El lento giro lejos de WordPress

WordPress es uno de los grandes éxitos del código abierto. Empezó como una herramienta para blogs y creció hasta ser el software detrás de buena parte de la web, gratuito de usar, libre de modificar, con un ecosistema de temas, plugins y proveedores de alojamiento que permite publicar a casi cualquiera.

Como agencia, construimos y mantuvimos sitios en WordPress durante años, y muchos sitios buenos siguen funcionando con él. Esto no es un obituario. Pero han cambiado tres cosas a la vez, y una empresa que tiene su sitio web en WordPress debería conocer las tres: la cuota ha cambiado de rumbo, el riesgo está en los plugins y la dirección del proyecto lleva dos años metida en una disputa que ahora se encamina a un jurado.

La cuota ha cambiado de rumbo

W3Techs, que sigue la tecnología que hay detrás de los sitios web, muestra que WordPress subió durante casi una década: del 23,3 por ciento de todos los sitios web a principios de 2015 al 43,2 por ciento a principios de 2022. Después se estancó. Estaba en el 43,6 por ciento en enero de 2025 y en el 43,0 por ciento en enero de 2026. El 12 de octubre de 2026, la cifra era del 40,1 por ciento.

Sigue siendo más que todos los demás sistemas de gestión de contenidos juntos, y el 58,6 por ciento de los sitios cuyo sistema puede identificar W3Techs. Pero la dirección es nueva. En el mismo periodo, Shopify pasó del 4,7 al 5,4 por ciento de todos los sitios web y Wix del 3,3 al 4,2 por ciento, mientras que Joomla y Drupal siguieron perdiendo terreno. Recuentos como estos dependen del método, así que importa más la dirección que el decimal.

El riesgo está en los plugins

El núcleo de WordPress está en buen estado. Patchstack, una empresa de seguridad que sigue el ecosistema, contó solo seis vulnerabilidades en el núcleo de WordPress en 2025, todas de baja prioridad.

El ecosistema que lo rodea es otra cuestión. Patchstack contó 11'334 vulnerabilidades nuevas en WordPress en 2025, un 42 por ciento más que en 2024. El 91 por ciento estaba en plugins y el 9 por ciento en temas. En el 46 por ciento de ellas, el desarrollador no tenía lista una corrección cuando se hizo pública el fallo. Y en los fallos que los atacantes persiguieron con más fuerza, el tiempo mediano entre la divulgación y la explotación masiva fue de cinco horas.

Patchstack vende protección contra justamente esto, así que su enfoque merece la cautela habitual. El patrón, sin embargo, es estructural. El sitio de una empresa suele ejecutar muchos plugins de muchos autores, cada uno con su propio ritmo de actualización, su propia calidad y su propio modelo de negocio. Cada uno de ellos es código en el servidor público. Mantenerlos al día es una tarea semanal, y las semanas en que se omite son las que importan.

Dos años de turbulencias

En septiembre de 2024, en la conferencia WordCamp US, Matt Mullenweg, director ejecutivo de Automattic y figura principal del proyecto WordPress, instó a la comunidad a dejar de pagar a WP Engine, uno de los mayores proveedores de alojamiento de WordPress. En una publicación posterior, llamó a la empresa un «cáncer» para WordPress. Mullenweg había exigido un canon por el uso de la marca WordPress: el 8 por ciento de los ingresos brutos mensuales de WP Engine.

El 25 de septiembre, WordPress.org vetó a WP Engine el acceso a sus recursos, lo que interrumpió las actualizaciones de plugins y temas de algunos de los sitios que alojaba. En octubre, WP Engine demandó a Automattic y a Mullenweg, y WordPress.org tomó el control de Advanced Custom Fields, un plugin popular que mantenía WP Engine. En diciembre, una jueza federal concedió una medida cautelar que restableció el acceso de WP Engine y el plugin.

Lo que siguió perjudicó más al proyecto que al proveedor. En enero de 2025, Automattic redujo su aportación comprometida a WordPress a unas 45 horas semanales, desde unas 2'560, para destinar recursos a la batalla legal. En abril despidió al 16 por ciento de su plantilla, y WordPress dijo que la 6.8 sería la última versión principal de 2025. A finales de mayo, Automattic dio marcha atrás y volvió al núcleo. En junio, la Linux Foundation lanzó FAIR, un repositorio federado de plugins y temas, diseñado para que ninguna fuente única controle las actualizaciones.

El caso está lejos de terminar. El 24 de septiembre de 2026, la jueza reactivó las demandas antimonopolio de WP Engine, que había desestimado un año antes, y concluyó que Automattic y Mullenweg no son ni titulares ni registrantes de las marcas de WordPress que invocaron. También subsisten la mayoría de las contrademandas de Automattic. Un juicio con jurado de diez días está fijado para octubre de 2027.

Qué significa para una empresa en WordPress

Nada de esto convierte de la noche a la mañana un sitio WordPress en un sitio inseguro. Una instalación bien cuidada, con pocos plugins, un buen proveedor de alojamiento y una persona concreta responsable de las actualizaciones puede servir a una empresa durante años. Para un blog, un pequeño sitio de presentación o un equipo que conoce bien la plataforma, quedarse suele ser lo sensato.

Lo que han mostrado los últimos dos años es la dependencia. Las actualizaciones de un sitio, sus plugins y la confianza en su cadena de suministro pasan por un único repositorio, y durante un tiempo las decisiones sobre ese repositorio se tomaron dentro de una disputa comercial. Si a eso se suma un ecosistema en el que casi la mitad de los fallos nuevos son públicos antes de estar corregidos, la pregunta ya no es si WordPress funciona. Es cuánto de su sitio web quiere apoyar una empresa en piezas que no controla.

Sitios compilados con un CMS encima

Por eso más empresas se pasan a los sitios compilados: un sitio web que se genera a partir de código en páginas rápidas, con un sistema de gestión de contenidos encima para quienes lo editan. El sitio público ya no tiene plugins ni acceso de administrador que atacar. Cada cambio pasa por una compilación que se prueba antes de salir en vivo. El contenido vive en archivos que son de la empresa, no en una base de datos moldeada por un proveedor.

La contrapartida es real. Un sitio compilado necesita desarrolladores para las funciones nuevas, mientras que WordPress tiene un plugin para casi todo. Y la edición hay que construirla bien, o el equipo de marketing echará de menos el viejo panel de administración en una semana.

Este es el problema para el que se creó Studio. Su núcleo es un CMS sobre sitios construidos en Next.js, Vite o TanStack, sin plugins ni PHP en el sitio público. Cada publicación se revisa, se compila una vez, se prueba, se pone en vivo, se verifica y, si algo falla, se revierte por sí sola, y cada publicación guarda el contenido en el repositorio propio de la empresa. Los editores hacen clic en una palabra para cambiarla y ven la página en vivo. Studio está en acceso anticipado.

Las máquinas pueden asumir las compilaciones, las pruebas y las reversiones. Lo que dice una página, y si es lo bastante buena para salir, sigue en manos de quienes responden por ella.

Por dónde empezar

Cuenta tus plugins y anota quién mantiene cada uno, cuándo se actualizó por última vez y qué hace. Elimina lo que nadie necesite. Asegúrate de que cada plugin, también los de pago, recibe sus actualizaciones y de que una persona concreta las revisa cada semana. Exporta tu contenido una vez y comprueba si podrías trasladarlo si fuera necesario.

Después decide a propósito. Conserva WordPress donde te sirva, con menos piezas y un responsable claro. Donde el sitio web es central para el negocio, un sitio compilado con un CMS encima merece una conversación.