Un lunes, una tienda puede mostrar una página en blanco tras una actualización fallida y descubrir que la copia disponible ya contiene archivos dañados y no incluye pedidos, stock o contenidos recientes.
Una copia remota solo sirve si puedes volver atrás
Una copia de seguridad offsite se guarda fuera del hosting, y el versionado conserva varios estados anteriores para recuperar una web limpia aunque el fallo se descubra tarde.
La regla 3-2-1-1-0 ayuda a evaluar la protección: tres copias de los datos, en dos soportes distintos, una fuera de la ubicación principal, una aislada o inmutable, y cero errores tras verificarla.
Sincronizar archivos no crea un historial
Un backup versionado conserva un punto de restauración, una fotografía recuperable de una fecha concreta, mientras que una sincronización puede propagar al destino remoto archivos borrados, cifrados o dañados.
Una copia actual no sustituye a un historial: ante un ataque detectado tarde, la versión útil suele ser la anterior al último backup.
Las copias deben incluir base de datos
Revisa que cada tarea incluya archivos, base de datos, temas, plugins, medios y, en WooCommerce, pedidos y clientes; el nombre de la herramienta no demuestra que la copia sea válida.
Retención: guarda versiones según tus cambios reales
La retención de copias define cuánto tiempo permanece disponible cada versión antes de borrarse, por lo que conviene separar copias diarias, semanales y mensuales.
Un backup incremental guarda solo lo que cambió desde la copia anterior y reduce espacio y tiempo, pero depende de una cadena de copias que el sistema pueda reconstruir correctamente.
Política base para una pyme en España
Mantén versiones diarias para deshacer cambios recientes, semanales para errores detectados más tarde y mensuales para incidentes antiguos o revisiones legales.
| Tipo de versión | Conservación sugerida | Cuándo resulta útil |
|---|
| Diaria | 30 días | Borrados, cambios de diseño y errores recientes |
| Semanal | 12 semanas | Malware detectado varias semanas después |
| Mensual | 12 meses | Recuperación histórica y auditorías |
Añade copias antes de cambios de riesgo
Crea un punto manual antes de actualizar WordPress, PHP, WooCommerce, el tema o un plugin crítico, y etiquétalo con la fecha y el cambio previsto.
El error más frecuente es conservar solo siete copias diarias: funciona si detectas el problema enseguida, pero no si un atacante deja código oculto durante dos o tres semanas antes de usarlo.
Una retención de 30 días no implica que todo deba ser diario. Combinar 30 diarias, 12 semanales y 12 mensuales conserva historial durante un año sin multiplicar el almacenamiento de forma innecesaria.
La automatización no consiste solo en elegir una frecuencia: cada tarea debe ejecutarse fuera de las horas de mayor tráfico, registrar su resultado y avisar cuando falle, tarde demasiado o genere un archivo anormalmente pequeño. Configura alertas por correo o en un canal interno si no se crea el punto de restauración esperado, si falla la subida o si se agota el espacio disponible.
Revisa también de forma periódica que las copias remotas aparecen en el destino offsite y que la retención aplicada coincide con la política definida; una tarea marcada como completada en WordPress no confirma por sí sola que la copia sea recuperable.
Tiendas y reservas: RPO de minutos, no de un día
El RPO indica cuántos datos puede perder el negocio como máximo, y el RTO cuánto tiempo puede permanecer caída la web.
La frecuencia debe seguir la actividad que no puedes rehacer con facilidad: si recibes formularios, reservas o pagos durante el día, programa copias incrementales de la base de datos cada 15, 30 o 60 minutos y una copia completa de archivos cada noche.
Elige frecuencia según tu tipo de web
Una web corporativa sin cambios diarios puede funcionar con una copia diaria, mientras que una tienda, academia o plataforma de reservas debe proteger transacciones durante el día.
| Proyecto | RPO orientativo | RTO orientativo | Frecuencia recomendada |
|---|
| Web corporativa | 24 horas | 8 a 24 horas | Completa diaria |
| Blog activo | 4 a 6 horas | 4 a 8 horas | Incremental cada 4 horas |
| Tienda o reservas | 15 a 60 minutos | 1 a 4 horas | Base de datos frecuente y archivos diarios |
RTO decide cómo restaurarás
Un RTO corto exige acceso a credenciales, una lista de pasos, espacio para restaurar y una persona que sepa validar el resultado.
Para una tienda, restaurar descargando manualmente varios gigabytes puede tardar demasiado; valora restauraciones desde panel, almacenamiento rápido y un entorno de staging listo.
El destino remoto debe estar aislado y cifrado
El destino offsite debe estar separado del hosting, tener control de acceso propio y conservar versiones protegidas.
El cifrado en tránsito protege los datos mientras viajan por internet y el cifrado en reposo los protege una vez guardados; guarda la clave fuera de WordPress.
Compara S3, SFTP y Google drive
| Destino | Coste habitual | Inmutabilidad | Restauración | Riesgo principal |
|---|
| Amazon S3 | Pago por uso | Sí, con Object Lock | Alta si hay buena conexión | Configuración compleja |
| SFTP remoto | Cuota fija habitual | Depende del proveedor | Media | Permisos mal asignados |
| Google Drive | Plan por capacidad | Limitada según plan | Media | Sincronización de borrados |
⭐
Selección para ti
Un disco duro externo puede ser una segunda copia desconectada del equipo para aplicar la parte aislada de la regla 3-2-1-1-0. Guárdalo fuera de la oficina y cifra su contenido antes de copiar datos de clientes.
