# ¿Qué mantenimiento necesita la web de una pequeña empresa?

> Actualizaciones, copias de seguridad probadas, comprobaciones de disponibilidad y formularios, y una revisión anual de dominio y textos legales: la lista completa.

Por Sotirios Terzis, Ariston Studios — actualizado 2026-10-10 — https://aristonstudios.com/es/guides/website-maintenance

## En resumen
- La mayoría de las webs de pequeñas empresas se rompen o las hackean por motivos aburridos: plugins o dependencias desactualizados, un dominio caducado, una renovación de certificado fallida o un formulario de contacto que dejó de enviar sin avisar.
- Una copia de seguridad solo cuenta si la has restaurado al menos una vez. Prueba una restauración cada trimestre.
- Comprueba cada semana que tu formulario de contacto llega de verdad a tu bandeja de entrada; es el fallo que más consultas cuesta y el último que se detecta.
- Las webs en WordPress son las que más actualizaciones manuales necesitan; las webs en frameworks modernos (como Next.js) necesitan menos, pero siguen requiriendo actualizaciones de dependencias y de seguridad; los creadores de webs alojados se ocupan del software, pero no de tu contenido, tus formularios ni tu dominio.
- Un buen plan de mantenimiento dice qué incluye, lo rápido que responden, de quién son las copias de seguridad y el dominio, y qué pasa si hackean la web.

La web de una pequeña empresa necesita cuatro cosas de forma periódica: actualizaciones de software y seguridad, copias de seguridad que hayas probado de verdad, monitorización que te avise cuando la web o sus formularios dejan de funcionar, y una revisión anual del dominio, las páginas legales y el contenido. Las comprobaciones semanales llevan minutos, las mensuales menos de una hora, y puedes hacerlas tú o pagar a alguien con un plan de mantenimiento.

## ¿Por qué se rompen o hackean las webs de pequeñas empresas?

Las webs rara vez fallan por un ataque espectacular dirigido a ti. Fallan porque algo que nadie vigilaba se quedó desactualizado sin hacer ruido.

- **Plugins, temas y dependencias desactualizados.** Hay bots automáticos que rastrean la web en busca de vulnerabilidades conocidas en software popular. Un plugin de WordPress sin parchear o una versión antigua de un framework es una puerta abierta. Hasta las tecnologías modernas se ven afectadas: en 2025, Next.js publicó un parche de seguridad para un fallo que permitía saltarse el middleware (CVE-2025-29927), y las webs solo quedaron protegidas cuando alguien las actualizó.
- **Un dominio caducado.** Si falla el pago de la renovación porque ha caducado una tarjeta, la web y a menudo tu email dejan de funcionar. En el peor de los casos, otra persona registra el nombre.
- **Un certificado SSL caducado.** El certificado es lo que te da el candado y el https. Si falla la renovación automática, los navegadores muestran a los visitantes un aviso de seguridad a pantalla completa.
- **Formularios que dejan de enviar.** Un cambio de contraseña del email, un buzón lleno o un filtro de spam pueden hacer que las consultas desaparezcan sin ningún error en la web.
- **Cambios en el hosting.** Las versiones antiguas de PHP dejan de tener soporte, los proveedores migran servidores y algo deja de funcionar.

## La lista de mantenimiento web: semanal, mensual, trimestral, anual

### Semanal (5–10 minutos)

- Envía una consulta de prueba desde cada formulario y confirma que llega a la bandeja de entrada correcta.
- Comprueba que la monitorización de disponibilidad no ha detectado caídas. Un monitor de disponibilidad revisa tu web cada pocos minutos y te avisa cuando no responde.
- Mira la monitorización de errores, si la tienes. La monitorización de errores (herramientas como Sentry) registra los errores con los que se encuentran los visitantes, para que te enteres de una página rota antes de que te lo diga un cliente.
- Instala las actualizaciones de seguridad marcadas como urgentes.

### Mensual (30–60 minutos)

- Aplica las actualizaciones normales: núcleo del CMS, plugins, temas o dependencias del framework. Revisa la web después.
- Confirma que las copias de seguridad se han hecho y que hay una copia reciente guardada fuera de tu cuenta de hosting.
- Haz una prueba de velocidad con PageSpeed Insights en tu página de inicio y en una página clave. Consulta nuestra [guía de velocidad web](/es/guides/website-speed) para saber qué significan los números.
- Abre Google Search Console. Revisa el informe de Páginas (indexación), las posibles acciones manuales y el informe de Problemas de seguridad. Search Console es la herramienta gratuita de Google que muestra cómo ve Google tu web y te avisa si detecta contenido hackeado.
- Busca enlaces rotos, sobre todo los que van a herramientas de reservas, PDF y perfiles sociales.

