Una web WordPress con un 61 sobre 100 en Google PageSpeed Insights para móvil, un plugin de gestor de archivos abierto al público (uno de los vectores de ataque más comunes en WordPress), plugins duplicados funcionando en paralelo y formularios de contacto inundados de bots. Ese era el estado de coachingforbusiness.online cuando nos contactaron para hacernos cargo del mantenimiento técnico. En tres semanas de trabajo, el rendimiento en móvil subió de 61 a 95 sobre 100. Durante el primer mes de mantenimiento, el cortafuegos registró 74 intentos de acceso no autorizado bloqueados y se limpió un historial de base de datos con 2.245 registros innecesarios acumulados. Este artículo detalla qué encontramos y qué hicimos, con los problemas exactos y las decisiones tomadas.
El punto de partida: la radiografía inicial
Antes de tocar nada, lo primero es documentar el estado real. Muchos problemas de rendimiento y seguridad en WordPress no son visibles a simple vista: están en la lista de plugins activos, en la configuración del servidor o en el historial de errores.
La web usaba el tema Monstroid2 de TemplateMonster, una plantilla muy completa pero también muy pesada, que lleva incorporada toda la suite de Crocoblock (JetElements, JetTabs, JetThemeCore). A esto se añadía Elementor Pro, lo que significaba dos sistemas constructores visuales trabajando en paralelo. El servidor era sólido: CDMon con PHP 8.4 y 768 MB de RAM, más que suficiente para una web de este tipo.
El problema no estaba en el servidor. Estaba en la capa de software de WordPress.
Lo que encontramos en la lista de plugins
| Problema | Plugin | Riesgo |
|---|---|---|
| Gestor de archivos del servidor abierto | WP File Manager | Crítico — acceso directo al sistema de archivos |
| Dos plugins de SEO activos en paralelo | Yoast SEO + AIOSEO | Conflictos de metadatos, doble carga |
| Dos plugins de SMTP activos en paralelo | WP Mail SMTP + Easy WP SMTP | Correos que no llegan, configuración inconsistente |
| Plugin de caché incompatible con Varnish | WP Fastest Cache | Caché doble que ralentiza en lugar de acelerar |
El más urgente era WP File Manager: un plugin que permite explorar y editar archivos del servidor directamente desde el panel de WordPress, sin autenticación adicional. Es uno de los vectores de ataque más documentados en WordPress; hay ataques automatizados que escanean la red buscando instalaciones con este plugin activo. Lo primero que hicimos antes de cualquier optimización de rendimiento fue eliminarlo.
Fase 1: seguridad y limpieza
El orden importa. Optimizar el rendimiento de una web insegura es construir sobre arena: si la web tiene un vector de entrada, da igual cuánto hayas optimizado las imágenes.
Acciones de seguridad:
- Eliminación de WP File Manager
- Instalación de Wordfence (cortafuegos + escáner de malware)
- Activación de la protección de CDMon a nivel de servidor
- Eliminación de los plugins duplicados (uno de SEO, uno de SMTP)
- Actualización de WordPress a la versión 6.9.3 y de todos los plugins con actualizaciones críticas pendientes (9 en total, incluyendo Elementor Pro y los JetPlugins de Crocoblock)
La limpieza de plugins duplicados tiene un efecto doble: elimina conflictos técnicos y reduce el peso que WordPress tiene que cargar en cada petición.
Fase 2: optimización de rendimiento
Con la web saneada, el siguiente objetivo era el rendimiento en móvil. El 61/100 inicial tenía causas concretas:
Imágenes sin optimizar. Las fotos del equipo y las imágenes del blog se habían subido directamente desde cámara o móvil, sin compresión. Una foto de 1200×1200px puede pesar 4-5 MB si no se optimiza; el estándar web está por debajo de 150 KB para ese tamaño.
Caché mal configurada. WP Fastest Cache estaba activo, pero el servidor de CDMon tiene Varnish (caché a nivel de servidor), que es mucho más rápido. Tener los dos en paralelo no suma: genera conflictos y puede hacer más lento el sistema que si no hubiera ningún plugin de caché.
JavaScript sin minificar. El tema Monstroid2 y Elementor Pro cargan bastante JavaScript. Sin minificación ni concatenación, cada script es una petición separada al servidor.
Las acciones concretas:
- Eliminación de WP Fastest Cache
- Instalación de Autoptimize (minificación y concatenación de CSS/JS, con los scripts de Elementor excluidos para evitar conflictos visuales)
- Instalación de a3 Lazy Load (las imágenes fuera del viewport no se cargan hasta que el usuario llega a ellas)
- Robin Image Optimizer en modo Lossy: recompresión de todas las imágenes ya subidas a la biblioteca de medios, con redimensionado automático activado para que las imágenes futuras no superen un ancho máximo
El resultado: 61 → 95
Tras completar ambas fases, el resultado en Google PageSpeed Insights para móvil:
| Métrica | Antes | Después |
|---|---|---|
| Rendimiento (Performance) | 61 | 95 |
| Accesibilidad | — | 92 |
| Prácticas recomendadas | — | 100 |
El salto de 61 a 95 en rendimiento es significativo porque afecta directamente al posicionamiento en Google: desde 2021, los Core Web Vitals (que PageSpeed mide) son un factor de ranking oficial. Una web con 61 en móvil tiene una desventaja real frente a competidores con puntuaciones altas, especialmente en búsquedas donde el resultado se muestra a usuarios de móvil.
