Tengo WordPress: qué es PHP y qué preguntarle al webmaster para saber si mi web está protegida
Tener una página funcionando y WordPress actualizado no alcanza para conocer el estado del servidor. Una guía sin tecnicismos para comerciantes, profesionales e instituciones que necesitan saber qué revisar y quién debe hacerlo.
Por Colegiales Noticias
Un comercio de Colegiales contrata una página para vender sus productos. Un profesional publica sus servicios. Una institución difunde sus actividades. Todos pagan el alojamiento y aprenden a utilizar WordPress, pero dejan la parte técnica en manos de otra persona. Hasta que aparece una noticia sobre una vulnerabilidad de PHP y surge una pregunta bastante razonable: ¿eso también afecta a mi sitio?
No hace falta aprender programación para ocuparse del problema. Quien tiene una página con WordPress necesita conocer qué versión de PHP utiliza, si recibe correcciones de seguridad y quién se encarga de mantenerla. También debe saber si las actualizaciones son compatibles con su web y si existe una copia de seguridad que permita recuperarla ante una falla.
Qué es PHP, explicado sin vueltas
PHP es un lenguaje de programación que se ejecuta en el servidor donde está alojada la página. WordPress lo utiliza para realizar buena parte de su trabajo: procesar solicitudes, consultar información y generar las páginas que recibe el visitante en su navegador.
Para entenderlo, podemos pensar en un restaurante. WordPress organiza el funcionamiento del negocio; el tema define parte de su presentación; los plugins agregan servicios; y PHP interviene en la cocina donde se procesan las órdenes. El hosting proporciona el lugar y la infraestructura donde funciona todo.
PHP no es un plugin que se instala desde WordPress ni una aplicación que el visitante deba descargar. Su mantenimiento depende del alojamiento contratado y de quién administra el servidor. Por eso, actualizarlo puede requerir la intervención del proveedor, del webmaster o de ambos.
WordPress y PHP: dos versiones que no deben confundirse
Una página puede tener una versión de WordPress y otra completamente diferente de PHP. Además, cada tema y cada plugin llevan su propia numeración. Es normal: se trata de componentes distintos que trabajan juntos.
Esos números no tienen que coincidir. Tampoco tiene sentido comparar una versión “8” de PHP con una versión “7” de WordPress para decidir cuál es más moderna o segura. La numeración corresponde a cada producto y a su propio desarrollo.
Lo importante es que todos los componentes reciban mantenimiento, tengan instaladas las correcciones disponibles y sean compatibles entre sí. Actualizar WordPress no significa que PHP también se haya actualizado. Del mismo modo, cambiar PHP no actualiza automáticamente los plugins o el tema.
Qué versión de PHP debería tener una página con WordPress
La respuesta más útil es utilizar una versión estable, con soporte de seguridad, actualizada y compatible con la instalación concreta. No alcanza con pedir “PHP 8” porque dentro de esa familia existen ramas y actualizaciones diferentes.
La documentación oficial de WordPress consultada para esta nota recomienda PHP 8.3 o superior. Sin embargo, cumplir esa recomendación general no reemplaza la comprobación de las correcciones más recientes ni la compatibilidad de los complementos utilizados.
La pregunta para el webmaster debe ser concreta: “¿Qué versión completa de PHP utiliza mi página y cuál recomendás después de comprobar el tema, los plugins y cualquier desarrollo propio?” La respuesta debería incluir una justificación comprensible y un plan si hace falta cambiarla.
Qué significa que una versión tenga soporte
El soporte es el período durante el cual el proyecto mantiene una versión y publica correcciones. En PHP existe una etapa de soporte activo, otra dedicada a seguridad y un momento de fin de vida, cuando termina el mantenimiento oficial.
Una versión puede seguir funcionando después de esa fecha. El problema es que continuar encendiendo no equivale a continuar protegida. El software antiguo puede conservar fallas que ya no reciben una solución oficial para esa rama.
Algunos proveedores ofrecen mantenimiento extendido para versiones antiguas. Si ese es el caso, hay que preguntar quién proporciona los parches, qué cubren y hasta cuándo. La expresión “tenemos protección” necesita una explicación concreta, especialmente cuando la web depende de componentes que ya no reciben mantenimiento ordinario.
Por qué las alertas de PHP requieren consultar al alojamiento
Una vulnerabilidad en PHP puede afectar al entorno que ejecuta la página, aunque WordPress esté actualizado. Por eso, instalar la última actualización del administrador no necesariamente corrige una falla del servidor.
