El mantenimiento web es el conjunto de tareas técnicas que mantienen la página del despacho actualizada, segura y funcionando sin sorpresas: parches de WordPress, revisión de plugins, copias de seguridad probadas y alguien que responda cuando algo se rompe. La mayoría de despachos lo contrata sin saber muy bien qué está pagando, y hay agencias que cobran lo mismo por revisar la web una vez al mes que por vigilarla a diario. Aquí se desglosan las tareas que debería cubrir un plan serio, el precio real de cada nivel y qué ocurre el día que nadie las hace.
Un plan de mantenimiento web para un despacho cuesta entre 25 y 150 euros al mes según el nivel contratado, y debe incluir como mínimo actualizaciones mensuales de WordPress y plugins, copia de seguridad diaria fuera del servidor y un tiempo de respuesta pactado ante incidentes. Sin esas tres cosas, no es mantenimiento: es solo hosting con otro nombre.
Tareas que cubre el mantenimiento web del despacho
Bajo la etiqueta «mantenimiento web» caben cosas muy distintas según quién la use. Como mínimo, un plan digno de ese nombre cubre cuatro frentes: mantener el núcleo de WordPress y los plugins en su última versión, comprobar que el sitio sigue funcionando después de cada actualización, guardar copias de seguridad verificadas y disponer de alguien que intervenga cuando algo falla, no solo cuando se acuerda de mirar.
- Actualización mensual -o inmediata si hay un parche crítico- de WordPress, el tema y los plugins activos.
- Comprobación manual de que el formulario de contacto, la agenda de citas o cualquier integración sigue enviando datos tras cada cambio.
- Copia de seguridad diaria almacenada fuera del propio servidor.
- Monitorización de que la web sigue online, con aviso inmediato si cae.
Lo que separa un plan bueno de uno cosmético es la comprobación posterior: instalar una actualización sin revisar después que la web sigue igual es delegar el riesgo en el cliente. INCIBE recomienda además que esas copias de seguridad no se guarden nunca en el mismo servidor que aloja la web, en su guía de seguridad para WordPress, precisamente para que un ataque no se lleve el sitio y su respaldo a la vez.
Riesgos de no actualizar el WordPress del despacho
Dejar de actualizar no ahorra tiempo: lo aplaza. Cada versión de WordPress y cada plugin que se salta arrastra parches de seguridad sin aplicar, y el hueco entre la versión que corre en el servidor y la última disponible es justo lo que aprovecha un atacante automatizado, no una persona mirando la web del despacho una a una.
Plugins desactualizados, la puerta más usada
El 91% de las vulnerabilidades nuevas detectadas en el ecosistema WordPress durante 2026 están en plugins, no en el núcleo, según el informe State of WordPress Security de Patchstack. El mismo informe sitúa en solo 5 horas el tiempo medio que pasa entre que se hace pública una vulnerabilidad y el primer intento de explotarla. Un despacho con un plugin de formularios o de citas sin actualizar dos semanas no está «un poco atrasado»: lleva semanas expuesto a un fallo que ya circula. La actualización de la versión de PHP del servidor juega en el mismo terreno: un plugin parcheado sobre un PHP obsoleto sigue dejando puertas abiertas que el propio plugin no puede cerrar por sí solo.
La ventana de exposición es el tiempo que transcurre entre que un fallo de seguridad se hace público y el momento en que se aplica el parche en la web afectada. Cuanto más se tarda en actualizar, más días queda esa ventana abierta para cualquiera que la busque.
Tres niveles de mantenimiento web y su precio
El precio del mantenimiento web varía porque no todos los planes cubren lo mismo. Un despacho con web informativa y pocas visitas no necesita el mismo nivel de vigilancia que uno con agenda de citas online o un área privada de clientes. La tabla siguiente resume los tres niveles habituales y qué debería incluir cada uno antes de firmar nada:
| Nivel | Qué incluye | Tiempo de respuesta | Precio orientativo/mes |
|---|---|---|---|
| Básico | Actualizaciones mensuales y copia de seguridad semanal | 48-72 horas laborables | 25-40 € |
| Estándar | Actualizaciones con comprobación posterior, copia diaria y monitorización de caídas | 24 horas | 50-90 € |
| Avanzado | Todo lo anterior, más entorno de pruebas antes de actualizar y soporte ante incidentes de seguridad | Menos de 6 horas | 100-150 € |
Los rangos son orientativos y varían según el proveedor y el tamaño del sitio, pero cualquier plan por debajo del nivel Básico -sin copia de seguridad propia ni comprobación tras actualizar- no es mantenimiento: es dejar la web en modo automático y confiar en que no pase nada.
