El mantenimiento de una página web es el trabajo continuo que la mantiene segura, actualizada y funcionando: actualizar el gestor de contenidos y sus extensiones, renovar certificados, hacer copias de seguridad que se puedan restaurar, vigilar que los formularios entreguen y revisar el rendimiento. La parte que casi nadie cuenta es la vigilancia: la mayoría de los fallos que vemos no tiran la web, la dejan aparentemente bien mientras algo importante ha dejado de funcionar.
¿Quieres que lo hagamos por ti? Mira nuestro servicio de Desarrollo WordPress
Actualizado en septiembre de 2026. Los casos son de webs que mantenemos, incluida kiwop.com; los de clientes van sin nombre.
Qué incluye el mantenimiento de una página web
Cada web es distinta. Estos son los bloques con los que trabajamos el mantenimiento mensual:
- Actualizaciones. Del gestor de contenidos, del tema, de los plugins o módulos y de las dependencias del servidor. Se prueban primero en una copia de pruebas y solo después pasan a producción.
- Seguridad. Revisamos los avisos de vulnerabilidades que afectan a lo que tiene instalado cada web y retiramos las extensiones que ya no se usan.
- Certificados. Vigilamos el certificado que recibe el visitante, no el que hay guardado en el disco. Hoy seguimos casi 500 certificados de todo nuestro parque de servidores.
- Copias de seguridad. Automáticas, fuera del servidor y con ensayo de restauración. Si una copia nunca se ha restaurado, no sabemos si sirve.
- Monitores que prueban lo que importa. En kiwop.com, un monitor envía el formulario de contacto cada 15 minutos y avisa si no llega. Eso dice mucho más que una alerta de «la web responde».
- Rendimiento. Revisamos Core Web Vitals y tiempos de respuesta, porque una actualización también puede volver lenta una web que iba bien.
- Cambios pequeños. Textos, imágenes o una página nueva, dentro de las horas pactadas.
Por qué comprobar que la web responde no basta
El monitor más habitual comprueba que la web devuelve un código 200, que en HTTP significa «todo correcto». El problema es que muchas averías devuelven 200.
En nuestra propia web, el listado del blog fallaba en una o dos de cada cien peticiones. El servidor pedía los artículos a su propia dirección pública, y ese rodeo por la red fallaba de vez en cuando. La página se servía con un 200 y el mensaje «No se pudieron cargar los artículos». Un monitor de disponibilidad la daba por buena, y un buscador que pasara en ese momento veía el blog vacío. Lo arreglamos haciendo que el servidor hable con el gestor de contenidos por la red interna.
Con nuestro asistente de chat pasa algo parecido: cuando el proveedor de IA falla, el servidor responde igualmente con un 200 y un mensaje de emergencia. Por eso el monitor no se conforma con el 200: lee la respuesta y avisa si trae un error.
Tres fallos reales que solo se ven vigilando
El certificado caducado que no era un certificado
Desde algunas operadoras españolas, kiwop.com aparecía con un aviso de certificado no válido, y solo en horario de partido. El certificado estaba bien. Lo que pasaba es que nuestra web comparte dirección IP en Cloudflare con otras webs, y esa IP entraba en el bloqueo que LaLiga consiguió de un juzgado de Barcelona contra la piratería en diciembre de 2024. La operadora cortaba la conexión y respondía con un certificado propio, y el navegador lo mostraba como si el nuestro hubiera caducado.
Lo que enseña este caso es que el síntoma engaña. Si alguien hubiera «renovado el certificado», no habría arreglado nada. Antes de tocar hay que comprobar desde fuera de la operadora qué recibe el visitante y por qué.
Los certificados de dominios que ya se habían ido
En un servidor que aloja las webs de varias administraciones públicas, el sistema de renovación automática seguía intentando renovar los certificados de 55 dominios que ya se habían migrado a otra infraestructura. Cada intento fallaba, porque esos dominios ya no apuntaban a nuestro servidor. Let's Encrypt limita los fallos de validación, así que esos intentos fallidos acabaron bloqueando la renovación de los certificados que sí seguían sirviéndose desde allí.
