Por qué esta checklist existe (y por qué no esperes a enero)

La mayoría de PYMEs de Barcelona y el Vallès tratan su web como una herramienta que "ya está hecha". Pero una web sin mantenimiento pierde posiciones en Google, se rompe sola, se vuelve vulnerable y, lo peor, deja de convertir sin que nadie se dé cuenta. Esta checklist es el mantenimiento mínimo anual que tu negocio necesita para no encontrarse un lunes con la web caída, un email de Google avisando de phishing o un -40% de formularios de un mes para otro.

No es teoría. Son las tareas que en Revive Studio aplicamos a los mantenimientos de clientes de Barberà, Sabadell, Terrassa, Sant Cugat y Barcelona ciudad, agrupadas en una sola sesión al año para que no se te acumulen. Calcula entre 4 y 8 horas según el tamaño del proyecto.

1. Copias de seguridad: que se hacen, y que se pueden restaurar

Una copia que no has probado a restaurar no es una copia. Es un peso en el servidor.

Qué copiar

Base de datos completa (MySQL/MariaDB, PostgreSQL).
Carpeta de uploads (imágenes, PDFs, documentos).
Ficheros del tema y personalizaciones (child theme si usas WordPress).
Archivo de configuración (.env, wp-config.php, .htaccess, nginx.conf).
Exportación de contenido crítico (páginas, productos, entradas) por si la BD se corrompe.

Verificación real

Restaura la última copia en un entorno de staging o local una vez al año, mínimo. Si la web tiene tienda online, hazlo cada trimestre.
Comprueba que la web restaurada carga, que los formularios envían, que los productos existen y que los usuarios pueden loguearse.
Documenta el tiempo de restauración (RTO). Si tu web tarda 24h en volver a estar online después de un hack, tienes un problema de negocio, no técnico.

Frecuencia y retención

Web corporativa: 1 copia diaria, conservar 30 días.
Tienda online o web con contenido nuevo constante: 1 copia cada 6h, conservar 90 días.
Guarda una copia mensual fuera del servidor (Drive, S3, NAS) durante 12 meses por si el proveedor entero cae.

Si tu hosting ya hace copias automáticas pero nunca las has bajado, este es el momento de hacerlo.

2. Seguridad y actualizaciones: el 90% de los hackeos viene de aquí

CMS, plugins, tema y PHP

Actualiza el CMS a la última versión estable (WordPress, Drupal, PrestaShop, Shopify… lo que uses). Las versiones LTS son aceptables; las versiones "end of life" no.
Actualiza todos los plugins/extensiones y el tema activo. Borra los que no uses: cada plugin abandonado es una puerta abierta.
Comprueba la versión de PHP (o Node, .NET, etc.). Si tu hosting sigue con PHP 7.4, tienes un problema serio de rendimiento y seguridad.

Credenciales y accesos

Rota contraseñas de admin, FTP/SFTP, base de datos y panel de hosting. Una vez al año, sin excusas.
Activa 2FA en el panel de hosting, en el CMS y en las cuentas de email asociadas.
Revisa quién tiene cuenta de administrador. Si tu ex-freelance todavía tiene acceso, quítalo hoy.
Cambia la URL de login si usas WordPress y la tienes en /wp-admin por defecto.

SSL, cabeceras y superficie de ataque

Comprueba que el certificado SSL está activo y renovado (Let's Encrypt o equivalente). Que el candado salga verde en todas las páginas, no solo en la home.
Revisa cabeceras de seguridad: HSTS, X-Frame-Options, Content-Security-Policy, X-Content-Type-Options. Una auditoría rápida con securityheaders.com te lo confirma.
Asegúrate de que los formularios tienen CAPTCHA, anti-spam y validación de IP. Si no, el bot de turno te llenará la BD de basura en una semana.

Monitorización

Activa alertas de uptime (UptimeRobot, Better Uptime). Si la web cae a las 3 de la mañana, te enteras a las 3:01, no cuando un cliente te escriba indignado a las 10.
Configura avisos de cambios de ficheros en el servidor (no, un plugin de "security" no vale si no lees los emails).

3. Velocidad de carga: lo que Google mide y tus clientes notan

Métricas Core Web Vitals

Comprueba LCP (Largest Contentful Paint), INP (Interaction to Next Paint) y CLS (Cumulative Layout Shift) en PageSpeed Insights y en Search Console.
Objetivo realista para una PYME: LCP < 2.5s, INP < 200ms, CLS < 0.1 tanto en móvil como en escritorio.
Si los datos de campo (CrUX) están en rojo pero los de laboratorio en verde, el problema es de red o de dispositivo, no de código.

Imágenes y assets

Convierte las imágenes grandes a WebP o AVIF. Una foto de producto de 2 MB no tiene perdón en 2025.
Activa lazy loading en imágenes below the fold y en iframes.
Sirve las imágenes en tamaños responsive (srcset) y no uses la misma imagen de 4000px en el móvil.

