“Mi página lleva tres días sin abrir y el que la hizo no me contesta.” Me lo dijo el dueño de un despacho, y la versión que más escucho en Xalapa es parecida: “Google dice que mi sitio es peligroso y no sé desde cuándo”. En los dos casos la página existe, se pagó, y hoy vale menos que no tenerla: el que te busca encuentra un error o un aviso rojo, y se va con el de al lado.
Aquí te explico por qué pasa (casi siempre por algo que nadie actualizó), cuánto cuesta cada día que sigue así, qué hacer hoy y cómo evitar que se repita.
Lo que cuesta cada día sin página
Una página caída o marcada como peligrosa cuesta tres cosas: los clientes que no llegan, las horas que gastas en resolverlo y la confianza que no regresa. El 37 % de las pequeñas empresas calcula que una hora de caída le cuesta entre 1,000 y 5,000 dólares, y un 8 % la ubica por arriba de 25,000 dólares (Calyptix/ITIC, 2025). Son cifras de Estados Unidos, así que ajusta a tu escala, pero el mecanismo es el mismo: si tus reservaciones, cotizaciones o pedidos entran por la página, cada hora sin ella es venta que se fue a otro lado.
| Situación | Qué ve tu cliente | Cuánto suele durar | Lo que te cuesta |
|---|---|---|---|
| Página caída (hosting, dominio vencido, error) | “No se puede acceder a este sitio” | Horas o días, según quién tenga los accesos | Todos los clientes que llegan por Google o desde tu Instagram |
| Hackeada con redirección o spam | Abre y lo manda a un sitio de apuestas o farmacia | Semanas sin que nadie lo note | Clientes que no confían y posiciones en Google que se pierden |
| Marcada por Google como peligrosa | Pantalla roja de “sitio engañoso” | Días a semanas después de limpiar | Casi nadie cruza la pantalla roja: la página deja de existir |
| Sin accesos (el proveedor desapareció) | Lo mismo, pero no puedes arreglarlo | Lo que tardes en recuperar dominio y hosting | Rehacer lo que ya pagaste, más los días sin página |
La tercera fila es la más cara. Cuando Google detecta contenido hackeado, malware o páginas engañosas, muestra advertencias en los resultados y el navegador pone una pantalla completa antes de dejar entrar (Ayuda de Search Console). Después de limpiar, pides una revisión que puede tardar “de varios días a varias semanas”. Mientras, tu página sigue ahí, pagada, y nadie la ve.
Por qué se cae o la hackean: casi siempre es lo que nadie actualiza
No te hackearon porque alguien te tenía ganas. Te hackearon porque un robot revisó millones de sitios buscando un plugin con un hueco conocido, y el tuyo lo tenía. Las cifras del ecosistema de WordPress, que está en el 40.2 % de todos los sitios web del mundo (W3Techs, septiembre 2026), lo dejan claro:
- En 2025 se encontraron 11,334 vulnerabilidades nuevas en WordPress, 42 % más que en 2024. El 91 % estaba en plugins y el 9 % en temas; el núcleo tuvo solo seis, todas de bajo riesgo (Patchstack, 2026).
- El 46 % de esas vulnerabilidades se hizo pública sin que existiera parche, y para las más atacadas la mediana entre publicarse y explotarse en masa fue de 5 horas (Patchstack, 2026).
- El 39.1 % de los sitios infectados tenía el sistema desactualizado al momento del ataque, y el 49.21 % quedó con al menos una puerta trasera instalada (Sucuri, 2023).
- Las defensas del hosting tradicional bloquearon solo el 26 % de los ataques medidos (Patchstack, 2026). “Mi hosting tiene seguridad” no te cubre.
Esto también pasa en México: más del 60 % de las pymes mexicanas sufrió intentos de robo de datos, ransomware o accesos no autorizados en el último año, y solo cuatro de cada diez tiene un plan de respuesta (Tantius vía Excélsior, junio 2026).
