien hecho es invisible.

Nadie aplaude una web que sigue funcionando. Nadie manda un correo diciendo "gracias por la actualización de seguridad del martes que evitó un problema que no llegué a ver". No hay foto del incendio que no ocurrió.

Así que el mantenimiento cae en esa categoría incómoda de cosas que solo se notan cuando faltan: como el aire acondicionado, los frenos o el backup.

Y cuando algo solo se nota cuando falta, es facilísimo confundirlo con un gasto prescindible.

Hasta que falta.

WordPress no se queda quieto (aunque tú sí)

La idea de fondo del "me ahorro el mantenimiento" es que la web se queda como estaba. Congelada, estable, a salvo.

Pero una web WordPress no es una foto. Es un ecosistema vivo con muchas piezas moviéndose a la vez y a distinto ritmo:

• El núcleo de WordPress.
• El tema (y a veces el tema hijo, y a veces el framework del tema).
• Entre 15 y 40 plugins, cada uno mantenido por gente distinta, con planes distintos y, seamos sinceros, ganas distintas.
• La versión de PHP del servidor.
• La base de datos, el servidor web, los certificados...

Cada una de esas piezas se actualiza por su cuenta. El plugin de formularios saca una versión. El hosting sube PHP de 8.1 a 8.3 "por seguridad". El tema publica un parche. Y lo que hoy encaja perfecto, mañana deja de hablarse con el vecino.

Ese es el punto que casi nadie ve: no actualizar no es quedarse quieto. Es acumular deuda. Cada semana sin mantenimiento, la distancia entre tu web y el resto del ecosistema crece un poco más. Y cuanto más grande es esa distancia, más violento es el día que, por lo que sea, hay que cruzarla.

El día que "no tocamos nada" y aun así se rompió

La escena real es casi siempre la misma.

El cliente lleva meses sin mantenimiento y la web va bien. Lógico: los problemas de compatibilidad no avisan, se acumulan.

Un día pasa algo aparentemente inocente. El hosting actualiza la versión de PHP. O un plugin fuerza una actualización crítica de seguridad que ya no es compatible con la versión antigua de otro. O el navegador de turno deja de tragar algo que llevaba años funcionando de milagro.

Y la web, que "no había tocado nadie", deja de funcionar correctamente.

Ese mismo día, el cliente vuelve a escribir. Ya no habla de ahorro. Habla de urgencia.

Y aquí llega la parte matemáticamente incómoda: la reparación de una incidencia acumulada casi siempre cuesta más que el mantenimiento que se quiso evitar. No porque nadie se aproveche, sino porque arreglar diez actualizaciones atrasadas de golpe, a ciegas y con prisa, es un trabajo distinto —y peor— que aplicarlas de una en una, con calma y con red.

Un cliente lo resumió mejor de lo que yo sabría:

"Lo que me he ahorrado este tiempo no compensa el tiempo que he perdido."

No es una opinión de vendedor: los números de 2025

Aquí es donde el humor baja un poco el tono, porque los datos son bastante serios.

Según el informe State of WordPress Security de Patchstack, en 2025 se descubrieron 11.334 vulnerabilidades en el ecosistema WordPress: un 42% más que el año anterior.

Y ahora los tres datos que deberían quitar el sueño a quien tiene una web sin mantener:

• El 91% de esas vulnerabilidades están en plugins de terceros, no en el núcleo. Es decir, precisamente en las piezas que una web sin mantenimiento nunca actualiza.
• El 43% se pueden explotar sin necesidad de estar autenticado. No hace falta robar una contraseña: basta con que el plugin esté desactualizado y expuesto.
• La mediana desde que se publica una vulnerabilidad hasta que empieza la explotación masiva es de unas 5 horas. Cinco. El "ya lo actualizo el mes que viene" no es una estrategia; es una apuesta perdida antes de empezar.

Por rematar: un estudio de 2025 encontró que el 96% de los profesionales de WordPress habían sufrido al menos un incidente de seguridad, y un 64%, una brecha completa.

Traducido del idioma informe al idioma humano: no es si aparecerá un problema en una web abandonada, es cuándo.

El coste real no es la factura de la reparación

Cuando se rompe una web, la factura del arreglo es lo primero que se ve. Pero casi nunca es lo más caro.

Lo caro suele ser lo que va alrededor:

• El tiempo de caída. Cada hora con la web tirada es una tienda con la persiana bajada. Los clientes no esperan; van al siguiente resultado de Google.
• El SEO. Google no premia las webs que devuelven errores. Recuperar posiciones cuesta semanas; perderlas, una tarde.
• La reputación. Una web hackeada que reparte spam o redirige a sitios raros no da una imagen de "empresa seria y de confianza".
• Los datos. Si hay formularios, clientes o pedidos de por medio, una brecha ya no es un problema técnico: es un problema legal y de RGPD.
• La prisa. Todo lo urgente cuesta más. Siempre. En cualquier oficio.

El mantenimiento no compite contra "cero euros". Compite contra la suma de todo eso, multiplicada por la probabilidad —que sube cada mes— de que ocurra.

Qué es (de verdad) un buen mantenimiento

Conviene aclararlo, porque "mantenimiento" suena a factura fija y a poco más.

Un mantenimiento que merece la pena no es dar a "actualizar todo" y rezar. Es un trabajo aburrido y metódico, que es justo lo que uno quiere de la seguridad:

• Actualizaciones controladas, probando primero en un entorno de pruebas (staging) antes de tocar la web real. Nada de experimentos en producción.
• Copias de seguridad automáticas y, sobre todo, probadas. Un backup que nunca has restaurado es un rumor, no un backup.
• Monitorización: saber que la web se ha caído antes de que te lo diga un cliente enfadado.
• Vigilancia de seguridad: parchear rápido lo que sale nuevo, sabiendo que el reloj corre en horas, no en meses.
• Revisión de rendimiento y enlaces rotos, esas pequeñas cosas que se pudren solas con el tiempo.

En una frase: el mejor mantenimiento es el que pasa desapercibido, porque su trabajo es que los problemas no lleguen a ocurrir.

Es el equivalente digital de cambiar el aceite del coche. Aburrido, invisible, y muchísimo más barato que fundir el motor en la autopista.

Entonces, ¿el mantenimiento es obligatorio?

No. Como casi todo en este oficio, es una decisión del cliente, y se respeta.

Se puede quitar el mantenimiento igual que se puede conducir sin seguro o dejar de hacer copias de seguridad. Nada de eso rompe la web hoy. Simplemente traslada el coste al futuro, y lo hace crecer con intereses.

Mi trabajo no es asustar. Es explicar, dejar los riesgos por escrito y estar disponible el día que la apuesta no salga. Que suele salir, pero no siempre. Y "no siempre" en internet, con 11.334 vulnerabilidades nuevas al año, es un número más grande de lo que parece.

Conclusión

Quitar el mantenimiento de WordPress casi nunca parece un error el día que se decide. La web va bien, la factura desaparece y todo el mundo tan contento.

El problema empieza el día que una actualización, un plugin o una versión de PHP dejan de encajar. Y para entonces, curiosamente, ya nadie recuerda cuánto se estaba ahorrando.

Porque el mantenimiento no se paga por lo que hace cuando lo ves. Se paga por todo lo que evita cuando no lo ves.

Y si tienes una web WordPress y no sabes muy bien en qué punto de esa cuenta atrás estás, la mejor forma de averiguarlo no es esperar al día que falle. Es mirarlo antes.