Backups de WordPress: la rutina que te salva y la que te hace creer que estás a salvo

Casi todos los negocios a los que preguntamos tienen backups. Casi ninguno ha restaurado uno. Esas dos frases juntas son el problema: un backup que nunca se ha restaurado no es un backup, es una esperanza. Esto es la rutina que usamos y, sobre todo, las tres formas en que una copia de seguridad te deja tirado justo cuando la necesitas.

Qué tiene que incluir una copia completa

Una web WordPress son dos cosas separadas, y las dos tienen que estar:

• La base de datos: entradas, páginas, usuarios, pedidos, ajustes, el contenido de los campos personalizados y las plantillas del constructor.
• Los archivos: las imágenes subidas, el tema, los plugins, el archivo de configuración.

La trampa: muchas copias automáticas de hosting respaldan las dos cosas, pero en calendarios distintos. Si la base se copia cada día y los archivos cada semana, restaurar te deja una base que apunta a imágenes que todavía no existen. Es la incoherencia que más dolores de cabeza da en una restauración real.

Los tres fallos que convierten un backup en humo

1. La copia vive en el mismo servidor que la web. El escenario que te importa es que el servidor falle, el proveedor te suspenda la cuenta o alguien entre y borre. En los tres casos, la copia que está dentro desaparece con todo lo demás. Una copia en el mismo sitio no es una copia: es un punto de restauración para errores humanos pequeños, que también sirve, pero no es tu seguro.

2. Nadie ha probado restaurar. Los archivos se corrompen, los plugins de backup cambian de formato, las claves de los almacenamientos externos caducan. Lo descubres el día que lo necesitas, que es el peor día posible.

3. Calendarios desacoplados. El que acabamos de ver. Si tu proveedor copia base y archivos por separado, al menos asegúrate de que sea con la misma frecuencia.

Cada cuánto, según lo que pierdas

La pregunta correcta no es «cada cuánto hago copias» sino «cuánto trabajo estoy dispuesto a repetir». Esa respuesta define la frecuencia:

• Web institucional que no cambia: copia mensual y antes de cada cambio. Si pierdes un mes, no perdiste nada.
• Web con blog o con formularios: semanal. Un artículo y unos contactos es lo máximo que se repone.
• Tienda en línea: diaria, sin discusión. Cada día perdido son pedidos reales de clientes reales que ya pagaron.
• Siempre, en todos los casos: antes de actualizar. Es el momento en que una web sana se rompe, y la copia de hace cinco minutos vale más que la de hace cinco días.

Esa última regla es la que convierte el mantenimiento en algo seguro de hacer, y es parte de la rutina que describimos en mantenimiento de WordPress.

Nuestro esquema de tres capas

Capa 1: la copia del servidor entero, en el proveedor. Se activa con un clic y cuesta alrededor de un 20 % del plan: dos dólares al mes sobre un servidor de diez. Copia la máquina completa y es lo que te salva de un desastre de infraestructura. Es mejor que un plugin de backup por sitio, que duplica el disco de cada web.

Capa 2: la copia del sitio, con un plugin. Con una condición que no es negociable: que permita restaurar en un servidor distinto. Esa es la diferencia entre un plugin de backup y un plugin de migración. El primero te devuelve a donde ya estabas; el segundo te saca del incendio. Nosotros usamos el segundo tipo, y el archivo se guarda fuera del servidor.

Capa 3: la copia manual antes de cada cambio grande. Actualización mayor, cambio de tema, migración. No es automática y tiene que existir, porque es la única que está exactamente en el punto que te interesa recuperar.

Un caso real: lo que se pierde no siempre es la base de datos

Vale la pena contar un incidente propio, porque ilustra algo que las guías de backups no mencionan.

En una tienda de un cliente, una operación nuestra por la interfaz de programación regeneró mal unos archivos de estilos que el constructor guarda fuera de la base de datos. Resultado: cuatro páginas de catálogo quedaron publicadas, con todo su contenido intacto, y completamente sin estilos. Nada de eso se arreglaba restaurando la base de datos, porque la base estaba bien.

La lección: hay partes de una web moderna que no viven ni en la base ni en el tema, sino en archivos generados. Una copia completa tiene que incluir la carpeta de subidas entera, no solo las imágenes. Y la verificación posterior a cualquier cambio grande tiene que ser visual, mirando la página, no solo comprobando que responde.

La prueba que casi nadie hace

Una vez al año, en una web que importe: levanta la copia en otro lado y comprueba que el sitio funciona. No hace falta tocar producción. Se crea un servidor temporal por unas horas, que cuesta unos centavos, se restaura ahí y se revisan cinco cosas: que el sitio carga, que las imágenes se ven, que el contenido reciente está, que se puede entrar al escritorio y que los pedidos o formularios siguen ahí.

Si falla, lo descubriste un martes cualquiera en vez de en plena caída. Si funciona, dejaste de tener esperanza y pasaste a tener un backup.

Preguntas frecuentes sobre backups de WordPress

¿El backup de mi hosting es suficiente?

Como única capa, no. Suele guardarse en la misma infraestructura, y en varios proveedores se conserva pocos días. Sirve como primera red, pero necesitas al menos una copia fuera, que puedas descargar y restaurar en otro servidor.

¿Cuánto tiempo debo conservar las copias?

Un mes de copias recientes cubre casi todo. El caso que obliga a conservar más es el malware: a veces entra y pasa semanas inactivo, y cuando lo detectas, las copias recientes ya lo traen dentro. Para eso conviene guardar una copia mensual de los últimos meses.

¿Un plugin de backup hace lenta la web?

Mientras genera la copia, sí, consume recursos; por eso se programan de madrugada. El problema mayor es el espacio: guardar las copias dentro del propio servidor duplica el disco de cada sitio, que es exactamente lo que evitamos con la copia del servidor entero.

¿Cómo sé si mi backup sirve?

Solo hay una forma: restaurarlo en otro lugar y mirarlo. Cualquier otra respuesta es una suposición. Si nunca lo has hecho, asume que no sabes si tienes backup.

¿Y si me hackean? ¿Restaurar basta?

No. Restaurar te devuelve el sitio, pero no cierra la puerta por la que entraron: si era un plugin vulnerable, volverá a pasar. Después de restaurar hay que actualizar todo, cambiar contraseñas y claves, y revisar usuarios administradores nuevos. El panorama completo está en seguridad en WordPress.

Conclusión

La rutina que te salva tiene tres piezas: una copia del servidor en el proveedor, una copia del sitio que se pueda restaurar en otra parte, y una copia manual antes de cada cambio grande. La frecuencia la decide cuánto trabajo estás dispuesto a repetir. Y lo único que convierte todo eso en un seguro de verdad es haber restaurado al menos una vez.

En Lucuma Agency, agencia de marketing digital en Lima, las tres capas vienen incluidas en el mantenimiento web de cada cliente, con la copia previa obligatoria en cada actualización. Si no sabes dónde están las copias de tu web ni quién las revisa, agenda una consultoría gratis y lo averiguamos en 30 minutos.