Cómo saber si tu WordPress está desactualizado (y por qué importa)

No hace falta ser técnico para saber si tu web está descuidada. Con diez minutos y acceso al panel de administración puedes hacerte una idea bastante exacta.

1. Entra y mira el número rojo

Al entrar en el escritorio de WordPress, en el menú de la izquierda, junto a «Actualizaciones» y «Plugins» aparece un círculo con un número cuando hay cosas pendientes.

• Sin número: buena señal.
• Entre 1 y 5: normal, hay actualizaciones casi cada semana.
• Más de 15: nadie está mirando esta web.
• Más de 30: lleva meses, probablemente años, sin mantenimiento.

Ese número no es una molestia estética. Cada plugin desactualizado es una puerta cuya llave se ha publicado: cuando se corrige un fallo de seguridad, el fallo se hace público, y a partir de ahí se busca automáticamente en webs que no han actualizado.

2. Busca plugins abandonados

Ve a Plugins y fíjate en los que llevan tiempo sin recibir actualizaciones. WordPress avisa cuando un plugin no se ha actualizado en mucho tiempo o no se ha probado con tu versión.

Un plugin abandonado es peor que uno desactualizado: no hay nadie al otro lado que vaya a corregir el próximo fallo que se descubra.

Pregunta útil: ¿cuántos de los plugins instalados se están usando de verdad? Es muy habitual encontrar diez o quince, de los cuales la mitad se instalaron para probar algo en 2021 y ahí siguen. Cada uno es superficie de ataque y una cosa más que mantener.

3. Comprueba quién tiene acceso

Ve a Usuarios. Deberías reconocer todos los nombres de la lista.

Fíjate especialmente en:

• Cuentas de administrador de personas que ya no trabajan contigo.
• Cuentas de agencias o freelances anteriores.
• El usuario admin a secas, que es el primero que prueban los ataques automáticos.
• Cualquier nombre que no reconozcas en absoluto. Si aparece uno, no lo borres sin más: puede ser la señal de un acceso no autorizado y conviene mirarlo con calma.

Cada cuenta de administrador que no se usa es un riesgo sin contrapartida.

4. La prueba definitiva: la copia de seguridad

Esta no la puedes hacer tú solo, pero sí puedes preguntar. Hazle estas tres preguntas a quien lleve tu web:

1. ¿Dónde se guardan las copias? (si es el mismo servidor, no sirven)
2. ¿Cada cuánto se hacen?
3. ¿Cuándo fue la última vez que alguien restauró una para comprobar que funcionaba?

La tercera es la que importa. Tener copias y poder recuperarse no es lo mismo. Un sistema de copias puede llevar meses fallando en silencio.

Qué pasa si está todo mal

No cunde el pánico: es la situación de la mayoría de las webs pequeñas de este país. Pero conviene saber que el riesgo no es abstracto.

Lo que suele pasar cuando una web desatendida se ve comprometida no es un ataque dirigido contra tu empresa. Es un escaneo automático que encuentra una puerta abierta y mete publicidad de terceros, redirecciones o correo basura. El resultado: Google marca tu web como insegura, los clientes ven un aviso rojo al entrar, y el correo de tu dominio empieza a acabar en spam.

Recuperarse de eso cuesta bastante más que mantener la web al día.

El orden sensato para arreglarlo

1. Copias de seguridad primero. Antes de tocar nada. Y probadas.
2. Quitar lo que no se usa: plugins, temas y usuarios de más.
3. Actualizar, empezando por un entorno de pruebas si la web es importante.
4. Cerrar los accesos: contraseñas nuevas y doble factor donde se pueda.
5. Poner algo que vigile, para enterarte tú antes que tus clientes.

Si no tienes claro en qué punto está tu web, podemos revisarla y contarte qué encontramos. Sin alarmismo y sin coste.