Actualizar la web sin miedo: copias, entorno de pruebas y vuelta atrás

Seguridad web27 de July de 2026

El miedo a actualizar es razonable —una actualización mal dada puede tirar la web— pero no actualizar es peor, porque la mayoría de los sitios comprometidos lo son por versiones viejas con fallos conocidos. La salida no es elegir entre ambos riesgos: es tener una forma de volver atrás en cinco minutos.

4 min de lectura8 secciones

Por qué no actualizar es el riesgo mayor

Cuando se publica un parche, se hace pública también la vulnerabilidad que corrige. A partir de ese momento, cualquiera puede buscar de forma automática sitios que aún no lo hayan aplicado. No hace falta ser un objetivo interesante: basta con aparecer en el escaneo.

Es decir: cuanto más tiempo pasa desde que sale una actualización, más fácil es explotar el fallo que corrige. La ventana de riesgo se abre justo cuando aparece la solución.

La red de seguridad: poder volver atrás

Todo lo demás depende de esto. Si puedes restaurar el estado anterior en cinco minutos, actualizar deja de dar miedo porque el peor caso es una molestia de cinco minutos.

Lo que hace falta:

• Copia de ficheros y base de datos justo antes de cada actualización importante. No la de anoche: la de hace un minuto.
• Saber restaurarla. Haberlo hecho al menos una vez, sin prisa, para que el día que haga falta no sea la primera.
• Que la copia esté fuera del propio servidor, por si el problema afecta al alojamiento.

El entorno de pruebas

Es una copia de la web donde probar los cambios antes de aplicarlos en la que ven los clientes. Muchos alojamientos lo ofrecen con un botón, y si el tuyo no, merece la pena preguntarlo.

No hace falta usarlo para todo. La regla razonable en una empresa pequeña: las actualizaciones de seguridad menores se aplican directamente, y las que cambian versión mayor de algo —el núcleo, la tienda, el maquetador— se prueban antes.

Dos advertencias sobre el entorno de pruebas: no debe ser accesible para los buscadores, y no debe enviar correos reales a clientes si contiene una copia de los pedidos.

Un procedimiento que funciona

1. Mira qué se va a actualizar y si alguna es un cambio de versión mayor.
2. Copia completa, ficheros y base de datos.
3. Actualiza en pruebas si el cambio es importante; si es menor, directamente.
4. Comprueba lo esencial: que la portada carga, que el formulario envía, que el proceso de compra llega hasta el pago, que el panel funciona.
5. Actualiza en la web real, preferiblemente en horario de baja actividad y nunca un viernes por la tarde.
6. Vuelve a comprobar lo esencial.
7. Anota qué se actualizó y cuándo. Cuando algo falle tres días después, esa nota es lo que te dice dónde mirar.

Qué comprobar después, en concreto

«Que la web funcione» es demasiado vago. Conviene tener una lista corta y siempre la misma:

• La portada y dos páginas interiores cargan sin errores.
• El formulario de contacto envía y llega el correo.
• Si hay tienda, se puede añadir al carrito y llegar a la pantalla de pago.
• El menú y el pie se ven correctamente en móvil.
• El panel de administración funciona y se puede editar una entrada.

Cinco minutos que detectan la mayoría de los problemas que provoca una actualización.

Automatizar lo que conviene

No todo debe ser manual. Lo razonable para una empresa pequeña es dejar automáticas las actualizaciones de seguridad del núcleo, y revisar a mano las de plugins y temas una vez al mes con el procedimiento de arriba.

Lo que no conviene es dejarlo todo en automático y no mirar nunca: el día que una actualización rompa algo, nadie se enterará hasta que un cliente avise, y para entonces habrán pasado días.

Quién se encarga

Es la pregunta que decide si esto ocurre o no. Si no hay una persona con nombre y una fecha en el calendario, las actualizaciones se acumulan hasta que hay treinta pendientes y da miedo tocarlas, que es exactamente la situación que queríamos evitar.

Si dentro de la empresa no hay quien pueda asumirlo, es de las tareas que mejor se externalizan porque es repetitiva y tiene un procedimiento claro. Es parte de nuestros planes de acompañamiento, con la copia previa y la comprobación posterior incluidas.

Si tu web lleva tiempo sin actualizarse y te da respeto empezar, escríbenos: la primera vez conviene hacerlo con red, y después ya es rutina. En la auditoría de seguridad vemos cuántas actualizaciones tienes pendientes y cuáles son urgentes.