Tu empresa tiene una web WordPress. Puedes entrar al panel, el desarrollador hace cambios cuando los necesitas y el hosting se paga puntualmente.
Pero ¿quién controla realmente la web?
La duda suele aparecer cuando ocurre algo: hay que actualizar un plugin, cambiar de proveedor, recuperar una contraseña o resolver una incidencia y nadie sabe exactamente qué cuentas pertenecen a la empresa y cuáles están en manos del profesional que creó la web.
Tener acceso a /wp-admin no significa necesariamente tener bajo control toda la infraestructura de la página.
Una empresa debería poder recuperar y gestionar, directamente o a través de personas autorizadas, los accesos esenciales de su WordPress, dominio y hosting, aunque delegue completamente el mantenimiento técnico.
Eso no significa que el propietario tenga que actualizar plugins, configurar DNS o administrar un servidor. Significa que el negocio no debería quedar bloqueado si mañana cambia de proveedor.
Una de las primeras confusiones consiste en hablar de «mi cuenta de WordPress» como si todas las webs WordPress dependieran de una cuenta central.
No funciona así en una instalación convencional de WordPress.
Dentro de cada instalación existen usuarios con diferentes permisos. WordPress incluye roles como administrador, editor, autor, colaborador y suscriptor.
El administrador dispone de permisos especialmente amplios. En una instalación WordPress individual puede gestionar usuarios y configuración y, en condiciones normales, instalar o actualizar plugins y temas y actualizar el propio WordPress.
Por tanto, puedes tener un usuario administrador de tu web y, al mismo tiempo, no controlar otras piezas esenciales del proyecto.
Ese es el punto importante.
Imagina que puedes entrar perfectamente al escritorio de WordPress, modificar páginas y consultar los plugins instalados.
Sin embargo:
Mientras la relación con el proveedor funciona, puede que nada de esto produzca un problema visible.
La dificultad aparece cuando necesitas recuperar el control o cambiar de profesional.
Por eso conviene pensar en una web como un conjunto de activos, servicios y accesos, no simplemente como una contraseña para entrar a WordPress.
El dominio es uno de los activos digitales más importantes de la empresa.
Deberías saber:
No necesitas entrar constantemente en el registrador. De hecho, si no sabes qué estás modificando, es preferible no tocar su configuración.
Lo importante es que recuperar el dominio no dependa exclusivamente de una persona externa.
También deberías saber dónde está alojada la web y quién controla la cuenta correspondiente.
WordPress, su base de datos y los archivos del sitio normalmente dependen de esa infraestructura.
Que un profesional administre técnicamente el alojamiento puede ser perfectamente razonable. Que la empresa desconozca qué proveedor aloja su página, quién paga el servicio o cómo recuperar la cuenta es una situación diferente.
Y hay una distinción fundamental:
tener un usuario administrador de WordPress no equivale a tener acceso al hosting.
Son sistemas diferentes.
Esta separación también resulta importante para entender las responsabilidades de cada proveedor. El alojamiento mantiene la infraestructura sobre la que funciona la web, pero eso no significa necesariamente que se encargue de revisar WordPress, sus plugins y todas las funciones del sitio.
Si tienes dudas sobre dónde termina una responsabilidad y empieza la otra, en Mantenimiento WordPress en 2026: qué incluye y por qué importa explicamos qué debería cubrir una gestión técnica continuada de la web.
La empresa debería disponer de un mecanismo claro para recuperar el acceso administrativo a su propia web.
Eso no significa que todos los empleados necesiten ser administradores.
Los permisos de administrador son amplios y no son apropiados para cualquier usuario. Para publicar o modificar determinados contenidos pueden utilizarse roles con menos privilegios.
También resulta preferible que cada persona que necesite acceso disponga de su propio usuario en lugar de compartir una misma contraseña entre empresa, agencia, diseñador y otros colaboradores.
Así, cuando alguien deja de trabajar con la web, se puede retirar su acceso sin afectar al resto.
