Lo que 200 tickets de emergencia nos enseñaron
Sacamos los últimos 200 tickets de emergencia WordPress que resolvimos y categorizamos cada uno por causa raíz, tiempo de resolución y costo de downtime al cliente. Los patrones son claros, las lecciones son contundentes y la mayoría de estas emergencias eran prevenibles.
Este artículo es un tour de las 12 emergencias más comunes en nuestros datos de incidentes 2026, ordenadas por frecuencia. Para cada una compartimos qué la causa, cuánto tarda en arreglarse, cuánto cuesta mientras el sitio está caído y qué la habría prevenido.
1 — Fuerza bruta seguida de compromiso de admin (18% de incidentes)
Los atacantes bombardean /wp-login.php hasta adivinar las credenciales de admin. Una vez dentro, instalan un backdoor y lo usan después para monetizar (spam, redirects, malware).
- Tiempo promedio de arreglo: 4–8 horas (limpieza + endurecimiento + delisting de Google si fue blacklisteado)
- Downtime promedio: 2–6 horas (ventana de limpieza)
- Impacto promedio en ingresos: $800–$5,000 dependiendo del tipo de sitio
- Prevenido por: 2FA, rate limiting WAF en /wp-login.php, política de contraseñas fuertes, whitelisting de IP
La parte chocante: el 95% de las cuentas a las que se les hizo fuerza bruta usaban una contraseña de menos de 12 caracteres. La longitud es una defensa más fuerte que la complejidad.
2 — Actualización de plugin rompió el sitio (14% de incidentes)
El flujo "click en actualizar, rezar" devolviendo el mordisco. Una actualización de plugin introduce una regresión, error fatal o migración de schema que rompe compatibilidad con otro plugin.
- Tiempo promedio de arreglo: 30 minutos a 2 horas (rollback o parche)
- Downtime promedio: 30 minutos a 4 horas
- Impacto promedio en ingresos: $200–$1,500
- Prevenido por: Entorno de staging, backups diarios, testing de actualizaciones de plugins, procedimientos de rollback documentados
Los plugins que más rompieron cosas en 2025: Elementor (5 regresiones mayores), WooCommerce (3) y varios add-ons "pequeños" de page builders que dependen de internos de Elementor.
3 — Pantalla blanca de la muerte tras edición (11% de incidentes)
Alguien editó código PHP (functions.php, un archivo de plugin) a través del editor del dashboard de WP o FTP sin probar. Un error de sintaxis rompe todo el sitio.
- Tiempo promedio de arreglo: 5–30 minutos (revertir vía FTP)
- Downtime promedio: Tanto como te tome notarlo
- Impacto promedio en ingresos: $100–$2,000 dependiendo del tiempo de detección
- Prevenido por: Desactivar editor de tema (
DISALLOW_FILE_EDIT), requerir ediciones de código en un IDE real, usarphp -lpara lintear antes de desplegar
También hemos visto WSODs "sin edición" causadas por actualizaciones de versión PHP — el servidor pasó de PHP 7.4 a 8.0 y código usando características obsoletas se rompió.
4 — Infección de malware (10% de incidentes)
Código malicioso inyectado vía un plugin vulnerable conocido, credenciales débiles o una actualización de plugin comprometida. El payload varía: inyección de spam, spam SEO, redirects, cryptojackers.
- Tiempo promedio de arreglo: 6–24 horas (limpieza forense, endurecimiento, reconsideración Google)
- Downtime promedio: 4–12 horas (offline durante limpieza)
- Impacto promedio en ingresos: $2,000–$30,000 (depende mucho del daño a reputación/SEO)
- Prevenido por: WAF, monitoreo de integridad de archivos, auditorías regulares de plugins, 2FA
El malware es el tipo de incidente más caro por sus efectos en cascada: blacklisting, pérdida de confianza de clientes, daño SEO que toma meses recuperar.
5 — Fallo de conexión a base de datos (8% de incidentes)
El mensaje "Error establishing a database connection". Usualmente credenciales equivocadas tras migración, crash de servicio MySQL, o saturación de max_connections.
- Tiempo promedio de arreglo: 15–90 minutos
- Downtime promedio: Tanto como persista el problema
- Impacto promedio en ingresos: $500–$3,000
- Prevenido por: Monitoreo en el conteo de conexiones MySQL, credenciales DB documentadas,
systemctl enable mysql
6 — Sitio lento / TTFB sobre 5 segundos (7% de incidentes)
No una caída completa sino parcial. Los clientes se van, el gasto en anuncios se desperdicia, los rankings de búsqueda bajan. Las causas van desde un plugin mal codificado hasta queries lentas de MySQL hasta hosting subaprovisionado.
- Tiempo promedio de arreglo: 90 minutos a 6 horas (profiling + optimización)
- Downtime promedio: Ninguno directamente, pero la tasa de rebote sube 200–400%
- Impacto promedio en ingresos: $1,000–$10,000 al mes mientras persiste
- Prevenido por: Monitoreo de rendimiento, auditoría regular de plugins, hosting dimensionado apropiadamente
7 — Alojado en compartido con vecino comprometido (6% de incidentes)
Tu sitio no fue atacado directamente — un sitio hermano en el mismo hosting compartido se comprometió y el atacante pivotó vía acceso compartido al filesystem.
