En 2026 ocurrió algo que golpeó el mundo de los sitios web, y cambió las reglas del juego en cuanto a la seguridad de los mismos.
Durante años, el consejo fue simple y claro: «mantén tus plugins actualizados».
Pero, a partir de una nueva forma de vulnerar estos sitios, quedó en evidencia una amenaza que obedecía a una realidad muy incómoda: la de los plugins deliberadamente comprometidos.
En abril de 2026, más de 25 plugins fueron retirados del repositorio oficial de WordPress en un solo día, tras un ataque de cadena de suministro en el que -los atacantes- secuestraron plugins legítimos, y publicaron actualizaciones maliciosas. Es decir: sitios que hacían todo «bien», y que actualizaban rigurosamente, terminaron comprometidos precisamente por actualizar.
¿Por qué te contamos esto en un artículo sobre respaldos? Porque es la mejor demostración de una verdad que ya hemos mencionado antes: por más que hagas todo bien en la teoría, algo puede fallar, y por esto conviene siempre tener un «plan B» y, a veces, incluso un «plan C».
Cuando algo falla, tu única garantía real de sobrevivir sin perderlo todo es tener un buen respaldo probado. El respaldo no es una red de seguridad opcional: es la red de seguridad base.
En este artículo te explicamos qué es un respaldo de verdad, cómo hacerlo en WordPress por tres vías distintas, y qué pasa con plataformas cerradas como Shopify o Wix. Como siempre: pensado para que no te quede ninguna duda práctica.
1. ¿Qué es un respaldo «de verdad»?
2. Qué se respalda exactamente en WordPress
3. La regla 3-2-1 (tu mejor aliada)
4. Método 1: respaldo desde un plugin
5. Método 2: respaldo desde cPanel
6. Método 3: respaldo por FTP (FileZilla)
7. El paso que casi nadie hace: probar la restauración
8. Plataformas cerradas: Shopify, Wix y similares
9. ¿Cada cuánto respaldar?
1. ¿Qué es un respaldo «de verdad»?
Un respaldo (o backup) es una copia completa de tu sitio que te permite restaurarlo a un estado anterior si algo sale mal: un hackeo, una actualización que rompe todo, un error humano, o una falla del servidor.
Pero acá viene lo importante, y es algo que ya mencionábamos en nuestro artículo de ciberseguridad: no basta con «tener respaldos». Existen demasiados casos de empresas que descubren, justo en el peor momento, que su respaldo estaba corrupto, incompleto, o que nunca se había generado realmente.
Un respaldo «de verdad» cumple cuatro condiciones:
- Es completo: incluye todo lo necesario para reconstruir el sitio (ya veremos más en detalle qué es «todo»).
- Es reciente: un respaldo de hace seis meses te devuelve a un sitio de hace seis meses. La antigüedad importa.
- Está en un lugar seguro y separado: si tu respaldo vive en el mismo servidor que tu sitio, y ese servidor cae o es comprometido, pierdes ambos a la vez.
- Está probado: sabes que funciona porque alguna vez lo utilizaste para hacer una restauración de prueba (puedes ver cómo en el punto 7 de esta guía).
Si tu respaldo no cumple con estas cuatro condiciones, técnicamente tienes «un archivo», pero no tienes una garantía: este archivo puede funcionar, como puede no hacerlo. Y en este sentido, tiene el potencial de entregarte una versión: dañada, incompleta, demasiado antigua, o simplemente nada que puedas utilizar.
2. Qué se respalda exactamente en WordPress
Un sitio WordPress tiene, en esencia, dos componentes, y necesitas ambos para una restauración completa. Entender esto te ahorra el error más común: respaldar solo una de las dos partes necesarias.
- Los archivos: aquí vive el «cuerpo» de tu sitio. Incluye WordPress mismo, tu tema, tus plugins, y -muy importante- la carpeta de uploads, donde están todas tus imágenes y archivos subidos, con la estructura necesaria para que el sitio los reconozca de manera adecuada.
- La base de datos: aquí vive el «cerebro» y la memoria de tu sitio. Contiene tus entradas, páginas, comentarios, usuarios, y toda la configuración. Sin la base de datos, tendrías el esqueleto pero no el contenido.
La regla es simple: un respaldo completo incluye SIEMPRE LOS ARCHIVOS Y LA BASE DE DATOS. Si sólo tienes uno de los dos, no podrás restaurar tu sitio de forma funcional. Ten esto presente al evaluar cualquier método: la pregunta clave siempre es «¿esto respalda las dos cosas?».