- Permite conservar una copia desconectada que un ataque al hosting no puede borrar a distancia
- Facilita recuperar varios gigabytes sin depender de una descarga lenta desde la nube
- Sirve como soporte adicional para guardar exportaciones cifradas en fechas concretas
Ver en Amazon →
Bloquea el borrado desde WordPress
Activa MFA en el proveedor de almacenamiento y en el hosting, y crea una cuenta técnica con permisos mínimos para subir copias sin poder borrar retenciones protegidas.
Una copia inmutable no se puede modificar ni eliminar hasta que termina el plazo marcado; es una defensa valiosa ante ransomware, cuentas robadas o permisos excesivos.
Flujo de una copia recuperable
WordPress
archivos y MySQL
→
Cifrado
→
Nube remota
versionada
→
Copia aislada
inmutable
→
Prueba en staging
Dropbox, OneDrive y un servidor FTP pueden servir como destinos adicionales cuando encajan con el presupuesto o los procesos del equipo, pero no deben tratarse como equivalentes a un repositorio de backup con protección contra borrado. Su historial de versiones puede ayudar a recuperar cambios recientes, aunque depende de la configuración, del plan contratado y de los permisos de la cuenta.
FTP sin cifrado no es adecuado para enviar datos sensibles; prioriza SFTP o FTPS. Si se usan Dropbox u OneDrive, aplica MFA, una cuenta dedicada y cifrado previo a la subida, pero mantén además copias inmutables en un destino con retención bloqueada.
Restaura en staging antes de tocar la web pública
Una prueba de restauración permite recuperar una versión en un entorno staging para comprobar que archivos, base de datos y credenciales permiten restaurar el sitio.
No restaures a producción por impulso: identifica la fecha del incidente, selecciona una versión anterior, restaura en staging y revisa qué datos posteriores deberán recuperarse a mano.
Valida lo que el cliente realmente usa
Comprueba el inicio, las páginas clave, formularios, acceso de usuarios, imágenes, enlaces y el panel de administración; en WooCommerce, crea un pedido de prueba y verifica pagos y correos.
Después revisa el tamaño de archivos, los registros de la tarea y los avisos de integridad para confirmar que el backup puede leerse completo.
Documenta tiempos y responsables
Anota dónde está cada copia, quién tiene acceso, cómo se pide una clave de emergencia y cuánto tardó la última restauración.
Este documento forma parte del plan de continuidad de negocio y evita perder tiempo eligiendo versiones, buscando claves o identificando pedidos posteriores a la copia.
Una política avanzada puede ser excesiva para una web estática, sin datos sensibles, sin cambios frecuentes y sin impacto económico si se pierden varios días. Aun así, conserva una copia remota periódica, al menos mensual, porque un fallo del hosting o un borrado accidental puede dejarte sin el único original.
Un backup completo también facilita una migración o clonación controlada de WordPress. Antes de mover el sitio a otro hosting, crea un punto de restauración identificable, restaura archivos y base de datos en el nuevo servidor y actualiza las URLs, la configuración de correo, las claves de caché y las integraciones externas que dependan del dominio anterior.
Haz la primera restauración WordPress en staging y bloquea temporalmente pedidos, reservas o cambios de contenido durante el corte final; así evitas que existan transacciones en el sitio antiguo que no queden incluidas en la copia trasladada.
Preguntas comunes
¿Cómo hago un backup de un sitio WordPress?
Haz una copia de archivos, base de datos MySQL y configuración, y envíala a un destino remoto con retención definida. Para una web corporativa, una copia completa diaria y 30 versiones suele ser un punto de partida razonable.
¿Qué diferencia hay entre backup y sincronización?
Un backup conserva puntos recuperables y puede restaurar una fecha concreta; una sincronización replica el estado actual. Si se borra o cifra un archivo, la sincronización puede propagar ese daño en minutos.
¿Cuántas copias debo guardar en WordPress?
Guarda al menos 30 diarias, 12 semanales y 12 mensuales si la actividad lo justifica. Una tienda con pedidos frecuentes debe añadir copias de base de datos cada 15 a 60 minutos.
¿Cuál es el mejor plugin de copias para WordPress?
El mejor plugin es el que restaura tu web completa en el RTO que necesitas y registra los fallos. UpdraftPlus, WPvivid Backup Pro y BlogVault son opciones conocidas, pero comprueba destinos remotos, cifrado, retención y restauración de prueba antes de elegir.
La protección real se demuestra al restaurar
La estrategia recomendable combina copias automáticas versionadas, un destino remoto separado, una copia aislada y pruebas trimestrales en staging; define primero un RPO y RTO asumibles.
Si manejas datos personales, aplica cifrado, MFA y permisos mínimos, y revisa las obligaciones del RGPD. La Agencia Española de Protección de Datos ofrece criterios de seguridad aplicables al tratamiento de datos.
La copia que cuenta no es la que figura como completada en un plugin, sino la versión que puedes restaurar hoy sin adivinar pasos ni perder más datos de los que tu negocio acepta.
