Las actualizaciones automáticas de WordPress dividen a la gente en dos: quien las activa todas y duerme tranquilo hasta que un martes la web amanece rota, y quien las desactiva todas y acaba con un plugin de 2021 sirviendo de puerta de entrada.
Hay un punto intermedio que funciona, y se basa en una idea sencilla: automatiza lo que casi nunca rompe, y supervisa lo que sí.
Qué puede actualizarse solo en WordPress
| Componente | Riesgo de rotura | Recomendación |
|---|---|---|
| Versiones menores del núcleo (5.9.1 → 5.9.2) | Muy bajo: son casi siempre correcciones de seguridad | Automático, siempre |
| Versiones mayores del núcleo (6.4 → 6.5) | Medio: cambian el editor y APIs | Manual, con una semana de margen |
| Traducciones | Nulo | Automático |
| Plugins sencillos y muy mantenidos | Bajo | Automático si tienes copias diarias |
| Plugins críticos (pasarela, reservas, constructor) | Alto | Manual y probado |
| Tema | Alto si no usas tema hijo | Manual |
Esa última fila tiene truco: si has personalizado el tema padre en vez de usar un tema hijo, cada actualización borra tu trabajo. Por eso los cambios propios van siempre en el hijo, nunca en el padre.
Dónde se configura
Desde el escritorio
En Plugins → Plugins instalados hay una columna «Actualizaciones automáticas» con un interruptor por plugin. En Escritorio → Actualizaciones se controla el comportamiento del núcleo.
Desde wp-config.php, para fijar la política
define('WP_AUTO_UPDATE_CORE', 'minor');
Automatiza las versiones menores del núcleo y deja las mayores en tus manos. Es la configuración que recomendamos para el 90 % de las webs de empresa. Si ya tienes ese fichero abierto, aprovecha para revisar el editor de archivos del escritorio.
El requisito que hace que esto sea seguro: copias que funcionen
Automatizar sin copias es apostar. Automatizar con copias diarias, probadas y guardadas fuera del servidor es una decisión razonable, porque el peor caso es «restauro y actualizo con más cuidado».
Antes de activar nada, asegúrate de que tu copia incluye ficheros y base de datos, y de que sabes restaurarla. Está desarrollado en qué debe incluir una copia de seguridad. Si tu proveedor hace copias pero no te deja restaurarlas tú, eso es un punto a valorar cuando compares alojamientos.
Cómo saber si una actualización te rompió algo
El problema de lo automático es que ocurre sin ti. Estas cuatro señales cubren casi todo:
- Vigilancia externa de la web: un servicio que te avise si la portada deja de responder o cambia de tamaño bruscamente. Los hay gratuitos.
- Correo de errores: WordPress envía un aviso cuando una actualización automática falla o activa el modo de recuperación. Comprueba que ese correo llega a una dirección que alguien lee.
- Revisión visual semanal: portada, una página interior, el formulario y el proceso de compra si vendes. Cinco minutos.
- Registro de errores de PHP: si empieza a llenarse tras una actualización, algo ha cambiado. Cómo leerlo, en leer los logs de tu web.
El caso especial: si tu web vive de una campaña o de un evento concreto, congela las actualizaciones automáticas de plugins esos días y revísalas manualmente después. No por el riesgo real, sino porque no quieres investigar nada el día de más tráfico del año.
Lo que las actualizaciones automáticas no resuelven
- Plugins abandonados: si el autor no publica nada, no hay nada que automatizar. Esa decisión es de fondo: qué hacer con un plugin abandonado.
- Licencias caducadas: el plugin de pago ni siquiera consulta si hay versión nueva. Lo cuenta esta guía sobre licencias.
- Plugins empaquetados con el tema: se actualizan cuando el autor del tema quiere.
- Versiones de PHP: las gestiona tu hosting, no WordPress, y quedarse en una versión sin soporte es de los riesgos más silenciosos que hay.
La política que recomendamos por escrito
Para una web de empresa con copias diarias:
- Núcleo: versiones menores automáticas; mayores, manuales a las dos semanas de salir.
- Plugins sencillos y muy usados: automáticos.
- Plugins que tocan dinero, datos o diseño: manuales, probados antes: el procedimiento completo.
- Tema: manual, siempre con tema hijo.
- Revisión trimestral del inventario para quitar lo que sobra: cuántos plugins deberías tener.
Si tu web la mantiene alguien externo, esto debería estar en el contrato con nombres y plazos, no en un acuerdo verbal. Las cláusulas concretas, en el contrato de mantenimiento web.
La documentación oficial del comportamiento de las actualizaciones automáticas está en el manual de WordPress, por si tu desarrollador quiere afinar la configuración.
Seguir leyendo en esta sección
- Tu plugin lleva dos años sin actualizarse: cómo saber si ya es un riesgo
- Cuántos plugins debería tener un WordPress (y cómo decidir cuáles quitar)
- Cómo saber si un plugin nulled tiene una puerta trasera
- Vulnerabilidades en plugins de WordPress: cómo saber si te afectan y qué hacer
- Se me ha caducado la licencia de un plugin de pago: ¿deja de recibir parches?
- Cómo comprobar la reputación de un plugin antes de instalarlo
Ver todo en Seguridad de plugins WordPress → · Mapa completo del sitio