Ante una alerta, conviene pedir al hosting que confirme si está afectado el servicio contratado y si aplicó el parche correspondiente. Algunas empresas utilizan paquetes propios o de distribuidores que incorporan correcciones sin cambiar la numeración de la manera que espera el usuario.
Un número visible ayuda a orientarse, pero no siempre cuenta toda la historia. La confirmación técnica debe referirse al paquete instalado y al entorno que realmente atiende las visitas de esa web.
Cómo averiguar qué PHP utiliza tu WordPress
Podés consultar el dato desde el escritorio, sin modificar la página:
- Ingresá al administrador de WordPress.
- Abrí Herramientas.
- Seleccioná Salud del sitio.
- Entrá en Información.
- Desplegá el apartado Servidor.
- Buscá la versión de PHP y anotala completa.
Si no encontrás ese apartado, puede faltar permiso en tu usuario o intervenir una configuración del sitio. Pedile la información a quien administra la página.
Consultar estos datos no cambia PHP. No hace falta instalar un supuesto detector, pegar código ni tocar archivos. Si tenés varios dominios, solicitá una revisión de cada uno: una misma cuenta de alojamiento puede utilizar configuraciones diferentes.
Quién debe actualizar PHP: el hosting o el webmaster
La responsabilidad depende del servicio contratado. En un alojamiento compartido o gestionado, el proveedor suele administrar los paquetes del servidor. El webmaster puede encargarse de comprobar la compatibilidad, seleccionar una versión disponible y verificar el funcionamiento posterior.
En un VPS o un servidor dedicado sin administración, el cliente o su técnico puede tener que realizar las actualizaciones. Pagar un servidor no implica necesariamente contratar su mantenimiento. Lo mismo sucede con el diseño: haber pagado la construcción de una web no significa que incluya actualizaciones indefinidas.
La tarea debe quedar asignada. Si el hosting responde “consultalo con tu webmaster” y el webmaster dice “eso lo hace el hosting”, hace falta definir quién ejecuta el cambio, quién lo comprueba y quién informa el resultado.
Las preguntas que conviene hacerle al webmaster
Un propietario no necesita pedir una clase de programación. Necesita respuestas claras sobre el funcionamiento y la continuidad de su actividad:
- ¿Qué versión completa de PHP utiliza cada una de mis páginas?
- ¿Esa versión sigue recibiendo correcciones de seguridad?
- ¿Están aplicados los parches de las alertas relevantes?
- ¿Quién actualiza PHP y quién verifica que el cambio quede activo?
- ¿El tema, los plugins y el código propio son compatibles con la versión recomendada?
- ¿Tenemos una copia de seguridad completa y sabemos restaurarla?
- ¿Qué funciones se van a probar después de actualizar?
- ¿Qué mantenimiento está incluido y qué trabajo tiene un costo adicional?
Una respuesta útil debe describir la situación actual y, si queda algo pendiente, indicar qué se hará y cuándo. “Está todo bien” puede tranquilizar, pero no permite conocer qué se revisó.
Qué pedir antes de cambiar PHP
Una copia de seguridad completa
Preguntá si el respaldo incluye los archivos y la base de datos. Ambos son necesarios para recuperar una instalación de WordPress: no alcanza con guardar las fotografías o exportar algunas publicaciones.
También conviene conocer la fecha de la copia, dónde se almacena y quién puede restaurarla. Tener un archivo llamado “backup” no demuestra que esté completo ni que la recuperación funcione correctamente.
En una tienda, un sistema de reservas o una web que se actualiza constantemente, hay que contemplar los cambios posteriores al respaldo. Restaurar una copia antigua puede eliminar pedidos, registros o publicaciones recientes.
Una prueba de compatibilidad
Cuando sea posible, el cambio debe comprobarse primero en una copia de pruebas. Eso permite revisar funciones sin utilizar la página pública como laboratorio.
Si algo falla, corresponde identificar el componente responsable. Puede tratarse de un plugin abandonado, un tema antiguo o un desarrollo a medida. “No se puede actualizar” debe venir acompañado de una causa y un plan, en lugar de convertirse en una situación permanente.
Mantener una versión antigua puede ser una salida temporal, pero requiere explicar los riesgos, las protecciones disponibles y el plazo previsto para resolver la incompatibilidad.
Un procedimiento si aparece un problema
El webmaster debería informar cuándo realizará la intervención, qué interrupción podría producirse y cómo actuará si una función deja de responder.
Volver temporalmente a la configuración anterior puede recuperar el funcionamiento, pero no elimina una vulnerabilidad que siga pendiente. La recuperación del servicio y la corrección de seguridad deben resolverse de manera coordinada.
