Copias de seguridad WordPress: guía paso a paso

Todo lo que necesitas saber sobre copias de seguridad en WordPress: almacenamiento externo, frecuencia adecuada y cómo verificar que una restauración funciona de verdad.

Por qué las copias de seguridad WordPress no son opcionales

Las copias de seguridad WordPress son el único mecanismo real que te protege cuando todo lo demás falla. Ni el mejor hosting, ni el firewall más robusto, ni las actualizaciones al día garantizan que tu web nunca sufrirá un problema crítico. Un plugin incompatible, un ataque de fuerza bruta exitoso, un error humano al editar código o incluso un fallo de hardware en el servidor pueden dejar tu sitio completamente inaccesible.

Y sin embargo, según datos de Backblaze, aproximadamente un 20% de usuarios no realizan ningún tipo de copia de seguridad de sus datos. En el ecosistema WordPress, el problema se agrava porque muchos propietarios de sitios asumen que su hosting «ya se encarga de eso». Spoiler: en la mayoría de los casos, no es suficiente.

Este artículo no va de cómo instalar un plugin de backups (eso lo encuentras en cualquier tutorial). Va de los tres pilares que separan una estrategia de copias de seguridad fiable de una que da una falsa sensación de seguridad: almacenamiento externo, frecuencia adecuada y restauración verificada.

El error más común: confiar solo en el backup del hosting

La mayoría de proveedores de hosting ofrecen copias de seguridad automáticas. Algunos incluso las presentan como «diarias». Entonces, ¿por qué necesitas preocuparte tú? Porque esas copias tienen limitaciones serias que rara vez se explican en la página comercial del hosting:

• Retención limitada: Muchos hostings solo conservan backups de los últimos 7 o 14 días. Si detectas un problema que lleva semanas activo (como una inyección de malware silenciosa), puede que no tengas una copia limpia a la que volver.
• Almacenamiento en el mismo servidor: Si el servidor sufre un fallo catastrófico de disco, tus backups se pierden junto con tu web. Es como guardar la copia de las llaves dentro de la misma casa.
• Restauración parcial difícil o imposible: Muchos paneles de hosting solo permiten restaurar el sitio completo. Si necesitas recuperar solo la base de datos, o solo un directorio específico de uploads, la herramienta del hosting puede no darte esa granularidad.
• Dependencia total del proveedor: Si necesitas migrar de hosting o si tu proveedor tiene una incidencia grave, no tienes acceso independiente a tus datos.

No digo que los backups del hosting sean inútiles. Sirven como primera línea de defensa rápida. Pero depender exclusivamente de ellos es un riesgo que no merece la pena asumir. Como explico en la guía sobre qué incluye el mantenimiento WordPress, las copias de seguridad externas son uno de los componentes esenciales de cualquier plan de mantenimiento serio.

Almacenamiento externo: dónde guardar tus copias de seguridad WordPress

El principio fundamental es sencillo: tus backups deben estar en un lugar físicamente diferente al servidor donde está tu web. Esto se conoce como la regla 3-2-1 de copias de seguridad: tres copias de tus datos, en dos tipos de almacenamiento diferentes, con al menos una copia fuera del sitio.

Para un sitio WordPress, las opciones más habituales de almacenamiento externo son:

Servicios de almacenamiento en la nube

Las opciones más populares y fiables incluyen:

• Amazon S3: El estándar de la industria. Ofrece durabilidad de datos del 99,999999999% (once nueves). Es la opción más robusta para sitios profesionales o tiendas WooCommerce que manejan datos sensibles. El coste es bajo: un sitio WordPress medio con backups comprimidos puede costar entre 0,50 € y 3 € al mes.
• Google Cloud Storage: Similar a S3 en fiabilidad, con la ventaja de integrarse bien si ya usas el ecosistema Google. Ofrece clases de almacenamiento escalonadas según la frecuencia de acceso.
• Google Drive / Dropbox: Opciones más accesibles para sitios pequeños o blogs personales. No son servicios de infraestructura empresarial, pero para un WordPress con tráfico moderado cumplen perfectamente. La mayoría de plugins de backup los soportan de forma nativa.

