Un hosting WooCommerce puede cargar rápido la portada y fallar justo al cobrar si agota procesos PHP, bloquea sesiones o retrasa los webhooks de la pasarela. En horas punta, varios pedidos simultáneos compiten por PHP, MySQL y recursos del servidor; si se forman colas, el cliente puede recibir un error, perder el carrito o abandonar el pago.
Un hosting para tiendas con checkout seguro no se limita a incluir SSL: debe mantener TLS actualizado, aislar cuentas, filtrar ataques con WAF, proteger webhooks y sostener procesos PHP y base de datos cuando suben los pedidos. Comprueba compatibilidad con 3D Secure, copias restaurables, monitorización y límites reales de procesos PHP: un cobro fallido puede convertirse en una venta perdida.
Índice
Anuncio
¿Tu hosting aguanta cobros en horas punta?
Un servidor apto para WooCommerce conserva sesiones, consultas de MySQL, procesos PHP y avisos de la pasarela cuando coinciden varios pagos.
Señales de riesgo antes de una campaña
Los fallos intermitentes al pagar son una señal prioritaria, aunque solo aparezcan algunos días. También conviene investigar pedidos duplicados, carritos que se vacían, correos de pedido que llegan tarde y errores 502 o 504, que indican que el servidor no pudo completar una petición a tiempo.
Datos que debes pedir al proveedor
Pide límites concretos de procesos PHP simultáneos, memoria, CPU, entrada y salida de disco, conexiones a base de datos y uso de cron. Un proveedor serio debe explicar qué sucede al alcanzar cada límite, no responder solo que el plan es “ilimitado”.
Antes de una campaña, no basta con comprobar que la portada carga rápido: conviene reproducir varias compras simultáneas en un entorno de staging o durante una franja controlada. Mide el tiempo de respuesta de añadir al carrito, recalcular el envío y confirmar el pago, además del consumo de procesos PHP simultáneos, CPU y consultas lentas de la base de datos MySQL.
Si el tiempo del checkout aumenta cuando entran varios usuarios, la conversión puede caer incluso sin errores visibles. La monitorización del servidor debe alertar de colas, saturación y respuestas lentas antes de que aparezcan errores 502 o 504.
Una portada rápida no garantiza el pago
El checkout necesita operaciones dinámicas que una portada en caché no realiza: validar sesión, stock, cupón, impuestos, envío, usuario, pasarela y pedido.
Procesos que se activan al crear un pedido
Al pulsar “Pagar”, WooCommerce consulta productos, variaciones, disponibilidad, zona de envío, impuestos y metadatos. Después guarda el pedido, contacta con Stripe, PayPal o Redsys y espera la respuesta. Si una extensión añade consultas lentas, cada compra retiene un trabajador PHP durante más tiempo.
Caché que no debe tocar el carrito
Las rutas /cart/, /checkout/ y /my-account/ deben quedar fuera de la caché de página completa. Esta caché guarda una versión ya construida de una página; si la entrega a otro comprador, puede mezclar carritos, importes o datos de sesión.
Anuncio
SSL no basta para proteger un checkout
Un checkout seguro combina certificado SSL/TLS, WAF, protección DDoS, aislamiento entre cuentas, escaneo de malware y monitorización.
PCI DSS y datos de tarjeta
El estándar PCI DSS fija medidas para proteger datos de tarjetas. Si Stripe, PayPal o Redsys muestran su formulario alojado o tokenizan la tarjeta, la tienda reduce mucho el alcance de los datos sensibles que trata, porque recibe un identificador de pago y no el número completo de la tarjeta.
Seguridad que no bloquea ventas válidas
Una regla de WAF demasiado agresiva puede interpretar una redirección bancaria como un ataque. Esto funciona bien en teoría, pero en la práctica hay que permitir las URL de retorno, las IP o firmas verificadas de la pasarela y los endpoints de webhook según su documentación.
Una llave de seguridad USB puede añadir una segunda barrera al acceso de administradores WordPress y paneles de hosting. Es útil si gestionas pagos o pedidos desde varios equipos.
- Reduce el riesgo de acceso por contraseñas robadas en cuentas administrativas
- Permite proteger el acceso al correo donde llegan avisos de pagos y pedidos
- Evita depender solo de códigos SMS durante una incidencia de acceso
Elige servidor según pedidos y recuperación
El tipo de alojamiento debe responder al pico de pedidos, las extensiones activas, el tráfico y el tiempo máximo que puedes estar sin cobrar.
| Tipo | Volumen orientativo | Coste habitual en España | Condición para elegirlo |
|---|---|---|---|
| Compartido | Hasta 20 pedidos diarios | 15 a 45 €/mes | Límites PHP visibles y copias restaurables |
| Gestionado WordPress | 10 a 100 pedidos diarios | 30 a 120 €/mes | Necesitas staging, WAF y soporte WooCommerce |
| VPS gestionado | 50 a 300 pedidos diarios | 70 a 250 €/mes | Requieres recursos reservados y configuración a medida |
| Cloud o alta disponibilidad | Picos variables o campañas críticas | Desde 200 €/mes | Una caída breve tiene coste elevado |
Cuándo elegir hosting gestionado
Un hosting gestionado para WordPress tiene sentido cuando el proveedor cubre tareas concretas: actualizaciones controladas, staging, WAF, monitorización, copias y soporte que entiende WooCommerce. No basta con que el nombre comercial incluya “WordPress”.
Qué preguntar antes de contratar
Pregunta cuántos procesos PHP hay disponibles, cómo se amplían y qué alertas recibes antes de tocar el límite. Pregunta también si el soporte revisa registros de error, si el staging replica reglas de caché y si la restauración incluye archivos, base de datos y configuración.