Qué comprobar después de actualizar
Abrir la portada es solamente el comienzo. Una página puede mostrar correctamente su presentación y tener problemas en un formulario, una reserva o el proceso de compra.
La revisión debe incluir las funciones que realmente utiliza el negocio o la institución:
- Acceso al escritorio y publicación de contenido.
- Carga y visualización de imágenes.
- Formularios y recepción de sus mensajes.
- Buscador, menús y páginas importantes.
- Registro e ingreso de usuarios, cuando existan.
- Carrito, pagos y confirmaciones de una tienda.
- Reservas, suscripciones y conexiones con servicios externos.
También corresponde revisar los registros de errores. Algunas fallas quedan anotadas en el servidor aunque el visitante no vea ninguna advertencia.
El candado HTTPS no confirma que todo esté actualizado
El candado del navegador indica que la conexión utiliza HTTPS. No certifica que PHP, WordPress, los plugins o el servidor estén completamente actualizados.
Un firewall, las contraseñas resistentes, las copias de seguridad y las actualizaciones cumplen funciones diferentes. Se complementan, pero ninguna reemplaza automáticamente a las demás.
Que una página abra normalmente tampoco demuestra que esté libre de vulnerabilidades. El funcionamiento visible es una parte de la revisión; el mantenimiento exige comprobar también lo que ocurre detrás.
Qué no conviene hacer sin conocimientos técnicos
No pegues instrucciones encontradas al azar en los archivos del servidor. No desactives protecciones para hacer desaparecer una advertencia ni entregues credenciales a una persona que te contacte prometiendo una reparación urgente.
Para consultar la versión de PHP tampoco hace falta publicar contraseñas, datos de acceso o informes completos con información interna. Compartí lo necesario con el técnico por el canal acordado.
Si el panel ofrece un selector de versiones, recordá que poder cambiar PHP con un clic no significa que la web esté preparada para ese cambio. La facilidad del botón no reemplaza las pruebas ni la copia de seguridad.
Señales de que falta ordenar el mantenimiento
Hay respuestas que merecen una segunda consulta: “si funciona, no se toca”, “el candado garantiza todo” o “nunca tuvimos problemas”. Ninguna explica si el software recibe correcciones o cómo se recuperaría la página ante una falla.
También conviene revisar la situación cuando nadie sabe dónde están los respaldos, el propietario no tiene acceso a sus cuentas o un complemento imprescindible lleva años sin mantenimiento.
Esto no significa que exista una intrusión. Significa que faltan información y procedimientos para administrar un recurso que puede ser importante para el trabajo cotidiano.
Preguntas frecuentes para quienes tienen WordPress
¿Actualizar PHP borra las noticias o los productos?
No es una operación destinada a borrar contenido. Sin embargo, una incompatibilidad puede impedir que la página funcione correctamente. Por eso se necesitan respaldo y verificación.
¿Actualizar WordPress también actualiza PHP?
No necesariamente. Son componentes diferentes y sus actualizaciones dependen de mecanismos y responsables distintos.
¿Una versión vulnerable significa que ya entraron a mi página?
No. Una vulnerabilidad indica una posibilidad de ataque. Confirmar una intrusión requiere investigar evidencias.
¿Tengo que cambiar de hosting?
No necesariamente. Primero pedí una respuesta específica sobre tu cuenta, las correcciones y el mantenimiento. El nombre del proveedor, por sí solo, no determina el estado de tu instalación.
¿Actualizar PHP hace que la página sea más rápida?
Puede aportar mejoras de rendimiento, pero el resultado depende del sitio y del servidor. No garantiza resolver problemas causados por imágenes pesadas, consultas deficientes o complementos.
¿Cada cuánto hay que revisar estas cuestiones?
Deben formar parte del mantenimiento periódico y revisarse especialmente ante alertas relevantes, cambios de versión o avisos de fin de soporte. Lo importante es que exista un responsable que supervise y actúe.
Tener una página también implica saber quién la cuida
Muchos propietarios conocen el vencimiento del dominio y el precio del alojamiento, pero no saben quién mantiene el software que sostiene su actividad. Esa información debería formar parte de cualquier acuerdo de mantenimiento, desde una pequeña tienda de Colegiales hasta una institución con miles de usuarios.
No hace falta convertirse en programador. Hace falta saber qué versión utiliza la web, quién la mantiene, qué correcciones recibió y cómo se recuperaría ante una falla. Son preguntas sencillas y legítimas para cualquiera que haya invertido tiempo, dinero y trabajo en construir su presencia en internet.