### Trimestral (1–2 horas)

- **Prueba una restauración.** Restaura tu última copia de seguridad en una copia de pruebas o en un entorno de test y comprueba que funciona. Una copia que nunca has restaurado es una esperanza, no una copia de seguridad.
- Revisa quién tiene acceso de administrador. Elimina a antiguos empleados, agencias y freelances. Activa el inicio de sesión en dos pasos donde sea posible.
- Actualiza el contenido que caduca: horarios, precios, miembros del equipo, descripciones de servicios, el año del pie de página.
- Comprueba que tu Perfil de Empresa en Google coincide con la web (dirección, teléfono, horario). Más en nuestra [guía de SEO local](/es/guides/local-seo).

### Anual

- Confirma que el dominio está configurado para renovarse automáticamente, que la tarjeta de pago es válida y que la cuenta del registrador usa un email que sigues leyendo.
- Revisa tu política de privacidad y tu aviso de cookies frente a lo que hace la web hoy. Si has añadido analítica, un chat o vídeos incrustados, el aviso debe reflejarlo. En la UE, las cookies no esenciales necesitan consentimiento antes de instalarse (Directiva ePrivacy, artículo 5, apartado 3).
- Comprueba que tu plan de hosting, la versión de PHP o Node.js y las licencias de pago siguen teniendo soporte.
- Haz una revisión completa: ¿la web sigue describiendo lo que vendes y a quién?

## ¿En qué se diferencia el mantenimiento de WordPress, Next.js y los creadores de webs alojados?

| | WordPress | Frameworks modernos (p. ej. Next.js) | Creadores alojados (Wix, Squarespace, Shopify) |
| --- | --- | --- | --- |
| Actualizaciones de software | Frecuentes: núcleo, plugins, temas | Menos frecuentes: actualizaciones del framework y los paquetes a cargo de un desarrollador | Las hace la plataforma |
| Riesgo principal | Plugins vulnerables o abandonados | Dependencias desactualizadas, builds fallidos | Dependencia de la plataforma, apps adicionales |
| Hosting y SSL | Tu proveedor; varía mucho | Normalmente una plataforma gestionada con SSL automático | Incluidos |
| Copias de seguridad | Las debes configurar tú o tu proveedor | El código en control de versiones; el contenido y los datos siguen necesitando copias | Limitadas; comprueba qué guarda la plataforma |
| Quién puede mantenerla | El dueño puede pulsar «actualizar», pero debe revisar después | Hace falta un desarrollador | El dueño |

WordPress puede actualizar automáticamente las versiones menores del núcleo, y desde la versión 5.5 puedes activar las actualizaciones automáticas por plugin y por tema. Eso ayuda, pero una actualización puede romper una página, así que revisa la web cuando se apliquen. Las webs en frameworks modernos tienen mucha menos superficie de ataque porque no hay acceso de administrador en la web pública y a menudo no hay base de datos, pero alguien tiene que seguir actualizando las dependencias y volver a publicar. Los creadores alojados te quitan el trabajo del software, pero tu dominio, tus formularios, tu contenido, Search Console y las páginas legales siguen siendo cosa tuya.

## ¿Lo haces tú o pagas un plan de mantenimiento?

**Hacerlo tú funciona** si tu web es sencilla, usas un creador alojado o un framework moderno con pocas piezas móviles, y de verdad vas a reservar una hora al mes. Pon la lista de arriba en tu calendario.

**Un plan de mantenimiento tiene sentido** si la web trae consultas o ventas, funciona con WordPress y varios plugins, o sabes que no lo vas a hacer. Un plan de mantenimiento es una cuota mensual para que alguien mantenga la web actualizada, con copias de seguridad y monitorizada.

Un buen plan de mantenimiento incluye:

- Hosting con SSL, renovación del dominio y copias de seguridad diarias guardadas fuera del servidor
- Actualizaciones de seguridad y de software, con una revisión después de cada actualización
- Monitorización de disponibilidad y un tiempo de respuesta definido
- Algunos cambios de contenido al mes
- Una respuesta clara sobre qué pasa, y cuánto cuesta, si hackean la web

Preguntas antes de firmar:

1. ¿De quién son el dominio, la cuenta de hosting y las copias de seguridad? (La respuesta debería ser: tuyos.)
2. ¿Cuándo probasteis una restauración por última vez, y cuánto tarda?
3. ¿Cuánto tardáis en responder, y qué días?
4. ¿La limpieza tras un hackeo está incluida o se cobra aparte?
5. ¿Puedo irme en cualquier momento y llevármelo todo?