Para el visitante, la diferencia se traduce en tiempo de carga: una web con 61 puede tardar 4-6 segundos en ser interactiva en móvil; una con 95 lo hace en menos de 2.
El mantenimiento mensual: lo que pasa después del lanzamiento
Optimizar una web una vez no es suficiente. Las webs WordPress necesitan mantenimiento activo porque el ecosistema evoluciona constantemente: nuevas versiones de PHP, actualizaciones de plugins, nuevas amenazas de seguridad.
El primer mes de mantenimiento técnico de coachingforbusiness.online dejó estos datos:
Seguridad:
- 74 intentos de acceso no autorizado bloqueados por Wordfence
- Instalación de reCAPTCHA v3 de Google en los formularios de contacto: los bots habían encontrado el formulario y estaban enviando decenas de mensajes basura. reCAPTCHA v3 es invisible para el usuario real (no aparece ningún puzzle ni checkbox), pero analiza el comportamiento del visitante y bloquea los envíos automatizados con una puntuación de riesgo
- Configuración de campo honeypot adicional como segunda línea de defensa
Base de datos:
- 2.245 registros de historial eliminados: WordPress guarda un historial de revisiones por cada vez que se guarda un borrador o se publica un artículo. En una web con dos años de vida, ese historial puede acumular miles de registros que no sirven para nada en producción pero ralentizan las consultas a la base de datos
Visibilidad:
- Conexión de Google Search Console
- Solicitud manual de indexación de la landing page de la Masterclass, que no aparecía en los resultados de Google
Qué aprendemos de este caso
Tres patrones que se repiten en casi todas las webs WordPress que auditamos:
1. Los plugins duplicados son más comunes de lo que parece. La mayoría no los instala intencionadamente: vienen con el tema, los instala un técnico anterior, o aparecen como recomendación durante una actualización. La limpieza de plugins duplicados es siempre una de las primeras acciones y casi siempre mejora el rendimiento sin tocar nada más.
2. WP File Manager es un plugin que no debería estar activo en producción. Existe para facilitar el trabajo de los técnicos durante el desarrollo, no para dejar abierto en una web en producción. Si tu web lo tiene activo, es una prioridad revisarlo hoy.
3. El caché de servidor es más rápido que cualquier plugin de caché de WordPress. Si tu hosting tiene Varnish, LiteSpeed o cualquier otra solución de caché a nivel de servidor, añadir un plugin de caché de WordPress encima no suma: puede restar. El único caso en que tiene sentido usar un plugin de caché de WordPress es cuando el hosting no tiene nada a nivel de servidor.
Si estos problemas te han hecho plantearte si WordPress es la plataforma más adecuada para tu negocio, esta guía compara todas las opciones del mercado con sus costes reales a tres años.
Preguntas frecuentes sobre rendimiento en WordPress
¿Por qué el rendimiento de mi web WordPress en móvil es tan bajo?
Los motivos más habituales son: tema pesado con muchos scripts y estilos, imágenes sin comprimir subidas directamente desde cámara o móvil, plugins de caché mal configurados o en conflicto con la caché del servidor, y JavaScript sin minificar. El primer paso es hacer un test en Google PageSpeed Insights y leer los diagnósticos específicos que da: siempre identifica las causas más importantes.
¿Qué puntuación de PageSpeed debería tener mi web?
Para móvil, el objetivo es superar 90. Por encima de 90 Google considera el rendimiento "bueno" y no aplica penalización en el ranking por velocidad. Entre 50 y 89 hay margen de mejora. Por debajo de 50, el problema afecta a la experiencia del usuario y probablemente también al SEO.
¿Mejora el SEO si mejoro el rendimiento de mi web?
Sí, aunque no de forma inmediata. Los Core Web Vitals (que incluyen velocidad de carga) son un factor de posicionamiento oficial de Google desde 2021. Una mejora de 61 a 95 en móvil no te lleva al número 1 de Google al día siguiente, pero sí elimina una desventaja real frente a webs competidoras con mejor rendimiento. El SEO es una carrera de fondo y la velocidad es uno de los factores del circuito.
¿WP File Manager es realmente tan peligroso?
Sí. Hay exploits documentados y ataques masivos automatizados que buscan instalaciones de WordPress con WP File Manager activo. Si lo tienes y no has recibido un ataque es porque no te han apuntado todavía, no porque el plugin sea seguro. La norma básica es: en producción, solo los plugins que sean necesarios para el funcionamiento normal del sitio. WP File Manager es una herramienta de administración que no debería estar activa en una web en producción.
¿Cuánto cuesta el mantenimiento técnico mensual de una web WordPress?
En Kronexia, el mantenimiento mensual para webs como esta está en 29€/mes e incluye actualizaciones de seguridad, limpieza de base de datos, monitorización y cambios menores de contenido. Para una web que genera negocio, ese coste es marginal comparado con lo que cuesta recuperarse de un hackeo o de una caída de posicionamiento por rendimiento.
¿Puedo hacer estas optimizaciones yo mismo sin un técnico?
Algunas sí. Instalar un plugin de optimización de imágenes como Robin Image Optimizer o Imagify es relativamente sencillo. La parte complicada es la configuración de caché, que depende de cómo esté montado tu hosting, y la limpieza de plugins, donde hay que saber qué se puede eliminar sin romper nada. Si no tienes experiencia técnica con WordPress, el riesgo de un error durante la limpieza (eliminar el plugin equivocado, conflicto de caché con el tema) puede ser más caro que contratar a alguien que lo haga bien.