6.3Buenas prácticas & trampas
Lo esencial en 30 segundos
- Hacer copia de seguridad, probar, documentar: tres reflejos que evitan la mayoría de los incidentes graves.
- El mínimo privilegio: cada persona con su cuenta, sus permisos y sus accesos; nunca un administrador compartido para todos.
- La sencillez duradera: pocas extensiones, un tema hijo, actualizaciones seguidas y copias de seguridad realmente probadas.
Hilo Samir — los reflejos que aguantaron
Después de varios años en los sitios del taller, Samir se quedó con algunos reflejos sencillos: hacer copia de seguridad antes de actuar, probar en una copia, documentar los accesos y rechazar los atajos no dominados. Las trampas, en cambio, vuelven siempre por los mismos caminos: la prisa y las modificaciones no documentadas.
Una buena práctica no es una regla para quedar bien: cada una evita una avería o una pérdida de tiempo conocidas.
Lo que marca la diferencia
Dos sitios pueden tener el mismo diseño y un destino muy distinto. Lo que los separa son decisiones discretas: una copia de seguridad probada, un tema hijo, permisos propios, actualizaciones seguidas. Esas decisiones no se ven en la demostración; se ven seis meses después.
Pensar en propiedad y traspaso
El cliente debe ser propietario de su nombre de dominio, su alojamiento y sus accesos. Un sitio en el que el proveedor guarda todas las cuentas es un sitio prisionero. Samir documenta los accesos y prevé el traspaso desde el principio.
La seguridad no es un plugin
Una extensión de seguridad ayuda, pero no sustituye ni las actualizaciones, ni las contraseñas sólidas, ni la limitación de cuentas de administrador, ni las copias de seguridad. La seguridad es higiene, no un botón que se activa.
Los buenos reflejos
- Hacer copia de seguridad antes de cualquier actualización o modificación sensible.
- Probar en una preproducción o en una copia cuando sea posible.
- Crear una cuenta por usuario con el nivel de permisos adecuado.
- Documentar los accesos, las extensiones y los procedimientos de mantenimiento.
Las trampas que evitar
- Modificar directamente el tema padre o el núcleo de WordPress.
- Acumular extensiones sin verificar su utilidad y su mantenimiento.
- Dejar una cuenta de administrador compartida o una contraseña débil.
- Creer que existe una copia de seguridad sin haber probado nunca su restauración.
Guion listo para decir — defender las copias de seguridad (25 s)
«Antes de cada intervención hago una copia de seguridad y verifico que se puede restaurar. Eso nos permite corregir sin riesgo de perder sus contenidos o sus pedidos.»
Para conservarlo y justificar el tiempo de copia de seguridad ante un cliente con prisa.
Guion listo para decir — rechazar un atajo (20 s)
«Prefiero pasar por un tema hijo en lugar de modificar el tema directamente: si no, la próxima actualización lo borra todo. Es un poco más largo ahora, pero duradero.»
Explicar el coste del atajo, no solo la regla.
Modelo para copiar y pegar — checklist de seguridad básica
1. Actualizaciones seguidas (núcleo, temas, extensiones)
2. Una cuenta por usuario, permisos mínimos
3. Contraseñas sólidas + 2FA para los administradores
4. Copia de seguridad automática + restauración probada
5. HTTPS activo y certificado válido
6. Extensiones no utilizadas eliminadas
7. Accesos documentados y entregados al clienteModelo para copiar y pegar — ficha de traspaso
DOMINIO / ALOJAMIENTO: _______________
ACCESO ADMIN: _______________
TEMA + TEMA HIJO: _______________
EXTENSIONES ÚTILES: _______________
COPIAS DE SEGURIDAD: _______________
CONTACTO DE MANTENIMIENTO: _______________
PROCEDIMIENTO DE ACTUALIZACIÓN: _______________Pyme / presupuesto ajustado
Copia de seguridad automática, actualizaciones de seguridad y tema hijo: la base mínima.
Asociación
Cuentas nominativas y permisos adaptados a los voluntarios, con un procedimiento de salida.
Tienda
Copias de seguridad antes de cada actualización crítica y prueba de pedido después.
Agencia
Checklist de entrega, documentación y mantenimiento contractualizado.
Reto 48 h — aplícalo mañana
Audita un sitio: cuentas, permisos, copia de seguridad probada, tema hijo y extensiones inútiles. Corrige un punto y anota los demás. 25 minutos.
- Aplico los reflejos de copia de seguridad y prueba.
- Doy el nivel de permisos adecuado.
- Documento los accesos y los procedimientos.
¿Qué práctica protege más duraderamente un sitio WordPress?
Las buenas prácticas se miden en el tiempo: un sitio retomado seis meses después debe seguir siendo comprensible, con copia de seguridad y mantenible.