3. La regla 3-2-1 (tu mejor aliada)
Es un principio clásico y sencillo de la industria del respaldo, y vale para cualquier tipo de información importante, no sólo para los sitios web:
- 3 copias de tu información (el original + dos respaldos).
- 2 tipos de almacenamiento distintos (por ejemplo, el servidor + un disco externo o un servicio en la nube).
- 1 de estas copias debe estar fuera del sitio (offsite): en una ubicación distinta (disco o nube), para que un solo incidente en el mismo servidor no destruya todo.
¿Por qué tanto? Porque cada copia adicional y cada ubicación distinta reduce drásticamente la probabilidad de perderlo todo al mismo tiempo. Un incendio, un ransomware, o un error de configuración pueden afectar una ubicación, pero es muchísimo más difícil que afecte a todas a la vez.
No necesitas obsesionarte, pero sí interiorizar la idea central: un respaldo que vive únicamente en el mismo lugar que tu sitio no es suficiente.
4. Método 1: respaldo desde un plugin
Esta es la vía más accesible para la mayoría de las personas, y la que recomendamos si administras tu sitio sin conocimientos técnicos avanzados.
Existen plugins de respaldo confiables y con muy buena reputación, que automatizan todo el proceso: respaldan archivos y base de datos, permiten programar copias automáticas, y -lo más importante- pueden enviar tus respaldos directamente a un almacenamiento externo (como un servicio en la nube), cumpliendo así la parte offsite de la regla 3-2-1.
¿Qué plugin elegir? A diferencia de lo que ocurre en otras áreas, WordPress no tiene un plugin de respaldo «oficial» del equipo que desarrolla su núcleo, así que la elección se guía por reputación, cantidad de instalaciones y confiabilidad probada. Dos opciones destacan de forma consistente:
- UpdraftPlus: es el plugin de respaldo más usado y probado del ecosistema, con millones de instalaciones activas. Su gran ventaja es que su versión gratuita ya incluye lo esencial: respaldos programados, copia completa de archivos y base de datos, restauración con un click desde el propio escritorio de WordPress, y envío directo a almacenamiento externo (Google Drive, Dropbox, Amazon S3, entre otros). Esto último es clave, porque muchos competidores esconden el almacenamiento en la nube detrás de un plan de pago.
Es nuestra recomendación principal para la mayoría de los sitios. - Jetpack VaultPress Backup: desarrollado por Automattic (la empresa detrás de WordPress.com); es la mejor opción para tiendas online. Hace respaldos en tiempo real y continuos (guarda cada cambio, no solo en horarios programados), funciona enteramente en la nube sin cargar tu servidor, y sus restauraciones están pensadas para no perder los pedidos recientes de WooCommerce durante una reversión. Para un e-commerce con ventas diarias, esa protección continua vale mucho. Este sí: es un servicio de pago.
Cómo funciona, en general:
- Desde el escritorio de WordPress, ve a Plugins > Añadir nuevo y busca el plugin de respaldo elegido.
- Instálalo y actívalo.
- En su configuración, define qué respaldar (asegúrate de que incluya archivos y base de datos), cada cuánto, y a dónde enviar las copias (idealmente un destino externo).
- Programa respaldos automáticos y verifica que la primera copia se genere correctamente.
Ventajas: fácil, automatizable, no requiere conocimientos técnicos, y resuelve el almacenamiento externo.
Una advertencia de seguridad importante: un plugin de respaldo tiene acceso a todo tu sitio (archivos y base de datos completos), lo que lo convierte en una herramienta poderosa pero también en un objetivo valioso para atacantes si aparece una vulnerabilidad.
Elige siempre plugins activos y bien mantenidos (un plugin de respaldo abandonado es una contradicción peligrosa), y mantenlo siempre actualizado. Es la misma coherencia de todo lo que enseñamos: la herramienta que te protege también debe estar protegida.
Si tienes dudas sobre cuál elegir o cómo mantenerlo seguro, podemos orientarte. También los respaldos son parte de nuestro servicio de mantención mensual, por si prefieres dejarlo en manos expertas.
5. Método 2: respaldo desde cPanel
Si tu hosting usa cPanel (el panel de control de tu espacio en el servidor), tienes una herramienta de respaldo integrada, sin necesidad de instalar nada en WordPress. Es una excelente opción para generar una copia completa «desde afuera» de tu sitio.
¿Cómo funciona?
En general:
- Inicia sesión en tu cPanel (normalmente en tudominio.cl/cpanel; si no lo encuentras ahí, deberás consultarlo con tu proveedor de hosting).
- Busca la sección de «Archivos» y dentro de ella la herramienta de «Copias de seguridad» (Backup) o «Asistente de copias de seguridad» (Backup Wizard). Si tienes otro tipo de panel de control distinto a cPanel, puedes buscar la sección «Backup» o «Backup & Restore», según sea el caso.
