¿Tu web tiene accesos o plugins abandonados? Riesgos y qué hacer

Una guía para dueños de negocios que quieren saber si su web WordPress está expuesta por cuentas de usuarios y extensiones que ya no se vigilan.

01 El riesgo silencioso: puertas abiertas que no ves

Imagina una clínica dental en Arenys de Mar. La web la montó hace tres años un becario, el recepcionista cambió dos veces y un plugin para reservas dejó de actualizarse. Nadie recuerda quién tiene acceso al panel. Si uno de esos accesos cae en malas manos, el atacante puede modificar la página, robar datos de pacientes o inyectar spam. El coste de limpiar y restaurar una web hackeada en el Maresme suele estar entre 300 y 900 euros, sin contar las horas de caída ni la pérdida de confianza.

Los accesos de usuarios inactivos y los plugins abandonados son dos de las vías de entrada más comunes en webs de pequeños negocios. Un plugin que no se actualiza desde hace dos o tres años es un agujero conocido: los atacantes buscan webs con versiones viejas para explotar vulnerabilidades ya documentadas. Y un usuario administrador que era de un empleado que ya no está puede convertirse en la llave maestra para cualquiera que consiga esa contraseña.

02 Por qué se acumulan sin que te des cuenta

La web de un negocio suele crecer a retazos. Un día entra un programador para un cambio, luego una agencia para el diseño, después un autónomo para el SEO. Cada uno crea su propia cuenta de administrador y no siempre se borra al terminar. Con el tiempo, el panel de WordPress acumula usuarios que ya no deberían tener acceso: ex empleados, becarios, técnicos puntuales.

Pasa lo mismo con los plugins. Instalas una extensión para una función concreta, la pruebas y al final no la usas, pero la dejas activa o desactivada. Algunos plugins quedan abandonados por su autor, dejan de recibir actualizaciones de seguridad y se convierten en una carga. En WordPress, un plugin desactivado no supone riesgo directo, pero si está activo y es vulnerable, es una invitación.

03 La comprobación que puedes hacer tú en 10 minutos

Sin ser técnico, puedes hacer una revisión rápida desde el propio WordPress. Entra en el panel, ve al menú Usuarios y mira cuántas cuentas hay y qué rol tienen. Busca administradores que no reconozcas, correos genéricos como info@ o admin@, o nombres de personas que ya no trabajan contigo. Luego ve a Plugins y revisa la lista: fíjate en los que tienen una alerta de actualización pendiente desde hace meses, los que ya no aparecen en el repositorio oficial o los que están desactivados y no recuerdas para qué servían.

No hace falta que entiendas cada detalle técnico. Solo anota en un papel: número de usuarios administradores, cuántos usuarios totales, cuántos plugins activos y cuántos desactivados, y cuántos tienen actualizaciones pendientes. Con esos datos ya puedes decidir si necesitas ayuda profesional. Esta revisión no arregla nada, pero te da una fotografía del riesgo.

04 Qué hacer con lo que encuentres

Si descubres usuarios que no deberían estar, lo más seguro es eliminarlos o cambiar su rol a algo sin privilegios. Pero antes de borrar, conviene asegurarse de que no hay contenido asociado a ese usuario (entradas, páginas) que pueda quedar huérfano. Un profesional puede reasignar el contenido y luego eliminar la cuenta. Si no te atreves, no borres a lo loco: podrías romper algo.

Con los plugins, la lógica es parecida. Si un plugin está desactivado y no lo usas, bórralo. Si está activo pero está abandonado, busca una alternativa mantenida o valora si realmente lo necesitas. No siempre es fácil: algunas extensiones muy específicas no tienen sustituto. En ese caso, toca evaluar el riesgo de mantenerlo y compensarlo con otras capas de seguridad.

05 Opciones, plazos y precios orientativos

Tienes tres caminos. El primero es no hacer nada: cero euros hoy, pero el coste medio de una limpieza de hackeo en un negocio pequeño en Barcelona y Maresme ronda los 300-900 euros, y puede llegar a más si hay robo de datos o penalización de Google. Además, la web puede estar caída varios días.

El segundo es hacerlo tú mismo. Si tienes conocimientos básicos de WordPress y tiempo, puedes limpiar usuarios y plugins en una o dos horas. El riesgo es equivocarte: borrar algo necesario, dejar la web sin una función clave o no detectar un acceso comprometido. Si tu web es simple (pocas páginas, pocos plugins) y tienes copia de seguridad reciente, puede ser asumible.

El tercero es contratar a un profesional. Una auditoría puntual de accesos y plugins suele costar entre 80 y 150 euros en la zona del Maresme, y se entrega en uno o dos días. Luego, un plan de mantenimiento mensual que incluya revisión de usuarios, actualización de plugins, copias de seguridad y monitorización de seguridad está entre 30 y 80 euros al mes para una web típica. Las agencias grandes cobran más, a menudo 100-200 euros al mes, pero incluyen soporte telefónico y acuerdos de nivel de servicio. Las plataformas tipo 'todo en uno' pueden ser más baratas, pero no te conocen ni van a ir a tu negocio si pasa algo.

06 Por qué un profesional cercano en el Maresme suma

Un freelance de Arenys de Mar o Mataró puede pasarse por tu comercio o clínica en el mismo día si hay un problema. No tienes que abrir un ticket y esperar a que un departamento en otra ciudad te responda. Conoce el tejido local: muchas webs de tiendas y despachos del Maresme usan configuraciones parecidas, y ya ha visto los fallos típicos de la zona.

Además, un profesional local te explicará en persona qué ha encontrado y cómo evitar que vuelva a pasar. No es magia: es criterio. Por el precio de una comida al mes, mantienes la web vigilada y evitas sustos mayores.

07 Criterio de decisión: ¿lo hago yo o lo encargo?

Si tu web tiene menos de cinco plugins, dos o tres usuarios y todos son de confianza, y te sientes cómodo entrando en el panel, puedes hacer la limpieza tú con una copia de seguridad reciente. Pero si detectas más de cinco administradores, plugins con actualizaciones pendientes de más de seis meses o no sabes qué hace cada extensión, encarga al menos una auditoría puntual.

No se trata de gastar por gastar. Se trata de saber que una web abandonada en los accesos y los plugins es la primera puerta que prueban los atacantes. Un profesional te dirá qué sobra, qué falta y cuánto cuesta dejarlo en orden. Y luego, si quieres, te lo mantiene.

Preguntas frecuentes

¿Cada cuánto debo revisar los usuarios y plugins de mi web?

Idealmente, una vez al mes. Si no tienes tiempo, al menos cada tres meses. Los ataques automatizados buscan vulnerabilidades nuevas a diario, así que cuanto más a menudo revises, menos riesgo acumulas.

¿Qué es exactamente un plugin abandonado?

Es una extensión cuyo autor ha dejado de actualizarla, normalmente durante más de uno o dos años. Eso significa que si aparece un fallo de seguridad, nadie lo corregirá. Aunque el plugin siga funcionando, se convierte en un riesgo creciente.

¿Puedo dejar un plugin desactivado sin riesgo?

Un plugin desactivado no ejecuta código, así que el riesgo directo es bajo. Pero si es vulnerable y alguien consigue activarlo por un fallo de otro plugin, podría explotarlo. Además, acumular desactivados ensucia el panel y complica el mantenimiento. Lo mejor es borrar lo que no uses.