Guía de Mantenimiento Web para Empresas

Mantenimiento no es "arreglar la web cuando se rompe". Es un conjunto de tareas periódicas que hacen que no se rompa: actualizar dependencias, aplicar parches de seguridad, verificar que las copias se pueden restaurar, vigilar la disponibilidad y revisar que el certificado y los registros del dominio siguen en orden.

A eso se le suele añadir una bolsa de horas para cambios menores de contenido. Conviene que en el contrato esas dos cosas estén separadas: si el mantenimiento técnico y los cambios comerciales salen de la misma bolsa, lo urgente del negocio se come el tiempo de la seguridad.

• Actualización de dependencias y del entorno de ejecución
• Parches de seguridad con plazo comprometido
• Verificación de copias con restauración probada
• Vigilancia de caída con aviso automático
• Bolsa de horas para cambios menores, separada del resto

La mayoría de las webs comprometidas no lo son por un ataque dirigido, sino por un robot que rastrea internet buscando una versión con una vulnerabilidad conocida y publicada. El plazo importa: entre que se publica el fallo y que empiezan los intentos masivos suelen pasar días, no meses.

Por eso el criterio operativo es distinguir entre lo que se aplica de inmediato y lo que puede esperar a la ventana mensual. Las vulnerabilidades críticas van fuera de calendario; el resto se agrupa, se prueba en un entorno previo y se despliega con un plan de vuelta atrás.

• Crítico fuera de calendario; el resto, en ventana mensual
• Prueba en un entorno previo antes de tocar producción
• Plan de vuelta atrás escrito antes de cada despliegue
• Vigila el certificado y su renovación automática
• Revisa quién tiene acceso y retíralo cuando alguien se va

Casi todo el mundo tiene copias y casi nadie las ha restaurado nunca. Una copia que no se ha probado es una suposición, y el día que hace falta se descubre que faltaba la base de datos, que el fichero está corrupto o que nadie sabe el procedimiento. Restaurar una vez al año, en un entorno aparte, convierte esa suposición en un hecho.

La otra parte es dónde viven. Una copia en el mismo servidor no protege de nada relevante: ni de un borrado por ransomware ni de la pérdida del proveedor. Al menos una copia debe estar en otro sitio y fuera del alcance de las credenciales del servidor.

• Frecuencia acorde a cuánto dato puedes permitirte perder
• Al menos una copia fuera del servidor y del proveedor
• Restauración probada de verdad, al menos una vez al año
• La copia incluye base de datos y ficheros subidos, no solo código
• Retención suficiente para detectar un problema que tardó en verse

Enterarte de que la web está caída porque te llama un cliente es la peor forma de enterarte. Una vigilancia mínima comprueba cada pocos minutos que la portada responde, que el certificado no ha caducado y que el formulario de contacto sigue enviando, y avisa por un canal que alguien mira.

El tiempo de respuesta hay que pactarlo por gravedad, no como un número único. No es lo mismo la tienda caída en plena campaña que un texto mal escrito en una página secundaria, y un contrato que no distingue entre las dos cosas acaba tratándolas igual: mal.

• Comprobación periódica de disponibilidad y del certificado
• Vigila también que el formulario de contacto sigue enviando
• Aviso por un canal que alguien mira de verdad
• Tiempos de respuesta distintos según gravedad
• Un contacto de guardia definido para lo crítico

Un contrato de mantenimiento útil describe tareas concretas y plazos, no adjetivos. Debe decir qué se actualiza y con qué frecuencia, en cuánto tiempo se responde según la gravedad, qué informe se entrega y cuántas horas de cambios entran. Sin eso, la única forma de saber si se está haciendo el trabajo es que algo falle.

La cláusula que más se olvida y más duele es la de salida: que el código, el dominio, el hosting y todas las credenciales estén a nombre de la empresa, y que exista un procedimiento de traspaso. Un mantenimiento del que no se puede salir no es un servicio, es una dependencia.

• Tareas concretas con su frecuencia, no adjetivos
• Tiempos de respuesta por nivel de gravedad
• Informe periódico de lo que se ha hecho
• Horas de cambios incluidas y precio por hora adicional
• Cláusula de salida: código, dominio y accesos a tu nombre

En el mercado español, mantener una web corporativa se mueve entre 50 y 150 EUR al mes; una tienda online, entre 150 y 400; y una aplicación web con usuarios y datos sensibles, a partir de 300 y subiendo según la cobertura. Lo que mueve el precio no es el tamaño de la web sino el nivel de servicio: horario cubierto, tiempo de respuesta y si hay guardia.

Comparar solo la cuota lleva a error. Un mantenimiento barato que no verifica las copias ni aplica parches fuera de calendario no es más barato: es un seguro que no cubre el siniestro para el que se contrató.

• Web corporativa: 50-150 EUR al mes
• Tienda online: 150-400 EUR al mes
• Aplicación con usuarios y datos sensibles: desde 300 EUR
• El precio lo mueve la cobertura, no el tamaño de la web
• Compara qué incluye cada oferta antes que la cuota