- Puedes generar una copia de seguridad completa (que incluye archivos y base de datos), o descargar por separado una copia de tu directorio principal (home) y de tu base de datos MySQL.
- Descarga el archivo generado a tu computador y guárdalo en un lugar seguro (¡cumpliendo con la regla 3-2-1!).
Ventajas: genera una copia completa e independiente de WordPress, útil especialmente antes de hacer cambios grandes en el sitio.
A tener en cuenta: a diferencia de un plugin, el respaldo desde cPanel suele ser un proceso más manual. La «copia completa» que genera cPanel muchas veces está pensada para restaurarse en el mismo servidor y no se puede descargar tan directamente; para tener la copia en tus manos, las opciones de «directorio principal» y «base de datos» por separado suelen ser más prácticas. Si esto te suena técnico, es porque lo es un poco: y este es justamente el tipo de tarea que gestionamos dentro de nuestro servicio de mantención.
6. Método 3: respaldo por FTP (FileZilla)
Este es el método más «manual» y el que te da control total sobre los archivos de tu sitio. Un cliente FTP como FileZilla (gratuito, excelente, y muy popular) te permite conectarte directamente al servidor y descargar todos los archivos de tu sitio a tu computador.
Es importante entender una cosa: el FTP descarga los archivos, pero NO la base de datos. Recuerda que necesitas ambos. Por eso, el método FTP casi siempre se combina con una descarga separada de la base de datos (normalmente desde la herramienta phpMyAdmin en tu cPanel).
¿Cómo funciona?
En general:
- Descarga e instala FileZilla (u otro cliente FTP de tu confianza) en tu computador.
- Consigue tus credenciales FTP: normalmente las obtienes o generas desde tu cPanel, en la sección de «Cuentas FTP». Si no encuentras cómo hacerlo, puedes consultar con tu proveedor de servicio de hosting. Necesitarás cuatro datos: el servidor (host), un usuario, una contraseña y un puerto.
- Conéctate con esas credenciales. Verás los archivos de tu servidor a un lado y los de tu computador al otro.
- Ubica la carpeta de tu sitio (frecuentemente public_html) y descárgala completa a tu computador.
- Por separado, entra a phpMyAdmin desde tu cPanel, selecciona la base de datos de tu sitio, y usa la opción «Exportar» para descargarla.
Ventajas: control total, ideal para quien quiere entender exactamente qué está copiando, y muy útil como respaldo puntual antes de intervenciones delicadas.
A tener en cuenta: es el método que más pasos requiere y donde es más fácil olvidar la base de datos. No es el más cómodo para respaldos frecuentes, pero es una excelente herramienta para conocer y mantener tus respaldos con control total.
7. El paso que casi nadie hace: probar la restauración
Este el punto que separa un respaldo real de una ilusión de seguridad.
Un respaldo que nunca has restaurado es, técnicamente, un respaldo que no sabes si funciona. Y descubrir que no funciona durante una emergencia es una de las peores experiencias que puede vivir un negocio digital.
Por eso, cada cierto tiempo, vale la pena probar la restauración:
- Idealmente, restaura tu respaldo en un entorno de pruebas (un «staging» o un sitio de prueba), no directamente sobre tu sitio en producción.
- Verifica que el sitio restaurado funcione: que se vean las imágenes, que el contenido esté completo, que las funciones clave operen.
- Confirma que tanto los archivos como la base de datos se restauraron correctamente.
¿Y cómo hago esa prueba sin arriesgar mi sitio real?
Aquí es donde entra el concepto de staging (o «entorno de pruebas»). Un staging es, básicamente, una copia idéntica de tu sitio que vive en un espacio separado y privado, donde puedes experimentar, probar y romper cosas sin que tus visitantes se enteren ni sufran las consecuencias. Es como tener un «sitio gemelo» para ensayar.
Tienes varias formas de crear uno, de más fácil a más técnica:
- Desde tu hosting: muchos proveedores con cPanel ofrecen una función de «staging» con un solo clic (a veces llamada «WordPress Staging» o similar), que crea automáticamente esa copia de pruebas por ti. Es la vía más cómoda si tu plan lo incluye; vale la pena preguntar a tu proveedor si lo tiene.
- Con un plugin: existen plugins dedicados a crear entornos de staging, e incluso varios plugins de respaldo permiten restaurar una copia en un subdominio o carpeta separada, lo que cumple la misma función.
- De forma manual: creando un subdominio (por ejemplo, pruebas.tudominio.cl) y restaurando ahí tu respaldo. Es la opción con más control, pero también la que más pasos requiere.
