O que atopamos ao herdar un WordPress abandonado por outra axencia
Hai cousa de dous meses chamounos un cliente que levaba tres anos traballando con outra axencia (non direi cal, aínda que me pica a lingua). A axencia pechara sen previo aviso — o dono simplemente deixou de contestar correos — e o cliente quedou cunha tenda online que levaba semanas fallando no checkout. Pediunos que a revivísemos.
Primeiro problema: ninguén tiña as credenciais do hosting. Nin o cliente, nin nós, e polo visto tampouco ninguén vivo. Tardamos catro días só en recuperar o acceso ao panel, entre tickets ao provedor e un intercambio de capturas de pantalla de facturas antigas que demostrasen que o dominio era seu.
Cando por fin entramos ao servidor a cousa foi a peor. WordPress 5.4 (a versión actual daquela rondaba a 6.4), dezasete plugins instalados dos que catro xa nin existían no repositorio oficial, e un plugin de pagos que gardaba as claves da pasarela en texto plano dentro dun arquivo config-old.php que ninguén borrara. Atopamos tamén un wp-config.php.bak accesible por URL directa, sen protección ningunha. Ese arquivo levaba alí, a ollo, dous anos.
O que máis me molesta destes casos non é o desastre técnico en si, iso arránxase, custa cartos e tempo, pero arránxase. O que me molesta é que o cliente pagou mantemento mensual durante tres anos e ninguén tocou nada diso. Nin unha actualización de seguridade. A factura dicía “mantemento e soporte” e o único que facían, ata onde puidemos ver nos rexistros de acceso, era responder algún ticket cando algo se rompía de forma visible.
Migramos a tenda a un hosting novo, refixemos o tema desde cero apoiándonos no único plugin que si merecía a pena conservar, e dixémoslle ao cliente algo que non sempre se di en voz alta neste sector: un contrato de mantemento sen que el poida ver que se fixo non vale para nada. Agora ten un documento compartido onde anotamos cada actualización, cada backup e cada incidente, con data e quen o fixo. Custoulle setecentos euros de máis ese mes pola urxencia. Prefire iso a outra sorpresa.
E logo está a parte incómoda de cobrar por desfacer o traballo doutro. Facturamos vinte e dúas horas só na fase de “entender que demo hai aquí” antes de tocar unha soa liña, e este cliente entendeuno, pero non sempre pasa así. Algunha vez tocounos explicar que non, que non imos “simplemente arranxalo” en dúas horas cando debaixo hai unha base de datos con táboas orfas dun plugin de hai cinco versións e ninguén sabe para que servían.
Non teño unha fórmula limpa para evitar isto de todo. O que si facemos agora, cando alguén nos pide asumir o mantemento dun proxecto que non montamos nós, é pedir acceso de só lectura ao hosting antes de dar prezo, para facernos unha idea real do estado da casa antes de comprometernos a nada. A metade das veces o cliente nin sequera sabe como dárnolo, e iso xa che di bastante sobre quen levaba as rendas ata entón.
Cantas webs de pemes en España terán agora mesmo un wp-config.php.bak público esperando a que alguén as atope, e non precisamente para arranxalas?