Cómo actualizar WordPress y sus plugins sin romper el sitio
Actualizar es la medida de seguridad más importante de un WordPress, y también la que más miedo da: todos conocen a alguien a quien una actualización le tiró abajo el sitio. Por eso muchos dejan de actualizar, y así es como los hackean. Le explicamos un método para actualizar WordPress, plugins y temas sin sorpresas, y qué hacer si algo se rompe.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Por qué no se puede dejar de actualizar
En 2025 se publicaron más de 11.000 vulnerabilidades nuevas en el ecosistema WordPress, el 91 % en plugins. Entre las fallas más explotadas, el tiempo mediano entre que se hacen públicas y los ataques masivos fue de cinco horas, según Patchstack.
Un plugin desactualizado es la vía de entrada más común en los sitios que limpiamos. No hace falta que nadie apunte a su sitio: los bots buscan esa versión exacta en miles de sitios a la vez. → Guía de seguridad en WordPress
Por qué se rompen los sitios al actualizar
Incompatibilidades entre plugins
Dos plugins que funcionaban juntos dejan de hacerlo cuando uno cambia.
Versiones desincronizadas
El caso típico: un constructor visual gratuito se actualiza solo y su versión Pro, que no se actualizó (o es pirata y no puede), deja de ser compatible. El sitio cae entero.
Plugins nulledVersión de PHP
Un plugin nuevo exige una versión de PHP más reciente que la del hosting, o un PHP nuevo deja sin soporte a un plugin viejo.
Personalizaciones en el tema
Si alguien modificó directamente los archivos del tema (en lugar de usar un tema hijo), la actualización borra esos cambios.
Actualizaciones a medias
Una actualización que se corta por falta de espacio o de tiempo deja el sitio en modo mantenimiento o con archivos mezclados.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Método para actualizar sin sorpresas
- 01
Haga una copia completa antes
Base de datos y archivos, fuera del servidor. Es lo que le permite volver atrás en minutos si algo sale mal. → Copias de seguridad en WordPress
- 02
Lea qué cambia
Mire el registro de cambios («changelog») de las actualizaciones grandes: si es una versión mayor (de 3.x a 4.0), si cambia la versión de PHP requerida o si menciona una corrección de seguridad, que tiene prioridad.
- 03
Pruebe en un sitio de prueba
Para sitios con tienda, formularios críticos o constructores visuales, actualice primero en una copia de prueba (staging). Muchos hostings y plugins de copias la crean con un clic.
- 04
Actualice en orden y de a uno
Primero los plugins (empezando por los que tienen parches de seguridad), después el tema y por último el núcleo, si no se actualizó solo. De a uno, revisando el sitio después de cada uno. Si actualiza diez juntos y algo se rompe, no sabe cuál fue.
- 05
Revise lo que importa
Después de actualizar, pruebe lo que su negocio necesita que funcione: el formulario de contacto, el carrito y el pago, el acceso de clientes, la versión móvil.
- 06
Anote qué actualizó
Fecha, plugin, versión anterior y nueva. Si algo falla días después, ese registro le ahorra horas.
Actualizaciones automáticas: cuáles sí y cuáles no
| Qué | ¿Automático? | Por qué |
|---|---|---|
| Versiones menores del núcleo (6.6.1 → 6.6.2) | Sí | Son correcciones de seguridad y errores; WordPress las aplica solo por defecto |
| Plugins simples y bien mantenidos | Sí, con copia diaria | Desde WordPress 6.6, si un plugin actualizado solo provoca un error fatal, WordPress vuelve a la versión anterior y avisa por correo |
| Plugins críticos (constructor visual, tienda, pagos) | No | Una incompatibilidad lo deja sin ventas; mejor con prueba previa |
| Temas | No | No tienen la vuelta atrás automática que sí tienen los plugins |
| Versiones mayores del núcleo (6.x → 7.0) | No | Pruébelas primero en un sitio de prueba |
Cómo armar un sitio de prueba (staging)
Un sitio de prueba es una copia de su sitio en otra dirección, donde puede actualizar y romper sin que lo vean sus clientes. Hay tres formas de tenerlo:
Desde el hosting
Muchos paneles (cPanel con Softaculous, y la mayoría de los hostings especializados en WordPress) crean una copia de prueba con un clic y la vuelven a publicar cuando está lista.
Con un plugin
WPvivid y BlogVault, entre otros, crean un sitio de prueba a partir de una copia de seguridad.
A mano
Un subdominio (por ejemplo,
prueba.sudominio.com), una base de datos nueva y una copia del sitio restaurada ahí.