Traducido a tu negocio: una página típica de WordPress trae decenas de plugins instalados por quien la hizo, muchos que ni se usan. Cada uno es una puerta. Si nadie las revisa desde que se entregó la página, es cuestión de tiempo.
La página que “no se toca” es la más vulnerable. Los plugins envejecen solos, los huecos se publican solos y los robots que los buscan trabajan solos. Una página sin mantenimiento tiene fecha de caducidad; solo que nadie la conoce.
Las tres formas en que muere una página
Se cae. Venció el dominio o el hosting, una actualización rompió algo o el servidor se llenó. Es la más fácil de arreglar si tienes los accesos y la que más tarda si no los tienes. Ya escribí sobre esto en qué significa que tu sistema quede a tu nombre: dominio y hosting son lo primero que se apaga.
La hackean en silencio. Para ti abre normal, pero a quien llega desde Google lo redirige a otro sitio, o tiene miles de páginas ocultas de spam. El 20.30 % de los sitios infectados que limpió Sucuri en 2023 tenía spam de SEO. Puede durar meses sin que nadie lo note, y mientras tanto pierdes posiciones en Google que costaron años.
Google te marca. Aparece en el informe de problemas de seguridad de Search Console (si alguien lo configuró; muchos negocios no lo tienen, como conté en por qué tu página no aparece en Google) y tu página se convierte en una pantalla roja.
Qué hacer hoy si ya pasó
Este es el orden. No saltes el primer paso.
- Reúne los accesos: dominio (dónde se compró y con qué correo), hosting, panel de WordPress, Search Console. Si no los tienes, ese es el cuello de botella real: registrador con documentos del negocio, proveedor con solicitud de exportación.
- Respalda el estado actual, aunque esté infectado, para saber qué pasó y no perder contenido si la limpieza sale mal.
- Cambia todas las contraseñas (WordPress, base de datos, hosting, correo del administrador) y borra los administradores que no reconoces.
- Limpia o restaura. Un respaldo limpio de antes del ataque suele ser más rápido y confiable que limpiar a mano. Si no hay, actualiza todo, elimina plugins que no uses y pasa un escáner.
- Pide la revisión en Search Console solo cuando estés seguro de que quedó limpio. Cada rechazo son días más de pantalla roja.
- Levanta una página puente de una sola pantalla (qué vendes, teléfono, WhatsApp, horario, dirección) en un dominio limpio. Se levanta en horas y deja de perder al que te busca hoy.
Cómo evitar que vuelva a pasar: menos partes que se rompan
La forma más barata de mantener una página es que tenga poco que mantener. Es la misma idea que atraviesa todo lo que hago: no necesitas más herramientas, necesitas mejores sistemas. Aplicado a una página, significa cuatro decisiones:
| Decisión | Cómo se ve en la práctica | Qué evita |
|---|---|---|
| Página estática en lugar de un panel con plugins | El sitio son archivos que se sirven desde una red de entrega, sin base de datos expuesta ni panel de administración en internet | La mayoría de las vías de ataque de la tabla de Patchstack, y las caídas por servidor saturado |
| El contenido se edita fuera del sitio | Menú o catálogo en una hoja de Google, y el sitio se genera solo | Tener que entrar a un panel para cambiar un precio, y que ese panel sea la puerta |
| Todo a nombre del negocio | Dominio, hosting, repositorio y Search Console con tu correo como administrador | Quedarte sin poder arreglar nada cuando el proveedor no contesta |
| Alguien vigila | Monitoreo de que la página abre, Search Console configurado, respaldo automático | Enterarte por un cliente semanas después |
Así trabajo las páginas que hago. Pollos Amigos y Mayoreo del Sur, por ejemplo, administran el menú y el catálogo desde una hoja de Google Sheets; el sitio se actualiza solo y no tiene costo de servidores. No hay panel de WordPress que parchar ni plugins que envejezcan. Mi propio sitio funciona igual. No es que sea imposible hackear algo así; es que hay muchísimo menos que hackear, y nada que se rompa por no actualizarlo.