Servidor remoto propio vía SFTP

Si gestionas varios sitios o trabajas en una agencia, tener un servidor dedicado exclusivamente para almacenar backups puede tener sentido. Un VPS económico (10-15 €/mes) con suficiente disco puede centralizar los backups de múltiples proyectos WordPress. La clave es que este servidor no aloje ningún sitio web público: su única función es recibir y almacenar copias.

Almacenamiento local como complemento

Descargar periódicamente una copia a un disco duro externo o NAS local sigue siendo una buena práctica como tercera capa. No como sustituto de la nube, sino como complemento. Si algún día necesitas restaurar y tu cuenta de almacenamiento en la nube tiene un problema de acceso (cuenta suspendida, error de autenticación), tener una copia física te salva.

Frecuencia de las copias de seguridad: no existe una respuesta universal

«¿Cada cuánto debo hacer backups?» es una de las preguntas más frecuentes, y la respuesta correcta siempre es: depende de con qué frecuencia cambia tu sitio.

La métrica clave es el RPO (Recovery Point Objective): cuántos datos estás dispuesto a perder en el peor escenario. Si tu RPO es «no más de 24 horas de contenido», necesitas backups diarios como mínimo.

Sitio corporativo o blog con actualizaciones semanales

Si publicas contenido una o dos veces por semana y el sitio no tiene formularios, registros de usuarios ni transacciones, una copia de seguridad diaria de la base de datos y una semanal completa (archivos + base de datos) es suficiente. La base de datos cambia más a menudo que los archivos del tema o los uploads, así que tiene sentido diferenciar la frecuencia.

Tienda WooCommerce activa

Aquí la cosa cambia radicalmente. Una tienda con pedidos diarios genera datos nuevos constantemente: pedidos, datos de clientes, cambios de inventario, cupones. Para un WooCommerce activo, lo mínimo recomendable es:

• Backup de base de datos: cada 6-12 horas.
• Backup completo: diario.
• Retención: mínimo 30 días.

En la comparativa entre mantenimiento WooCommerce y web normal profundizo en por qué las tiendas online tienen requisitos técnicos significativamente mayores, y los backups son uno de los puntos donde la diferencia es más evidente.

Sitio con membresías, foros o contenido generado por usuarios

Cualquier sitio donde los usuarios crean contenido (foros, comunidades, directorios con listados) necesita una frecuencia de backup de base de datos alta, idealmente cada 4-6 horas. Perder las publicaciones o registros de tus usuarios no solo es un problema técnico: es un problema de confianza.

Antes de cualquier cambio importante

Independientemente de la frecuencia programada, siempre debes crear una copia de seguridad manual antes de actualizar WordPress core, plugins, temas o hacer cualquier cambio en el código. Este backup «bajo demanda» es tu red de seguridad inmediata si algo sale mal durante el proceso de actualización.

Qué debe incluir una copia de seguridad WordPress completa

Una copia de seguridad que solo cubre la base de datos, o que solo cubre los archivos, es una copia incompleta. Para restaurar un sitio WordPress al 100%, necesitas:

• Base de datos MySQL completa: Todas las tablas, incluyendo las creadas por plugins (tablas con prefijos personalizados como wp_wc_ en WooCommerce o wp_yoast_ para SEO).
• Directorio wp-content: Incluye temas, plugins, uploads (imágenes y archivos media), y cualquier directorio personalizado que plugins específicos hayan creado (como wp-content/cache/ o wp-content/backups/).
• Archivo wp-config.php: Contiene las credenciales de la base de datos, las claves de seguridad (salts) y configuraciones personalizadas. Sin este archivo, la restauración requiere reconfigurarlo manualmente.
• Archivo .htaccess: En servidores Apache, contiene reglas de reescritura de URLs, redirecciones y configuraciones de seguridad que afectan directamente al funcionamiento del sitio.

Un error frecuente es excluir la carpeta de uploads por ser demasiado pesada. Si tu directorio de medios ocupa varios gigabytes, la solución no es excluirlo del backup, sino usar almacenamiento externo con suficiente capacidad y hacer backups incrementales (solo los archivos que han cambiado desde el último backup completo).