Un ejemplo concreto: los [planes de mantenimiento](/es/services) de Ariston incluyen hosting con SSL, renovación del dominio, copias de seguridad diarias, monitorización de disponibilidad y actualizaciones de seguridad y de software; los planes superiores añaden cambios de contenido mensuales, revisiones de velocidad y disponibilidad, e informes de SEO y analítica. También cubren webs existentes en WordPress y Laravel. Elijas a quien elijas, compara los planes con la lista de arriba, no solo por precio.

## ¿Qué hacer si tu web está caída o la han hackeado?

1. **Confirma que está caída de verdad.** Prueba desde otro dispositivo y otra red. Mira tu monitor de disponibilidad o la página de estado de tu proveedor.
2. **Revisa primero las causas aburridas:** dominio caducado, SSL caducado, factura de hosting sin pagar.
3. **Si la han hackeado,** cambia todas las contraseñas (hosting, administradores del CMS, FTP, registrador) y activa el inicio de sesión en dos pasos.
4. **Restaura desde una copia limpia** anterior al hackeo y después actualiza todo lo que estaba desactualizado. Restaurar sin actualizar suele significar que te volverán a hackear.
5. **Revisa Google Search Console** por si hay un aviso de Problemas de seguridad. Cuando toda la web esté limpia, solicita allí una revisión para que Google retire el aviso «Es posible que este sitio haya sido pirateado» de los resultados de búsqueda.
6. **Apunta lo que ha pasado** y cierra el hueco: actualizaciones pendientes, una contraseña débil, una cuenta de administrador antigua.

> Si no sabes si tu web ha sido hackeada, Google recomienda buscar site:tudominio.com y usar la herramienta de inspección de URLs de Search Console, porque las páginas hackeadas a veces se ocultan a las personas pero se muestran a Google.

## Por dónde empezar

Si no tienes claro en qué estado está tu web, haz una [auditoría web gratuita](/es/audit) para recibir un informe de velocidad, SEO y problemas técnicos, o [ponte en contacto](/es/contact) si quieres que alguien se encargue del mantenimiento por ti.

## Preguntas frecuentes
### ¿Cada cuánto hay que actualizar la web de una pequeña empresa?
Revisa las actualizaciones de seguridad cada semana y aplica las actualizaciones normales cada mes. Las webs en WordPress con muchos plugins son las que más atención necesitan; los creadores alojados actualizan su propio software.

### ¿Cada cuánto debo hacer copias de seguridad de mi web?
Copias diarias guardadas fuera de tu cuenta de hosting son un buen punto de partida para una web de empresa. Prueba una restauración al menos una vez por trimestre.

### ¿Una web en Next.js o una web estática necesita mantenimiento?
Sí, aunque menos. Normalmente no hay acceso de administrador ni un ecosistema de plugins que parchear, pero el framework y sus paquetes siguen recibiendo parches de seguridad que alguien tiene que instalar y publicar.

### ¿Qué debe incluir un plan de mantenimiento web?
Hosting con SSL, renovación del dominio, copias de seguridad diarias fuera del servidor, actualizaciones de seguridad y de software, monitorización de disponibilidad y un tiempo de respuesta definido. Pregunta si la limpieza tras un hackeo está incluida y confirma que el dominio y las copias son tuyos.

### ¿Cómo sé si han hackeado mi web?
Fíjate en avisos de Problemas de seguridad en Google Search Console, páginas extrañas en una búsqueda site:, redirecciones inesperadas o un aviso del navegador. A veces las páginas hackeadas solo se muestran a Google, así que compruébalo con la herramienta de inspección de URLs.

## Fuentes
- [Search Console Help: Security issues report](https://support.google.com/webmasters/answer/9044101)
- [web.dev: How do I know if my site was hacked?](https://web.dev/articles/how-do-i-know-if-my-site-was-hacked)
- [Google Search Central: Get started with Search Console](https://developers.google.com/search/docs/monitor-debug/search-console-start)
- [Google Search Central: Prevent abuse on your site](https://developers.google.com/search/docs/monitor-debug/security)
- [WordPress.org: Plugins and themes auto-updates](https://wordpress.org/documentation/article/plugins-themes-auto-updates/)
- [Next.js: Postmortem on the middleware bypass (CVE-2025-29927)](https://nextjs.org/blog/cve-2025-29927)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)