Te llega una web WordPress que no has hecho tú, de la que nadie sabe darte detalles, y tienes que decidir si aceptas mantenerla, cuánto cobras por arreglarla o qué contarle al cliente en la consultoría.
En WordPress cualquier administrador o editor puede meter HTML y JavaScript sin filtrar dentro de una entrada, y eso incluye un script que se ejecuta en el navegador de cada visitante. No es un fallo, es una capacidad que viene de serie, se llama unfiltered_html.
Esta semana ha tocado despedida, así que si andas de vacaciones o liado con el cierre antes de agosto y no pudiste verme en directo, te resumo aquí los dos vídeos para que te pongas al día en un rato. Son los dos últimos directos antes del parón de verano, que en España ya aprieta el calor y no está uno para andar mucho delante de la cámara.
Los archivos por fecha de WordPress son de esas cosas que llevan ahí desde el primer día y que casi nadie mira, hasta que un buen día ves en Google URLs tuyas del tipo tudominio.com/2025/ o tudominio.com/2025/11/ y te preguntas qué pintan ahí.
Si llevas tiempo leyendo sobre rendimiento en WordPress te has cruzado con palabras como prefetch, prerender o preconnect en sitios distintos, con significados que no siempre coinciden, y la culpa, todo hay que decirlo, también es un poco de este blog, o sea mía.
Un tema a medida no pasa por el repositorio de WordPress.org. No tiene historial público de vulnerabilidades, ningún escáner lo conoce de antemano y nadie ha revisado su código salvo quien lo escribió, que a veces es la única persona en el mundo que sabe qué hay dentro, y normalmente ya no trabaja en el proyecto.
Si buscas tu dominio en Google y aparecen páginas con caracteres japoneses o títulos que venden Viagra, tienes un problema. Y si no aparece nada raro, ojo, porque los ataques más sofisticados son exactamente esos: los que no ves desde el escritorio de WordPress, pero que Google lleva meses rastreando mientras tú no ves nada fuera de lo normal.
Cada semana me planto en directo en YouTube para contarte lo que se cuece en WordPress, y esta ha venido cargadita. Seguridad a mansalva, dos WordCamps que ya asoman por el horizonte, movimiento serio en el desarrollo del core y la eterna partida entre WordPress y la inteligencia artificial. Te lo resumo todo aquí abajo y, al final de cada bloque, te dejo el vídeo por si te apetece verlo enterito.
WordPress, además de tus entradas y páginas, genera de forma automática varios archivos, que son listados de contenidos, ya sean por categoría, por etiqueta, por fecha, por autor y alguno más. Hoy vamos a por uno en concreto, el de autor, pero sobre todo vamos a ver si hay que indexarlo o no.
Se llaman ARD y OKF, suenan importantes, y como era de esperar ya empiezan a salir los artículos de turno avisándote de que tienes que implementarlos ya mismo en tu web o te quedas atrás.
El botón de atrás del navegador lo usa la gente constantemente, y tu WordPress probablemente lo está entorpeciendo sin que te hayas enterado todavía. La razón tiene nombre: bfcache.
Has actualizado a WordPress 7, te has ido a Ajustes > Conectores, has pegado tu clave de OpenAI, de Anthropic o de Gemini, y desde ese momento cualquier plugin compatible de tu web puede usarla. Cómodo ¿verdad?.
Esta semana los dos directos me han salido casi monográficos sin pretenderlo, porque el asunto que lo ha copado todo es la seguridad de los plugins, que anda más revuelta de lo normal. El lunes,
Creo que todos llevamos meses oyendo lo mismo, que el tráfico orgánico cae, que las IAs se comen las respuestas y que la solución pasa por «mejorar tu E-E-A-T». Pero ¿qué puñetas es eso? y, sobre todo, ¿dónde se toca en WordPress?