Restauración probada: el paso que casi nadie da

Aquí está el dato más incómodo sobre las copias de seguridad WordPress: la mayoría de personas que las tienen nunca han comprobado que funcionan. Es como tener un extintor en la cocina sin saber si está cargado.

Según un estudio citado por Spiceworks, hasta un 34% de las empresas que necesitan restaurar un backup descubren en ese momento que la copia está corrupta, incompleta o no funciona. Ese porcentaje es inaceptable cuando hablamos de un sitio web que genera ingresos.

Cómo verificar que tu backup funciona

El único modo de confirmar que un backup es válido es restaurarlo en un entorno aislado y comprobar que el sitio funciona correctamente. El proceso ideal es:

1. Montar un entorno de pruebas: Un subdominio (tipo test.tudominio.com), un hosting temporal, o incluso un entorno local con herramientas como LocalWP o DDEV.
2. Restaurar el backup completo: Base de datos y archivos. Si usas un plugin como UpdraftPlus, Duplicator o BlogVault, usa la misma herramienta para restaurar. Si el backup es manual (archivos + SQL), súbelo por SFTP e importa la base de datos con phpMyAdmin o WP-CLI.
3. Verificar funcionalidad: No basta con que cargue la portada. Comprueba:
   • Que el panel de administración (wp-admin) es accesible.
   • Que las páginas internas cargan correctamente.
   • Que los formularios de contacto funcionan.
   • Que WooCommerce (si aplica) muestra productos, procesa un pedido de prueba y los emails transaccionales se envían.
   • Que las URLs no están rotas por problemas con la serialización de datos en la base de datos (un problema clásico al cambiar de dominio durante la restauración).
4. Documentar el resultado: Fecha de la prueba, tiempo que tardó la restauración, problemas encontrados. Esto te da un «RTO real» (Recovery Time Objective): cuánto tiempo necesitas para volver a estar online.

Con qué frecuencia probar la restauración

Para un sitio corporativo estándar, una prueba de restauración trimestral es razonable. Para tiendas WooCommerce con facturación significativa, mensual. Y siempre después de cualquier cambio estructural importante: migración de hosting, cambio de versión de PHP, reestructuración de plugins críticos.

El coste del mantenimiento WordPress varía significativamente dependiendo de si incluye o no estas verificaciones. Un plan de mantenimiento que solo programa backups automáticos pero nunca los prueba tiene un agujero que puede salir muy caro.

Plugins y herramientas para gestionar copias de seguridad en WordPress

Sin entrar en un tutorial de instalación (hay cientos), estas son las herramientas más solventes del ecosistema WordPress y sus características diferenciales reales:

UpdraftPlus

El plugin gratuito más popular, con más de 3 millones de instalaciones activas. Permite programar backups automáticos y enviarlos a destinos externos (Google Drive, Dropbox, S3, SFTP). La versión gratuita cubre las necesidades básicas; la versión premium añade backups incrementales, migración y más destinos de almacenamiento. Su punto débil: en sitios muy grandes (>2 GB de base de datos), puede tener problemas de timeout.

BlogVault

Solución SaaS que ejecuta los backups en sus propios servidores, sin consumir recursos de tu hosting. Ideal para sitios WooCommerce con bases de datos grandes. Incluye staging integrado para probar restauraciones. Es de pago (desde unos 7-8 $/mes), pero para sitios que generan ingresos es una inversión justificada por su fiabilidad.

Duplicator Pro

Originalmente concebido como herramienta de migración, Duplicator Pro ha evolucionado hasta convertirse en una solución completa de backup. Soporta backups programados, almacenamiento en la nube y restauración desde el panel de WordPress. Su arquitectura basada en paquetes comprimidos lo hace muy eficiente en términos de tamaño de archivo.

WP-CLI + scripts personalizados

Para desarrolladores y administradores de sistemas, la combinación de wp db export con scripts bash que sincronizan archivos vía rsync o rclone a un destino externo sigue siendo la opción más flexible y ligera. No añade carga de plugins al sitio, se ejecuta a nivel de servidor y se puede automatizar con cron jobs. La desventaja es que requiere conocimientos técnicos y no tiene interfaz gráfica para restaurar.