La acumulación de cuentas administrativas es precisamente uno de los problemas que conviene revisar en webs que han pasado por diferentes manos. En 10 errores de principiante en WordPress que seguimos viendo en webs de pymes repasamos este y otros problemas que pueden permanecer durante años sin que el propietario sea consciente de ellos.
No basta con preguntar: «¿Tenemos backups?»
Hay preguntas más útiles: ¿Dónde están? ¿Qué incluyen? ¿Con qué frecuencia se realizan? ¿Cuánto tiempo se conservan? ¿Quién puede acceder a ellos? ¿Se ha comprobado que permiten restaurar la web?
Una copia de seguridad tiene verdadero valor cuando puede utilizarse para recuperar el sitio.
Esto resulta especialmente importante antes de actualizaciones o intervenciones que puedan afectar al funcionamiento de WordPress.
También conviene evitar que todas las copias dependan de un sistema que nadie dentro de la empresa sabe localizar o recuperar.
Los DNS intervienen en la conexión del dominio con distintos servicios.
No necesitas aprender a configurarlos para tener una web empresarial, pero sí deberías saber quién los gestiona y desde qué cuenta.
Aquí hay una precaución importante:
no cambies registros DNS o nameservers simplemente para comprobar que tienes control.
Una modificación incorrecta puede afectar a la web, al correo u otros servicios asociados al dominio.
Comprobar que puedes acceder a una cuenta es una cosa. Modificar su configuración es otra.
Una web WordPress puede depender de mucho más que WordPress y el hosting.
Puede utilizar:
Conviene documentar cuáles son esenciales y distinguir entre dos situaciones perfectamente posibles.
Licencia de la empresa: el negocio contrata directamente el producto y conserva la cuenta.
Licencia del proveedor: una agencia o profesional proporciona esa licencia como parte de su servicio.
La segunda situación no tiene por qué ser un problema. Lo importante es conocerla.
Si mañana cambias de proveedor, necesitas saber qué licencias continuarán funcionando, cuáles tendrás que contratar y qué servicios dependen de cuentas externas.
No necesariamente.
Este es uno de los errores más fáciles de cometer: confundir tener control con hacer personalmente todo el trabajo técnico.
WordPress, sus plugins y sus temas deben mantenerse actualizados, pero pulsar «Actualizar» no debería ser un acto automático cuando no conoces el estado de la web.
En una instalación sencilla y bien mantenida, muchas actualizaciones pueden ser rutinarias.
En una web empresarial con WooCommerce, plugins críticos, código personalizado o componentes antiguos, una actualización puede requerir más precauciones.
Antes de un cambio importante conviene saber:
Además, WordPress no evoluciona de manera aislada. También cambian PHP, plugins, temas y otros componentes. En Tres grandes actualizaciones de WordPress al año: cómo afecta esto a la web de tu empresa explicamos por qué conviene planificar las actualizaciones en lugar de acumularlas indefinidamente o instalarlas sin comprobaciones.
Por tanto, hay que separar dos preguntas.
¿Debe la empresa poder actualizar su propia web?
Debería conservar el control necesario para hacerlo o para encargar ese trabajo a otro profesional.
¿Debe el propietario instalar personalmente cada actualización?
No necesariamente.
Delegar la operación técnica y perder el control sobre el activo son cosas distintas.
No empieces cambiando contraseñas ni eliminando usuarios.
Primero haz inventario.
Puedes empezar por una tabla sencilla:
| Elemento | Qué necesitas saber |
|---|---|
| Dominio | Registrador, titular, cuenta y recuperación |
| Hosting | Proveedor, cuenta, renovación y acceso |
| WordPress | Administradores y recuperación |
| Backups | Ubicación, frecuencia y restauración |
| DNS | Proveedor y cuenta que los controla |
| Plugins premium | Licencia propia o del proveedor |
| Servicios externos | Cuenta, facturación y responsable |
| Correo relacionado | Cuenta de recuperación y responsable |
El objetivo inicial no es modificar nada. Es comprender la situación.
Si actualmente mantienes una relación normal con tu desarrollador o agencia, este proceso puede plantearse simplemente como documentación y continuidad del negocio.