Cómo elegir al desarrollador que mantiene tu web
El nombre del proveedor importa menos que las condiciones que firma. Antes de contratar mantenimiento, conviene pedir por escrito qué incluye cada tarea, con qué frecuencia se ejecuta y qué pasa si la web se cae fuera de horario. Sin eso, el precio mensual no dice nada sobre el servicio real.
Cláusulas que exigir antes de firmar el contrato
Conviene preguntar quién guarda las copias de seguridad y si el despacho tiene acceso directo a ellas, sin depender de pedirlas por correo el día que las necesita. También cuánto tarda el proveedor en aplicar un parche crítico -no uno rutinario- y si ese plazo está escrito en el contrato o es una promesa verbal. La regla de las copias de seguridad que debería cumplir cualquier despacho sirve aquí de mínimo exigible: si el proveedor no la cumple, no hay mantenimiento real detrás del recibo mensual. Un proveedor serio no tiene problema en enseñar el historial de copias y de actualizaciones cuando se le pide; el que se limita a decir que «todo está controlado» sin poder mostrarlo no está dando mantenimiento, está vendiendo tranquilidad.
Soporte técnico y tiempos de respuesta ante incidentes
Un plan de mantenimiento sin tiempo de respuesta pactado es una promesa, no un contrato. Cuando la web de un despacho cae en horario de captación de clientes, cada hora sin resolver es tráfico y formularios que se pierden, y en marketing jurídico esos formularios suelen costar dinero real por cada clic conseguido en campañas activas. Por eso el nivel de respuesta debería estar escrito, no darse por hecho.
La Unión Europea ha empezado a exigir algo parecido a quien fabrica el software, no solo a quien lo mantiene. El Reglamento de Ciberresiliencia obliga desde el 11 de septiembre de 2026 a que los fabricantes de software declaren activamente las vulnerabilidades explotadas que detecten en sus productos, con las obligaciones principales aplicándose por completo a partir de diciembre de 2027. Eso mejora la información disponible sobre un plugin defectuoso, pero no sustituye a que alguien la aplique en la web del despacho: la norma obliga a avisar, no a que el sitio del cliente se actualice solo.
Preguntas frecuentes sobre el mantenimiento de tu web
¿Cada cuánto hay que actualizar WordPress y los plugins?
Lo mínimo razonable es una revisión mensual, pero un parche marcado como crítico debe aplicarse en cuanto se publica, no esperar al ciclo habitual. El informe de Patchstack sitúa en solo 5 horas el tiempo medio hasta el primer intento de explotación de una vulnerabilidad nueva, así que esperar semanas deja la web expuesta sin necesidad.
¿Qué pasa si el despacho no contrata ningún mantenimiento?
La web sigue funcionando hasta que deja de hacerlo: un plugin sin parchear, un fallo de compatibilidad con una nueva versión de PHP o un ataque automatizado pueden dejarla caída sin que nadie se entere hasta que un cliente intenta entrar y no puede. Recuperarla sin copia de seguridad reciente cuesta más que dos años de mantenimiento.
¿El mantenimiento incluye cambios de textos o de diseño?
No. El mantenimiento cubre la parte técnica -actualizaciones, copias, seguridad y disponibilidad-, no el contenido ni el diseño de la web. Cambiar un texto, añadir una página nueva o rediseñar una sección son tareas de desarrollo aparte que se presupuestan por separado, aunque las lleve el mismo proveedor.
¿Quién responde si la web se cae tras una actualización?
Debería estar en el contrato, no ser una duda que surge el día que pasa. Un plan serio incluye un entorno de pruebas donde se comprueba la actualización antes de aplicarla en la web real, y un tiempo de respuesta pactado si algo falla igualmente. Sin eso por escrito, la responsabilidad se decide discutiendo, no leyendo.