Lo detectó nuestra vigilancia de certificados cuando a uno de los dominios activos le quedaban tres días. La lección vale para cualquier mantenimiento: cuando una web se va, hay que dar de baja todo lo que tenía en el servidor, certificados incluidos.
La cabecera de seguridad que dejó a cero las conversiones
Endurecimos las cabeceras de seguridad de kiwop.com con una política que limita a qué dominios puede conectarse la página. El script de Google Ads cargaba, pero sus avisos de conversión no podían salir hacia los servidores de Google. No había ningún error visible, solo un aviso en la consola del navegador. Durante semanas, la cuenta de anuncios registró cero conversiones.
Desde entonces, cada vez que se añade una herramienta de terceros o se cambia una cabecera, comprobamos que el dato llega a su destino, en este caso a la cuenta de Google Ads. Que la página cargue no demuestra nada.
Cómo comprobamos que una copia de seguridad sirve
Antes de cada despliegue de nuestra plataforma interna hacemos una copia de la base de datos y comprobamos que el fichero no está vacío ni dañado. Eso demuestra que la copia existe. Para saber si se puede restaurar hay que ensayarlo: se recupera la copia en una base aparte, se comprueba el contenido y nunca se sobrescriben los datos vivos. Cuando un cliente nos pide recuperar algo borrado, trabajamos siempre sobre esa copia aparte.
Qué pasa si no se mantiene una web
Una web sin mantenimiento suele seguir funcionando un tiempo, mientras se degrada y queda un poco más expuesta cada semana:
- Los certificados gratuitos más usados caducan a los 90 días. Si la renovación automática se rompe y nadie la vigila, un día el navegador avisa a tus visitantes de que tu web no es segura.
- Los plugins y módulos acumulan vulnerabilidades conocidas y públicas. Los ataques automatizados buscan precisamente esas versiones.
- Las versiones del gestor de contenidos y de PHP dejan de recibir parches. Cuanto más tiempo pasa, más cara sale la actualización, porque hay que saltar varias versiones de golpe.
- Los formularios dejan de entregar sin que nadie lo note, y un cliente que te escribe no recibe respuesta.
Cómo saber si tu mantenimiento actual cubre lo necesario
Si ya pagas un mantenimiento, estas preguntas te dicen en cinco minutos si cubre algo más que una copia automática:
- ¿Cuándo fue la última vez que restaurasteis una copia de seguridad, y dónde?
- ¿Qué pasa si una actualización rompe algo? ¿Se prueba antes en una copia de la web?
- ¿Quién recibe el aviso si el formulario de contacto deja de enviar?
- ¿Cómo os enteráis de una vulnerabilidad en un plugin que tengo instalado?
- ¿Vigiláis el certificado que ve el visitante o solo la fecha de caducidad?
Si las respuestas son vagas, el mantenimiento probablemente es una copia de seguridad y poco más.
Cómo lo trabajamos en Kiwop
Mantenemos webs y tiendas online que hemos construido nosotros y también webs que heredamos de otros proveedores. En estas últimas empezamos por una auditoría técnica: qué versiones tiene, qué extensiones sobran, dónde están las copias y qué vigilancia existe. A partir de ahí pactamos las tareas y las horas de cada mes. El mantenimiento técnico cuesta entre 150 y 600 € al mes, sin IVA, según el tamaño de la web y las horas incluidas. Como referencia, los proveedores que publican su tarifa de mantenimiento en España piden una mediana de 39 € al mes, según nuestro observatorio de precios publicados, y suelen cubrir actualizaciones y copias automáticas.
Si quieres saber cómo está tu web o revisar tu mantenimiento actual, cuéntanos qué tienes. Si vas a hacer una web nueva, en diseño web explicamos cómo trabajamos desde el principio.
