Hace un tiempo, un negocio nos pidió que nos hiciéramos cargo de su sitio web — un sitio WordPress descuidado que se había puesto en línea una vez y después se había dejado a su suerte durante años. El pedido era sencillo: “¿pueden alojarlo y echarle un ojo?”. Todavía cargaba, así que en la superficie todo parecía bien. No lo estaba. Lo que encontramos ilustra bien por qué no nos limitamos a mover un sitio a nuestros servidores — lo adoptamos. Esta es toda la historia, sin nombres, reducida a “un pequeño servicio de cuidado en casa”, porque no ponemos nombres de clientes en nuestro sitio.
“Todavía carga” esconde mucho
El tipo más peligroso de sitio descuidado es el que parece estar bien. Responde cuando lo visita, aparece la página de inicio, nada está claramente en llamas — así que nadie se preocupa. Pero un sitio web que nadie cuida no falla haciendo ruido. Se va quedando atrás en las actualizaciones sin que se note, sus defensas caducan y se queda a la intemperie hasta que un atacante automático lo encuentra. Este llevaba mucho tiempo en ese estado.
Así que antes de mover nada, hicimos lo que hacemos con cada sitio que se une: lo abrimos y lo miramos como debe ser. Esa revisión es donde salió el panorama real.
Lo que encontramos
Era el inventario clásico de un sitio en piloto automático — un montón de problemas pequeños que juntos forman uno grave:
- Todo desactualizado. WordPress, los plugins y el tema iban todos atrasados, algunos mucho. Cada actualización que falta es una puerta conocida.
- Licencias premium vencidas. Los plugins de pago y un tema premium habían dejado de recibir actualizaciones de seguridad cuando caducaron sus licencias — seguían funcionando, pero ya no estaban protegidos.
- Sin una copia de seguridad de verdad. Nada fuera del servidor, nada en lo que confiaría para restaurar en un mal día.
- Puertas abiertas. Nombres de usuario fáciles de averiguar para los atacantes, los puntos débiles de siempre abiertos a que los probaran y una carpeta de archivos subidos que podía ejecutar código — justo lo que los bots buscan día y noche.
- Correos que iban al spam. Sin autenticación del remitente, así que el correo del propio sitio muchas veces no llegaba.
- Lento sin motivo. Imágenes pesadas y sin optimizar y una configuración vieja de la base de datos que lo frenaban todo.
Para que quede claro, a este sitio no lo habían hackeado de forma dramática. Pero estaba a un plugin desactualizado de que pasara. Si quiere ver cómo se ven esas mismas condiciones una vez que un atacante sí entró por ellas, lo cubrimos en cómo arreglar un sitio WordPress hackeado — la idea es que la prevención es un lugar mucho mejor donde estar.
Lo que significó “adoptarlo”
No copiamos el sitio descuidado a un servidor más rápido para llamarlo administrado. Lo trajimos a casa como debe ser:
- Lo restauramos limpio. Armamos una copia nueva en nuestra plataforma, verificamos que funcionaba e hicimos el cambio sin tiempo fuera de línea — así que lo que salió en vivo estaba sano, no el desorden de antes cambiado de lugar.
- Cerramos cada puerta abierta. Un firewall por capas y una lista viva de atacantes conocidos frenan el tráfico malicioso antes de que llegue al sitio, y la protección contra contraseñas filtradas cuida el inicio de sesión. Cerramos las formas en que los atacantes buscan nombres de usuario y puntos débiles, bloqueamos la carpeta de archivos subidos para que no pueda ejecutar código, hicimos un análisis y una limpieza completos de malware, bloqueamos los bots de IA que copian contenido y pusimos el sitio detrás de una red mundial rápida.
- Arreglamos lo que estaba roto. Volvimos a conectar las licencias premium para que reciban de nuevo los arreglos de seguridad, pusimos todo al día, quitamos los plugins que eran peso muerto y configuramos el correo del sitio para que sea confiable y llegue de verdad a la bandeja de entrada.
- Lo aceleramos. Optimizamos las imágenes a formatos modernos y más ligeros, optimizamos la configuración de velocidad, hicimos más sólida la base de datos del sitio y configuramos el HTTPS para que se renueve solo.
- Le dimos la red de seguridad que nunca tuvo. Copias de seguridad en el propio servidor y en copias externas bloqueadas durante 90 días contra cambios o borrados, vigiladas — el estándar que explicamos en buenas prácticas de copias de seguridad de WordPress — además de monitoreo de disponibilidad y revisiones verificadas después de cada actualización para que actualizar nunca rompa el sitio.
Lo que cambió — y lo que no
Desde el asiento del dueño, casi nada cambió, y ese es el logro. El sitio se ve igual, carga más rápido y su correo llega. Sobre todo, simplemente dejaron de tener que pensar en él.
Por debajo, cambió todo. Desde que el sitio está a nuestro cuidado, le ha llegado un flujo constante de tráfico malicioso — intentos de adivinar contraseñas, búsquedas automáticas de puntos débiles, bots buscando justo los agujeros que ya habíamos cerrado — y se está frenando en primera línea, antes de que llegue siquiera al sitio. El dueño nunca ve esos intentos. No hay llamada a las 2 de la madrugada por una caída, porque los caminos con los que contaban los atacantes ya no están.
Señales de que su propio sitio podría estar descuidado
La mayoría de los sitios descuidados no se anuncian, así que aquí va una revisión rápida. Si más de una de estas es cierta, su sitio web probablemente está viviendo de tiempo prestado:
- No se acuerda de la última vez que se actualizó. Si nadie está aplicando con un calendario las actualizaciones de WordPress, de los plugins y de los temas, no se están aplicando.
- No está seguro de que exista una copia de seguridad. “Seguro que el proveedor tiene una” no es una copia de seguridad con la que pueda contar — sobre todo si vive en el mismo servidor que el sitio.
- Un plugin o un tema premium no deja de avisar de una licencia vencida. Eso normalmente significa que dejó de recibir arreglos de seguridad hace un tiempo.
- Los correos de su sitio no llegan. Los mensajes del formulario de contacto y los recibos que caen en spam muchas veces son señal de que nunca se configuró la autenticación del correo.
- El sitio web no es el trabajo de nadie. Esta es la de verdad. Un sitio sin dueño cae solo en todos los problemas de arriba.
Ninguna de estas es una emergencia por sí sola. Juntas, son el perfil de un sitio que está a un mal día de un problema — y cada una de ellas es algo que la incorporación arregla.
Por qué contamos esta historia
Porque “solo alójenlo” casi siempre se convierte en algo más que hosting, y creemos que el arreglo de un sitio descuidado debería venir incluido, no venderse aparte como un paquete de rescate. Viene incluido. Cada sitio que se une recibe esta misma adopción — mudado, reforzado, reparado, acelerado, con copia de seguridad y vigilado — como incorporación estándar, sin costo extra.
Si eso describe un sitio del que es responsable — que carga bien y que no cuida nadie en particular — es justo el tipo de cosa de la que nos hacemos cargo. Vea nuestros planes administrados de WordPress y WooCommerce, y permítanos adoptar el suyo.