Si estás decidiendo entre mantener lo que tienes o cambiarlo, la comparación entre Wix, plantilla y página a la medida te sirve: los constructores resuelven el mantenimiento a cambio de una mensualidad y de no ser tuyos; una página estática a la medida lo resuelve sin mensualidad y a tu nombre.
Si te vas a quedar en WordPress, que sea con reglas: menos de diez plugins, actualizaciones automáticas, un administrador por persona con autenticación de dos pasos, respaldo diario fuera del hosting y Search Console con tu correo. Y una persona con nombre que responda por eso. Sin esa persona, las reglas no existen.
Ejemplo: un hotel en Boca del Río
Piensa en un hotel de Boca del Río que recibe buena parte de sus reservaciones directas por la página, sobre todo en puentes. La página la hizo una agencia hace tres años con WordPress y un tema comprado. Nadie la ha actualizado desde entonces.
Un jueves de puente, un huésped le escribe por WhatsApp: “Oye, tu página me manda a una de apuestas”. Lleva así dos semanas y Google ya la marcó. El dueño no tiene el acceso al hosting; la agencia cerró. Ese fin de semana, cada familia que buscó “hotel en Boca del Río” y dio clic vio una pantalla roja, y reservó en el de junto o en una plataforma que cobra comisión.
Lo que hubiera cambiado el resultado no es un plugin de seguridad. Es que el dominio y el hosting estuvieran a nombre del hotel, que la página no tuviera un panel que parchar, y que un monitoreo le avisara al dueño el primer día en lugar del día catorce. Eso es lo que reviso en un diagnóstico, junto con lo que pasa después del clic: de nada sirve una página arriba si la reservación la atiende alguien a mano dos días después.
Y un error que veo seguido: rehacer la página con el mismo esquema. WordPress con 20 plugins y sin responsable es el mismo problema con otra fecha.
Por dónde empezar
Si tu página está caída o marcada hoy, empieza por los accesos y por la página puente. Si está arriba y “no la tocas desde que la entregaron”, revísala antes de que te la revise un robot.
En un diagnóstico de tu operación revisamos qué está a tu nombre, de qué depende que la página siga arriba, cuánto te cuesta cada día que no lo esté y qué pasa con el cliente después del clic. Con eso decides si conviene mantener lo que hay con reglas o pasarlo a una página que no necesite mantenimiento. Agenda un diagnóstico por WhatsApp o lee cómo funciona el diagnóstico.
Trabajo con negocios de Xalapa, Boca del Río y Puebla, y de forma remota con el resto de México.
¿Tu negocio ya vende bien pero opera a mano? Empecemos por un diagnóstico: mapeo tu operación, encuentro el cuello de botella y te digo qué conviene automatizar primero.
Agendar diagnósticoQué incluyeFuentes
- Patchstack: State of WordPress Security in 2026
- Sucuri: 2023 Hacked Website & Malware Threat Report
- W3Techs: Usage statistics and market share of WordPress, September 2026
- Uptime Basics: How much website downtime actually costs a small business (Calyptix/ITIC SMB Security Survey 2025)
- Excélsior: Más del 60 % de las PyMEs tuvo intentos de robo de datos (Tantius)
- Ayuda de Search Console: Informe Problemas de seguridad
Jahziel Cabrera · Desarrollador de software en Xalapa, Veracruz
Más de 6 años creando páginas web, chatbots de WhatsApp y software a la medida para negocios de Xalapa, Puebla y todo México. Físico por la Universidad Veracruzana, primer lugar del Datatón Anticorrupción 2022 (Sistema Nacional Anticorrupción) y coinventor de un dispositivo con registro ante el IMPI. Lo que escribo aquí sale de proyectos reales. Conóceme.