Diseño web en WordPress, sin plantillas

Elementor y similares generan hasta diez veces más código del necesario para cada sección. Ese peso se paga en velocidad de carga, y la velocidad se paga en posiciones de Google y en conversiones perdidas.

Peor aún: el constructor te ata. Si algún día lo desinstalas, el diseño desaparece con él. Un tema a medida no tiene esa hipoteca: es tuyo, es liviano y cualquier desarrollador competente puede mantenerlo.

El panel que recibe tu equipo queda limpio: los campos exactos de tu contenido, sin cien opciones que nadie pidió.

WordPress mueve una porción enorme de la web y eso no lo convierte en la respuesta correcta para todo.

No conviene cuando el sitio es pequeño y no va a cambiar: una landing o un sitio de cinco páginas estáticas funciona más rápido y sin mantenimiento si se construye con tecnología estática. Poner WordPress ahí es asumir actualizaciones mensuales de por vida a cambio de nada.

Tampoco cuando nadie va a mantenerlo. WordPress necesita cuidado continuo, y un WordPress abandonado no se queda quieto: se vuelve un problema de seguridad. Si no hay presupuesto ni intención de mantenimiento, es mejor otra tecnología.

Y no conviene cuando el proyecto es realmente una aplicación —lógica compleja, cálculos, roles de usuario, integraciones profundas—. Forzar eso dentro de WordPress con plugins produce algo frágil que cuesta más mantener que un desarrollo a medida.

Un plugin resuelve un problema hoy y crea una obligación permanente: actualizarlo, verificar que no rompa nada al actualizarse, y confiar en que su autor siga manteniéndolo dentro de tres años.

El problema no es tener plugins, es tener treinta. Cada uno multiplica las combinaciones posibles de fallo, y llega un punto donde nadie se atreve a actualizar por miedo a romper el sitio. Ese es exactamente el estado en el que un sitio termina hackeado.

También pesa en velocidad: muchos plugins cargan sus propios archivos en todas las páginas, incluso donde no se usan. Un sitio con demasiados plugins es lento por acumulación, no por una causa concreta que se pueda arreglar.

La regla que aplicamos es preguntar si vale su costo anual de mantenimiento, no si resuelve el problema. Muchos se sustituyen por unas líneas de código que no hay que actualizar nunca.

Casi ninguna intrusión en WordPress es un ataque dirigido. Son sistemas automáticos que recorren internet probando lo mismo en millones de sitios, y entran por unas pocas puertas conocidas.

La primera es un plugin o tema desactualizado con una vulnerabilidad ya publicada. La segunda son contraseñas débiles en la administración, probadas por fuerza bruta. La tercera son temas o plugins descargados de sitios que regalan versiones de pago, que muchas veces vienen con código malicioso incluido: es la forma más eficiente de infectarse a propósito.

Las defensas son proporcionalmente simples: actualizar, contraseñas fuertes con doble factor, limitar los intentos de acceso, no instalar nada de origen dudoso y tener respaldo fuera del servidor.

Nada de eso es sofisticado y por eso funciona: los sistemas automáticos buscan lo fácil, y un sitio que cumple lo básico deja de ser lo fácil.

Además del tráfico y los contactos, un WordPress tiene métricas de salud que conviene vigilar porque avisan antes del problema.

La velocidad en celular es la primera, y hay que medirla cada cierto tiempo, no solo al lanzar. Los sitios de WordPress se degradan: se suman plugins, se cargan imágenes sin optimizar, y un sitio que arrancó rápido puede estar lento un año después sin que nadie lo notara.

La segunda es el número de plugins activos y cuántos están desactualizados. Es el mejor indicador anticipado de riesgo que existe en esta plataforma.

Y los intentos de acceso fallidos. Un pico repentino indica que alguien está probando entrar, y detectarlo a tiempo permite cerrar la puerta antes de que la encuentren abierta.