Webhooks y 3D Secure deben responder a tiempo
Stripe, PayPal y Redsys necesitan URL públicas, rápidas y sin caché para completar una redirección, recibir webhooks y actualizar el pedido.
Pruebas que validan la pasarela
Haz una compra de prueba como invitado y otra como cliente registrado. Prueba un pago aprobado, otro rechazado y uno cancelado durante 3D Secure. Comprueba después el estado en WooCommerce y en el panel de la pasarela.
Verifica que cada webhook obtiene una respuesta HTTP correcta y se procesa una sola vez. Si hay reintentos, revisa registros del servidor, plugin de seguridad y cola de tareas. Los pedidos duplicados suelen nacer de una confirmación recibida más de una vez sin control adecuado.
Límites que bloquean avisos externos
El firewall no debe bloquear tráfico legítimo de Stripe, PayPal o Redsys. Tampoco debe exigir una cookie de navegador para aceptar un webhook, porque ese aviso viene de otro servidor, no del cliente que compra.
Anuncio
Migra con prueba completa y vuelta atrás
Una migración está terminada cuando una compra de prueba valida producto, stock, cupón, impuestos, pago, webhook, email y estado final del pedido.
Checklist antes y después del cambio
- Compra como invitado y como cliente registrado con productos distintos.
- Aplica un cupón, cambia cantidades y revisa envío, IVA y total final.
- Prueba 3D Secure 2, PayPal y Redsys cuando estén activos.
- Comprueba reducción de stock, factura, email transaccional y pedido en la pasarela.
- Simula un pago fallido, una cancelación y un reintento para detectar duplicados.
- Revisa los registros de webhooks y errores PHP durante las primeras 24 horas.
Copias que permiten recuperar ventas
Una copia debe estar separada del servidor principal, retener varias versiones y poder restaurarse. Prueba una restauración en staging antes de necesitarla. Si el proveedor tarda entre 4 y 24 horas en restaurar, ese plazo debe encajar con el coste de estar sin checkout.
Para una campaña, deja una copia previa, congela cambios no urgentes y define quién contacta con soporte. INCIBE recomienda mantener sistemas actualizados y hacer copias de seguridad como parte de la protección frente a incidentes. La monitorización de disponibilidad debe avisar de fallo de checkout, no solo de que la portada responde.
El plan de contingencia debe indicar cuánto tiempo puede permanecer la tienda sin cobrar y cuánta información de pedidos estás dispuesto a perder. Define un RTO, o tiempo objetivo de recuperación, y un RPO, o antigüedad máxima aceptable de la copia restaurada. Revisa también el SLA del proveedor: cobertura horaria, canal de incidencias, tiempo inicial de respuesta y responsabilidad sobre servidor, red y restauraciones.
Durante una caída, una persona debe validar el estado de la pasarela de pago, otra abrir el ticket con los registros necesarios y otra decidir si se aplica rollback desde staging, se activa mantenimiento o se pausa una campaña para evitar cobros incompletos.
Preguntas comunes
¿Basta un SSL gratuito para una tienda online?
No, un SSL gratuito solo cifra la conexión entre el navegador y el servidor. También necesitas WAF, actualizaciones, copias restaurables, recursos PHP suficientes y pruebas de la pasarela.
¿Qué hosting necesita una tienda WooCommerce?
Una tienda pequeña puede usar hosting compartido si ofrece límites PHP claros, aislamiento, copias diarias y soporte WooCommerce. Si supera entre 10 y 30 pagos simultáneos, debe revisarse la carga real.
¿Debo cachear la página de checkout?
No, carrito, checkout y cuenta de cliente deben excluirse de la caché de página completa. Cada visitante necesita una sesión, precios, impuestos y cupones propios.
¿Cómo sé si Redsys o Stripe envían bien los webhooks?
Lo confirmas con una compra de prueba y revisando el registro de eventos de la pasarela. El webhook debe devolver una respuesta HTTP correcta y actualizar un único pedido en WooCommerce.
El plan concreto para no perder cobros
Empieza por pedir al proveedor los límites reales de PHP, memoria, base de datos, copias y soporte. Después ejecuta una compra de prueba completa, incluyendo 3D Secure, webhook, email y reducción de stock. Si el checkout falla bajo una campaña simulada, no resuelvas el problema instalando otro plugin de caché.
- HTTPS cifra el pago, pero no evita saturación, malware ni bloqueos de webhooks.
- Carrito y checkout requieren procesos PHP y base de datos disponibles, sin caché de página completa.
- La prueba válida revisa pago, 3D Secure, stock, email, cupón, impuestos y aviso de la pasarela.
- Una copia útil es la que puedes restaurar en staging antes de que ocurra una caída.
Anuncio
Para saber más
Si deseas profundizar, aquí tienes algunos recursos de interés:
- Hosting WooCommerce rápido y seguro — laprimera.net
- Hosting WooCommerce barato y seguro ▷ Con backup — loading.es
- Cómo crear una tienda online en WordPress — nominalia.com
- En hosting WooCommerce, mandan los PHP workers, no NVMe
- Actualizar WordPress no basta en un hosting compartido
Josu Barrios
Somos especialistas en mantenimiento WordPress para empresas, profesionales y tiendas online. Contamos con experiencia en seguridad web, optimización de rendimiento, actualizaciones, copias de seguridad y resolución de incidencias técnicas, ayudando a que cada sitio funcione de forma rápida, estable y protegida. Nuestro enfoque combina soporte técnico profesional, buenas prácticas de seguridad y seguimiento continuo para ofrecer un servicio fiable, transparente y orientado a resultados reales.