Una vez que tienes el staging listo, el proceso de prueba es simple: restauras tu respaldo en ese entorno, revisas que todo funcione (que se vean las imágenes, que el contenido esté completo, que las funciones clave operen), y confirmas así que tu respaldo sí sirve.
Si algo falla, lo descubriste en un lugar seguro y no en plena emergencia. Cuando terminas, simplemente puedes eliminar ese entorno de pruebas o dejarlo para futuros ensayos.
Un detalle importante: asegúrate de que tu staging no sea accesible al público ni indexable por buscadores (el buscador [como Bing, Google, Duckduckgo, Startpage, etc] no debería mostrar tu sitio de pruebas en los resultados). La mayoría de las herramientas de staging ya se encargan de esto automáticamente, pero es bueno verificarlo para evitar contenido duplicado o confusiones.
Si tienes dudas, podemos ayudarte.
No necesitas hacer estas pruebas todas las semanas, pero sí de forma periódica y, sobre todo, antes de confiarle a ese sistema de respaldo la seguridad de tu negocio. Como decíamos en el artículo de ciberseguridad: la pregunta no es «¿me atacarán?», sino «¿qué podré hacer si mañana destruyen mi sitio?». Un respaldo probado es la respuesta tranquila a esa pregunta.
8. Plataformas cerradas: Shopify, Wix y similares
Hasta aquí hablamos de WordPress, donde tú tienes acceso completo al servidor, a los archivos y a la base de datos. Pero ¿qué pasa con plataformas cerradas como Shopify o Wix?
Aquí hay una diferencia conceptual importante: en estas plataformas no tienes acceso real al servidor. La infraestructura la administra la propia plataforma, lo cual tiene una ventaja (menos de qué preocuparte, técnicamente hablando) y una limitación (menos control y menos capacidad de hacer un respaldo «completo», como en WordPress).
Por eso, en estas plataformas «respaldar» significa algo distinto: en vez de copiar todo el sitio, normalmente lo que puedes hacer es exportar tus datos.
- Shopify: permite exportar tu información en archivos CSV (productos, clientes, pedidos). Esto no es una copia completa de tu tienda, pero protege lo más valioso: tus datos comerciales. Existen además apps del propio ecosistema Shopify que ofrecen respaldos más completos y automatizados.
- Wix: ofrece un historial de versiones del sitio que permite volver a estados anteriores del diseño, y opciones para exportar ciertos datos. El alcance es más limitado que en WordPress, así que conviene conocer bien qué se puede y qué no se puede recuperar.
La lección de fondo: las plataformas cerradas se sienten «más fáciles» porque te liberan de la parte técnica, pero a cambio te dan menos control sobre tus propios respaldos. No es ni bueno ni malo en sí mismo: es una decisión de fondo que conviene tomar con los ojos abiertos, sabiendo exactamente qué puedes y qué no puedes recuperar si algo sale mal.
9. ¿Cada cuánto respaldar?
La respuesta honesta es: depende de cuánto cambia tu sitio.
- Sitio institucional que cambia poco (una web corporativa que se actualiza de vez en cuando): un respaldo semanal o incluso mensual puede ser suficiente.
- Blog activo o sitio con actualizaciones frecuentes: respaldo semanal, o antes de cada cambio importante.
- Tienda online (e-commerce) con pedidos y clientes: respaldo diario, sin discusión. Cada día sin respaldo es un día de pedidos y datos que podrías perder.
- Siempre, además: genera un respaldo manual antes de cualquier cambio grande (actualizar WordPress, cambiar de tema, instalar un plugin nuevo, hacer una migración).
La clave es que la frecuencia debe estar en proporción a cuánto te dolería perder el trabajo hecho desde el último respaldo. Si perder un día de cambios es catastrófico, respalda diariamente. Si perder un mes es apenas una molestia, puedes espaciar más.
Los respaldos son ese seguro del que nadie se acuerda hasta que lo necesita con desesperación. Y, como vimos al principio con el caso de los plugins comprometidos de 2026, la amenaza no siempre viene de donde uno espera: a veces llega disfrazada de una actualización legítima. Por eso, más allá de cuánto te esfuerces en prevenir, tener un buen respaldo -completo, reciente, externo y probado- es lo que transforma una posible catástrofe en un simple mal rato.
En ialleite, los respaldos periódicos, verificados y seguros son parte de nuestro servicio de mantención. Si prefieres despreocuparte y saber que, pase lo que pase, tu sitio está protegido y es recuperable, con gusto nos hacemos cargo de esa tranquilidad por ti.