Web lenta = web en riesgo: Core Web Vitals, salud y migración a hosting rápido

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Cuando una tienda tarda cinco segundos en cargar, casi todo el mundo piensa en conversión perdida. Pocos piensan en seguridad. Sin embargo, en la mayoría de investigaciones que abrimos, la caída de rendimiento fue la primera señal que nadie supo interpretar. Por eso conviene tratar la velocidad como un indicador de salud, y mejorar Core Web Vitals en WordPress como algo más que una tarea de marketing: es una forma temprana de detectar que algo va mal en el servidor, en el código o en el propio contenido de tu web. Este artículo forma parte de nuestra guía pilar sobre seguridad y hardening de WordPress, donde encajan todas estas piezas.

Por qué mejorar Core Web Vitals en WordPress también es una cuestión de seguridad

Los Core Web Vitals de Google miden tres cosas concretas: LCP (cuánto tarda en pintarse el elemento principal), INP (cómo de rápido responde la página a la interacción del usuario) y CLS (cuánto se mueve el diseño mientras carga). Son métricas de experiencia, sí, pero se degradan por causas que también son banderas rojas de seguridad.

• Procesos que consumen CPU sin motivo aparente. Un LCP que empeora de golpe puede deberse a minería de criptomonedas inyectada, a un cron malicioso o a un plugin secuestrado que ejecuta tareas en segundo plano.
• Scripts de terceros que no reconoces. Si el INP se dispara y en el waterfall aparecen dominios extraños, puede tratarse de un skimmer de tarjetas o de una redirección tipo doorway.
• Base de datos hinchada. Tablas de logs, spam o entradas basura creadas por un ataque de fuerza bruta ralentizan cada consulta y arrastran el TTFB.

Dicho de otro modo: una web que se vuelve lenta sin que hayas cambiado nada merece una auditoría, no solo un plugin de caché.

El caso de la fuerza bruta silenciosa

Uno de los patrones más frecuentes es la degradación causada por intentos masivos de acceso. Miles de peticiones contra wp-login.php saturan PHP-FPM y la base de datos, y el resultado que ve el cliente es simplemente «la web va lenta». Antes de invertir en hardware, conviene descartar este vector: lo explicamos en detalle en fuerza bruta a wp-login.php: cómo detectarla y frenarla, y puedes hacer una primera revisión con nuestra guía práctica para proteger wp-admin de la fuerza bruta. Muchas veces, al cortar el abuso, el rendimiento se recupera solo.

Diagnóstico: separa el problema de rendimiento del problema de salud

Antes de tocar nada, mide con datos reales. Recomendamos combinar métricas de laboratorio y de campo:

• Datos de campo (usuarios reales) desde el informe de experiencia de Chrome o desde Lighthouse. Te dicen qué sufre tu tráfico de verdad, no una simulación.
• Waterfall de red para identificar qué recurso bloquea el renderizado y qué dominios intervienen. Si aparece un script que no desplegaste tú, párate ahí.
• Registros del servidor. Picos de peticiones, IPs repetidas o rutas raras suelen explicar tanto la lentitud como un intento de intrusión.

Con ese diagnóstico ya puedes decidir: si la web está sana pero mal optimizada, toca afinar; si hay indicios de compromiso, toca contener antes de optimizar. Optimizar una web infectada solo hace que el ataque cargue más rápido.

Optimización que sí mueve la aguja

Para una instalación limpia de WordPress, estas palancas son las que de verdad mejoran las métricas sin maquillar el problema:

• Caché de página y de objetos bien configurada, con purga automática al publicar.
• Imágenes en formatos modernos (WebP/AVIF), con tamaño explícito para evitar saltos de CLS.
• Menos plugins, mejores plugins. Cada complemento es superficie de ataque y peso extra. Auditar y reducir suele mejorar LCP e INP a la vez.
• PHP actualizado (8.1 o superior) y OPcache activo. Una versión antigua es lenta y, sobre todo, insegura.
• Base de datos limpia: eliminar revisiones, transients caducados y spam reduce la carga por consulta.

Cuándo migrar a un hosting rápido (y qué mirar de verdad)

Si has optimizado y el TTFB sigue alto, el problema está en el hosting. La migración a una infraestructura rápida no va solo de velocidad: un buen proveedor también aporta aislamiento entre cuentas, cortafuegos de aplicación, backups verificables y versiones de PHP soportadas. Al elegir, valora:

• Aislamiento real entre sitios: en hostings compartidos mal segmentados, un vecino comprometido puede arrastrarte (lo llamamos contaminación cruzada, y lo vemos con frecuencia).
• WAF y reglas actualizadas, no un firewall decorativo. Consulta el Wordfence Learning Center para entender qué debería frenar un buen filtro.
• Backups fuera del propio servidor y con restauración probada. Un backup que no se ha restaurado nunca no es un backup.
• Registro de accesos accesible, imprescindible para investigar cualquier incidente.

Y una regla de oro: nunca migres una web infectada tal cual. Estarías clonando el problema. Limpia, verifica y endurece según las recomendaciones oficiales de hardening de WordPress.org, y solo entonces mueve el sitio.

Vulnerabilidades conocidas: no todo es configuración

Parte de la lentitud y de los compromisos provienen de fallos ya catalogados en componentes que usas a diario. Antes de dar por sana una web, cruza tus plugins y temas con las bases de vulnerabilidades públicas como la NVD del NIST. Si un plugin con una vulnerabilidad conocida está siendo explotado, ningún ajuste de caché lo va a arreglar: la solución es actualizar, sustituir o retirar el componente.

La conclusión práctica

Una web lenta no siempre está en riesgo, pero una web en riesgo casi siempre acaba lenta. Trata Core Web Vitals como un chequeo periódico: si empeoran sin causa evidente, investiga antes de comprar más recursos. Optimiza lo que esté limpio, contén lo que esté comprometido y migra solo lo que ya esté sano y endurecido. En PathSentinel atendemos desde pymes y e-commerce hasta entornos exigentes de banca y tiendas que manejan datos de tarjeta, así que si sospechas que la lentitud esconde algo más, no lo dejes pasar: escríbenos y lo revisamos contigo.