Dos cuidados importantes: que el sitio de prueba no se indexe en Google (marque «Disuadir a los motores de búsqueda» en Ajustes → Lectura) y que no mande correos a clientes reales ni procese pagos, desactivando las notificaciones y poniendo la pasarela en modo de prueba.
Plugins abandonados: el problema que no se arregla actualizando
Algunos plugins dejan de recibir actualizaciones porque su autor los abandonó. Mientras tanto siguen funcionando, hasta que alguien publica una falla y no hay parche.
Cómo detectarlos
En el repositorio oficial de WordPress, mire la fecha de la última actualización y si aparece el aviso «no se ha probado con las últimas tres versiones de WordPress».
Qué hacer
Busque una alternativa mantenida que haga lo mismo, pruébela en el sitio de prueba y reemplace.
Si no hay alternativa
Un firewall con parches virtuales puede bloquear la explotación de fallas conocidas mientras tanto.
Qué es un WAF
Un calendario de actualizaciones realista
| Cuándo | Qué hacer |
|---|---|
| El mismo día | Corrección de seguridad publicada para un plugin que usted tiene: actualice ese plugin, con copia previa |
| Cada semana | Revisar actualizaciones pendientes, hacer copia y actualizar los plugins no críticos |
| Cada dos semanas o cada mes | Plugins críticos (constructor, tienda, pagos), primero en el sitio de prueba |
| Cada trimestre | Versión de PHP, plugins abandonados, limpieza de plugins y temas que no se usan |
| En cada versión mayor de WordPress | Esperar unos días, probar en el sitio de prueba y actualizar |
Para saber qué plugins de su sitio tienen fallas publicadas ahora mismo, el análisis de vulnerabilidades compara todo lo que tiene instalado con las bases de fallas conocidas.
Qué hacer si una actualización rompió el sitio
- 01
No entre en pánico ni toque todo
Anote qué actualizó último. Casi siempre el culpable es ese.
- 02
Si ve «Ha habido un error crítico»
WordPress le manda un correo al administrador con un enlace de «modo de recuperación» que permite entrar al panel y desactivar el plugin problemático.
- 03
Si no puede entrar al panel
Por FTP o desde el administrador de archivos del hosting, renombre la carpeta del plugin en
wp-content/plugins. WordPress lo desactiva y el sitio vuelve. - 04
Vuelva a la versión anterior
Con el plugin WP Rollback, o subiendo la versión anterior desde el repositorio oficial. Si nada de eso funciona, restaure la copia que hizo antes de actualizar.
- 05
Resuelva antes de reintentar
Busque el problema (versión de PHP, compatibilidad con otro plugin, versión Pro desfasada) antes de volver a actualizar. Quedarse en la versión vieja no es una solución: deja la falla abierta.
Servicios relacionados
Preguntas frecuentes
¿Cada cuánto hay que actualizar WordPress?
Como mínimo una vez por semana, y en el día cuando se publica una corrección de seguridad para un plugin que usted tiene.
¿Conviene activar las actualizaciones automáticas?
Para el núcleo en versiones menores y para plugins simples, sí, con copias diarias. Para los plugins críticos y los temas, mejor con prueba previa.
¿Qué hago si un plugin no se actualiza hace años?
Probablemente esté abandonado. Busque una alternativa mantenida: un plugin sin actualizaciones es una falla esperando a ser descubierta.
¿Actualizar el PHP del hosting es seguro?
Es necesario: las versiones viejas de PHP no reciben correcciones de seguridad. Pruebe antes en un sitio de prueba y actualice los plugins primero.
¿Y si no tengo tiempo para hacer todo esto?
Es justo lo que hace la guardia mensual de seguridad WordPress: actualizaciones con copia previa, prueba y vuelta atrás si algo falla.
Más sobre seguridad wordpress
Seguridad en WooCommerce: cómo proteger pagos y datos de clientes
Una tienda WooCommerce tiene todo lo que tiene un sitio WordPress, y además clientes, pedidos y pagos. Eso la vuelve un blanco…
LeerSeguridad en WordPress: guía completa para dueños de sitios
¿WordPress es seguro? El núcleo, sí. Los sitios WordPress que se hackean caen casi siempre por lo que se les agrega encima:…
LeerCómo escanear WordPress en busca de malware
El malware en WordPress casi nunca se ve: el sitio carga bien, a usted no le redirige a ningún lado y el…
Leer¿Tiene plugins desactualizados?
Le decimos cuáles tienen fallas conocidas y cuáles conviene actualizar primero, sin pedirle claves.
¿Consulta urgente? WhatsApp 095 283 123