- Tiempo promedio de arreglo: 4–12 horas (limpieza + migrar a mejor aislamiento)
- Downtime promedio: 2–8 horas
- Impacto promedio en ingresos: $1,000–$5,000
- Prevenido por: No usar hosting compartido para sitios serios; usa VPS o WordPress gestionado con aislamiento apropiado
8 — Atascado en modo mantenimiento (5% de incidentes)
Una actualización fallida dejó .maintenance en el directorio raíz. El sitio está mostrando "Briefly unavailable for scheduled maintenance" a todos los visitantes.
- Tiempo promedio de arreglo: 5 minutos (borrar el archivo) a 2 horas (si las actualizaciones también necesitan re-correrse)
- Downtime promedio: Tanto como no sepas borrar el archivo
- Impacto promedio en ingresos: $200–$1,000 por hora
- Prevenido por:
max_execution_timePHP más alto, batches de actualización más pequeños, monitoreo que atrapa estado de mantenimiento
9 — Problema de DNS / certificado SSL (5% de incidentes)
El sitio mismo está bien pero DNS no apunta bien o el certificado SSL expiró. El navegador muestra una advertencia, el tráfico se desploma.
- Tiempo promedio de arreglo: 15 minutos a 4 horas (depende de propagación DNS)
- Downtime promedio: 2–24 horas
- Impacto promedio en ingresos: $500–$5,000
- Prevenido por: Auto-renovación SSL monitoreada, records DNS documentados, alertas de expiración de certificado a 14 días
10 — Mala configuración de Cloudflare (4% de incidentes)
Un cambio de ajuste en Cloudflare cascadeó en problemas del sitio. Culpables comunes: cambio de modo SSL causando loops de redirect, page rules conflictuando, regla de firewall demasiado agresiva.
- Tiempo promedio de arreglo: 15 minutos a 2 horas
- Downtime promedio: Tanto como persista la mala config
- Impacto promedio en ingresos: $500–$3,000
- Prevenido por: Probar cambios de Cloudflare en desarrollo, documentar reglas existentes, usar las features de preview/staging de Cloudflare
11 — Checkout de WooCommerce roto (4% de incidentes)
Un subconjunto específico de conflictos de plugins: una actualización o cambio rompió el checkout mientras el resto del sitio funciona. Los clientes pueden navegar, añadir al carrito, pero el checkout falla.
- Tiempo promedio de arreglo: 1–4 horas
- Downtime promedio: Ninguno visible, pero las conversiones van a cero
- Impacto promedio en ingresos: $1,000–$10,000 por día hasta arreglarlo
- Prevenido por: Test automatizado de checkout (Cypress o similar), testing en staging, fijación de versión del gateway de pago
12 — Redirect hackeado (4% de incidentes)
Los visitantes a tu sitio son redirigidos a sitios spam. A menudo invisible para los admins (cloaking por referrer) hasta que Google marca el sitio.
- Tiempo promedio de arreglo: 4–8 horas
- Downtime promedio: 1–4 horas durante limpieza
- Impacto promedio en ingresos: $1,000–$8,000 (mayormente daño SEO)
- Prevenido por: WAF, monitoreo de integridad de archivos, auditoría SEO regular
Lo que estos datos nos dicen
Tres patrones emergen claramente de los datos:
La mayoría de emergencias son prevenibles. 9 de las 12 categorías arriba tienen estrategias de prevención conocidas y bien documentadas. La razón por la que aún ocurren es operacional, no técnica — los dueños no implementan la prevención hasta después del primer incidente.
El tiempo de detección domina el daño. Un incidente de 2 horas detectado en 15 minutos cuesta aproximadamente el 10% de lo que cuesta el mismo incidente detectado 12 horas después. El monitoreo es la inversión de mayor ROI para cualquier sitio que importe.
La fuerza bruta sigue siendo #1. En 2026, con credential stuffing aumentado con IA y bots, la fuerza bruta sigue siendo el vector de ataque más común. 2FA lo resuelve. Cada sitio que gestionamos tiene 2FA obligatorio para el rol administrator.
La inversión en prevención que paga
Para sitios WordPress críticos de negocio, recomendamos esta asignación anual de presupuesto:
- WAF ($240/año por Cloudflare Pro): previene ~30% de incidentes
- Monitoreo ($120/año por UptimeRobot Pro + Patchstack): reduce tiempo de detección
- Backups ($60/año por Backblaze o S3): permite recuperación rápida
- Hosting staging ($240/año): previene incidentes inducidos por actualizaciones
- Total: $660/año
Costo promedio de un solo incidente mayor: $3,000–$10,000. La matemática es abrumadora.
Cuándo llamar a un especialista
Leer este artículo y sentirse abrumado por el checklist de prevención es la reacción correcta. La mayoría de dueños no tienen la capacidad operacional de mantener todo esto ellos mismos — por eso existen servicios especializados de mantenimiento WordPress.
Soporte de emergencia continuo mantiene un especialista de guardia para tus incidentes. Reparación de sitio hackeado cubre recuperación post-brecha. Recuperación de velocidad WordPress aborda lentitud crónica antes de que sea una emergencia.