No es necesario tratar al proveedor como una amenaza.
Un profesional puede seguir administrando técnicamente todos estos sistemas después de que la empresa haya documentado y protegido correctamente sus accesos.
Hay algunas situaciones que justifican revisar cómo se gestiona la web:
Ninguna de estas situaciones demuestra por sí sola que exista un problema de seguridad o que el proveedor esté actuando incorrectamente.
Sí indican que la continuidad de la web depende demasiado de conocimiento que la empresa no conserva.
Es un problema habitual en páginas que han ido pasando de un profesional a otro y acumulando plugins, cuentas y decisiones técnicas. Si te reconoces en esa situación, Cómo sanear un WordPress heredado y desordenado aborda precisamente cómo evaluar una instalación existente antes de empezar a eliminar o modificar componentes.
Cuando una relación profesional termina, puede resultar tentador empezar cambiando todas las contraseñas.
Antes necesitas entender qué depende de cada cuenta.
Un proveedor podría estar gestionando:
La transición debería comenzar con un inventario y una copia de seguridad fiable.
Después pueden revisarse usuarios y permisos, trasladarse las cuentas que corresponda, sustituirse credenciales y retirarse accesos que ya no sean necesarios.
Si has heredado una web de otro profesional y nadie sabe exactamente cómo está construida, empezar desactivando plugins o eliminando usuarios al azar puede generar un problema que antes no existía.
Primero se audita. Después se decide qué sobra.
Aquí cambia la situación.
Una cuenta desconocida no demuestra automáticamente que WordPress haya sido comprometido. Puede pertenecer a un antiguo proveedor, empleado o servicio que nadie documentó.
Pero merece ser investigada.
Antes de eliminarla, intenta identificar su origen y comprueba el resto de accesos.
Si existen además señales como modificaciones inesperadas, páginas desconocidas, redirecciones o actividad que nadie reconoce, entonces ya no estás únicamente ante un problema de organización de accesos.
Puede existir un incidente de seguridad.
En ese caso, conviene seguir un procedimiento específico como el que explicamos en Cómo saber si tu web WordPress ha sido hackeada y qué hacer, en lugar de limitarse a borrar usuarios o restaurar una copia.
Una pyme no necesita convertirse en especialista en WordPress.
Puedes delegar mantenimiento, seguridad, copias, actualizaciones, optimización y resolución de incidencias. En muchos casos tiene más sentido que intentar gestionar internamente una tecnología que nadie en la empresa conoce suficientemente.
Lo que conviene evitar es que la delegación se convierta involuntariamente en dependencia.
Una buena situación es aquella en la que el profesional dispone de los permisos necesarios para trabajar y la empresa conserva el control y la documentación necesarios para garantizar la continuidad de su web.
Esta diferencia es especialmente importante porque muchos de los problemas cotidianos de WordPress están relacionados entre sí: mantenimiento pendiente, dificultad para hacer cambios, rendimiento, accesos o componentes acumulados. En Los 5 grandes dolores de cabeza con WordPress para pymes analizamos cómo esos problemas terminan convirtiendo una web aparentemente sencilla en algo que nadie quiere tocar.
No necesitas abrir el hosting ni modificar WordPress.
Intenta simplemente responder estas preguntas:
La última pregunta resume prácticamente todo el artículo:
Si mañana dejas de trabajar con tu proveedor actual, ¿tienes todo lo necesario para que otro profesional pueda hacerse cargo de la web?
Si la respuesta es sí, probablemente has separado correctamente propiedad y gestión.
Si la respuesta es «no lo sé», no necesitas empezar rehaciendo la web ni cambiando todas las contraseñas.
Primero averigua qué controla la empresa, qué gestiona el proveedor y qué falta por documentar.
Y si durante esa revisión descubres actualizaciones acumuladas, plugins que nadie reconoce, copias que nunca se han probado o una instalación que lleva años sin revisarse, el problema ya no es únicamente de accesos. Es una buena señal de que conviene revisar también el estado general y el mantenimiento de tu WordPress antes de seguir haciendo cambios.