Errores frecuentes en la estrategia de backups

Estos son los problemas que encuentro con más frecuencia al auditar la estrategia de copias de seguridad de sitios WordPress que gestiono o reviso:

Guardar los backups en el propio servidor

El error más grave y el más común. Plugins configurados para guardar las copias en /wp-content/backups/ sin enviarlas a ningún destino externo. Si el servidor falla, pierdes web y backups a la vez.

No verificar la integridad de los archivos

Un backup que se genera con errores (timeout durante la exportación de la base de datos, archivo ZIP corrupto) es peor que no tener backup, porque te da una falsa confianza. Configura notificaciones por email para saber si cada backup se completó correctamente, y revisa esas notificaciones.

Retención insuficiente

Guardar solo la última copia es peligroso. Si un problema (como malware inyectado o datos corruptos) se introduce antes del último backup, tu única copia ya está contaminada. Mantener un historial de al menos 30 días te permite retroceder a un punto anterior al problema.

No incluir archivos de configuración

Muchos plugins de backup, en su configuración por defecto, no incluyen wp-config.php ni .htaccess. Verifica que tu herramienta los incluye o haz una copia manual periódica de estos archivos.

Ignorar el tamaño creciente del sitio

Un sitio WordPress crece con el tiempo: más uploads, más revisiones de posts en la base de datos, más datos transaccionales. Lo que empezó como un backup de 500 MB puede ser de 5 GB dos años después. Si no ajustas tu estrategia (backups incrementales, limpieza de revisiones, optimización de base de datos), los backups tardarán más, fallarán más y consumirán más almacenamiento.

Checklist: tu estrategia de copias de seguridad WordPress

Usa esta lista como referencia rápida para evaluar si tu configuración actual es sólida:

• Los backups se almacenan en al menos un destino externo al servidor (nube, SFTP, local).
• La frecuencia está ajustada al ritmo de cambios del sitio (diaria para la mayoría, más frecuente para WooCommerce).
• El backup incluye base de datos completa, wp-content, wp-config.php y .htaccess.
• Se reciben notificaciones cuando un backup falla o se completa con errores.
• Se ha probado la restauración completa al menos una vez en los últimos 3 meses.
• Existe retención de al menos 30 días de historial.
• Se crea un backup manual antes de cualquier actualización importante.
• El tamaño de los backups se monitoriza y se optimiza periódicamente.

Preguntas frecuentes sobre copias de seguridad en WordPress

¿Las copias de seguridad del hosting son suficientes?

Como capa adicional, sí. Como única estrategia, no. Los backups del hosting suelen tener retención corta, almacenamiento en el mismo servidor y opciones de restauración limitadas. Necesitas al menos una copia independiente en almacenamiento externo que tú controles.

¿Cuánto espacio necesito para almacenar los backups?

Depende del tamaño de tu sitio y la retención. Como referencia: un WordPress medio ocupa entre 500 MB y 2 GB comprimido. Con 30 días de retención diaria, necesitarías entre 15 y 60 GB. Si usas backups incrementales, bastante menos.

¿Un backup sirve para migrar de hosting?

Sí, un backup completo (archivos + base de datos) es la base de cualquier migración. Herramientas como Duplicator están diseñadas exactamente para esto. Solo necesitas ajustar las URLs en la base de datos si el dominio o las rutas cambian.

¿Los backups afectan al rendimiento de mi web?

Si se ejecutan durante horas de alto tráfico, sí pueden causar picos de uso de CPU y RAM, especialmente en hostings compartidos. Programa los backups en horarios de bajo tráfico (madrugada en tu zona horaria principal). Las herramientas SaaS como BlogVault minimizan este impacto al ejecutar el proceso en sus propios servidores.

Si quieres que un profesional revise o configure tu estrategia de backups como parte de un plan de mantenimiento completo, puedes consultar mi servicio de mantenimiento WordPress.

// Sobre el autor

fernandodomecq

Desarrollador WordPress freelance especializado en WooCommerce, integraciones e IA. Escribo sobre proyectos web, agencias y buenas prácticas técnicas.

Ver todos los artículos →