Caché y servidor

Activa caché de página completa si tu web es estática o semi-estática. Plugins tipo WP Rocket, LiteSpeed Cache o configuración a nivel de Nginx/Varnish.
Habilita compresión Gzip o Brotli.
Sirve los recursos estáticos con una CDN si tu audiencia está fuera de tu servidor. Cloudflare en plan gratuito ya marca una diferencia enorme.
Comprueba el TTFB (Time To First Byte). Si está por encima de 800ms, el cuello de botella está en el hosting, no en la web.

JavaScript y CSS

Minifica y combina CSS/JS cuando tenga sentido. En 2025 no hace falta ser extremista, pero un bundle de 2 MB de JS sí que es un problema.
Diferir (defer/async) los scripts no críticos. El chat de WhatsApp no tiene que bloquear el render de la home.

4. Formularios, enlaces y SEO técnico básico

Formularios

Envía un formulario de prueba desde cada uno de los formularios de la web (contacto, presupuesto, cita, newsletter). No te fíes de "antes funcionaba".
Comprueba que el email de notificación llega a la persona correcta, que no cae en spam y que el mensaje incluye toda la información necesaria.
Si los formularios se conectan a un CRM (HubSpot, Pipedrive, Notion, Google Sheets), verifica que la integración sigue viva. Muchas veces el API key se revoca o se rompe el webhook sin avisar.

Enlaces rotos y redirecciones

Pasa un crawler (Screaming Frog en versión gratuita cubre hasta 500 URLs) para detectar 404s, 500s y cadenas de redirecciones.
Revisa los enlaces internos: páginas huérfanas, anchor texts repetidos, menús con links a borradores.
Comprueba que las redirecciones 301 de la migración antigua siguen vigentes. Un cambio de URL sin redirect es perder todo el SEO acumulado.

SEO técnico mínimo

Sitemap XML presente, actualizado y enviado a Search Console.
Robots.txt correcto: que no esté bloqueando páginas que quieres indexar.
Etiquetas canónicas en cada página. Si tienes una web multi-idioma, hreflang bien configurado.
Meta titles y meta descriptions revisados en las páginas de servicio principales. Que cada una tenga una keyword objetivo y un CTA.
Datos estructurados (schema.org) válidos: Organization, LocalBusiness, BreadcrumbList, FAQ si aplica. Valida con Rich Results Test.

En esta auditoría técnica es donde se detectan los problemas que están costando clientes sin que lo sepas. Si quieres profundizar en qué métricas vigilar, tienes una guía específica sobre señales de que tu web está perdiendo clientes sin que lo sepas.

Accesibilidad rápida

Contraste de texto suficiente (mínimo AA en WCAG).
Todas las imágenes con atributo alt descriptivo.
Formularios con labels asociados, no solo placeholders.
Navegación posible con teclado en los elementos interactivos.

5. Analítica y datos: lo que no se mide, no se puede mejorar

Configuración

Google Analytics 4 (o alternativa como Plausible/Matomo) bien configurado, sin duplicar el código de medición.
Search Console verificado y conectado a la propiedad correcta (www o no-www, http o https).
Si haces ads, conversiones de Google Ads y Meta Ads enviadas a GA4 con UTMs coherentes.

Eventos y conversiones

Revisa que los eventos clave siguen registrándose: envío de formulario, clic en teléfono, clic en WhatsApp, vista de página de servicio.
Configura objetivos de conversión en GA4 para cada uno de esos eventos.
Comprueba que el embudo principal (home → servicio → contacto) tiene datos en los tres pasos. Si un paso está a 0, hay un bug.

Revisión anual

Compara mes a mes las fuentes de tráfico, las páginas más vistas, los términos de búsqueda que te encuentran y los dispositivos.
Identifica las 5 páginas que más tráfico orgánico reciben y revisa si su contenido sigue siendo actual, si el CTA sigue visible y si convierten.
Detecta páginas con mucho tráfico y alta tasa de rebote: son candidatas a una mejora de copy o de oferta.

Cómo aplicar esta checklist sin que se te atasque

No intentes hacer todo un domingo a las 23h con tres pestañas abiertas. Divide el trabajo en bloques de 60-90 minutos, uno por sección. Reserva una mañana entera para auditoría técnica (sección 4) y otra para rendimiento (sección 3). Las copias de seguridad y la seguridad, al ser lo más crítico, hazlas siempre primero.

Si tu web no se ha tocado en más de un año, espera encontrarte con varias capas de problemas a la vez: plugins desactualizados, SSL a punto de expirar, hosting obsoleto, imágenes sin optimizar. Es normal. Lo importante es empezar.

Y si ves que esto te supera, o directamente no quieres saber nada de copias, PHP ni Core Web Vitals, exactamente para eso existe un plan de mantenimiento web profesional para PYMEs. Cubrimos todo lo de esta checklist, lo documentamos y te lo entregamos con un informe al final de cada revisión. Si quieres que revisemos tu caso, escríbenos desde el formulario de contacto y te enviamos un diagnóstico inicial sin compromiso.