Tu sitio web lleva tres años funcionando sin mayores problemas. Carga, se ve bien, tiene el formulario de contacto. Nadie se ha quejado. Pero debajo de esa fachada opera un conjunto de librerías JavaScript, plugins y dependencias que el desarrollador original instaló en 2021 y que desde entonces no ha tocado nadie. Algunas ya no tienen mantenimiento activo. Otras tienen vulnerabilidades de seguridad documentadas públicamente. Una par de ellas ni siquiera son compatibles con los navegadores que tus clientes usan hoy.
Este no es un problema hipotético. Es el estado real de la mayoría de los sitios web corporativos en Chile que PTW revisa cuando hace un diagnóstico de base técnica. El sitio “funciona”, pero está construido sobre componentes que nadie supervisa y que acumulan riesgo con cada mes que pasa.
Por qué ocurre: el problema de la deuda técnica en sitios web corporativos
La deuda técnica en un sitio web se genera de la misma forma que la deuda financiera: tomando atajos que tienen sentido en el momento, sin calcular el costo acumulado a futuro.
Cuando un desarrollador construye un sitio, incorpora librerías externas para no escribir código desde cero. Un slider, un sistema de formularios, una librería de animaciones, un plugin de Google Maps, una solución de chat. Cada una de estas piezas es código de terceros que tiene su propio ciclo de vida. Cuando el proyecto se entrega y el desarrollador pasa al siguiente cliente, ese ciclo de vida continúa sin que nadie en tu empresa lo esté monitoreando.
El problema se agrava por tres factores que se combinan silenciosamente:
El desarrollador original ya no está. Nadie en tu organización conoce la arquitectura del sitio en profundidad. Si algo falla mañana, el primer paso será entender qué hay instalado antes de poder tocarlo.
El sitio “funciona”, así que nadie lo revisa. Esta es la lógica más peligrosa en el mantenimiento web corporativo. Los problemas de dependencias obsoletas no se manifiestan como errores visibles de inmediato. Se acumulan hasta que un navegador actualiza su motor, Google cambia un criterio de indexación, o un atacante encuentra una vulnerabilidad conocida que nadie parchó.
El equipo comercial mide el sitio por lo que ve, no por lo que ejecuta. Si el sitio se ve bien en el teléfono del gerente, se asume que está en buen estado. La deuda técnica no aparece en pantalla.
Qué significa esto en términos concretos
Para ser específico: en 2021, una vulnerabilidad crítica en Log4j afectó a millones de sistemas que usaban esa librería de Java sin saberlo. En el contexto de sitios web corporativos, el equivalente más frecuente son plugins de WordPress sin actualizar, versiones obsoletas de jQuery con vulnerabilidades XSS documentadas, o librerías npm que quedaron sin mantenedor activo.
Un ejemplo real y verificable: jQuery UI, que se usó masivamente entre 2014 y 2020 para interfaces interactivas, tiene múltiples vulnerabilidades conocidas en versiones anteriores a la 1.13.0. El CVE-2021-41184, por ejemplo, permitía atajos de inyección HTML en versiones anteriores. Si tu sitio fue construido en 2019 y nadie actualizó esa dependencia, esa vulnerabilidad lleva años esperando que alguien la use.
Otro caso concreto: Slick Slider, uno de los plugins de carrusel más instalados en WordPress, dejó de recibir actualizaciones de seguridad activas. Miles de sitios corporativos en Chile todavía lo tienen instalado y activo, porque “el carrusel funciona bien”.
El riesgo silencioso no es solo de seguridad. Las dependencias obsoletas también afectan:
- Velocidad de carga: librerías antiguas generan más peso de JavaScript que las versiones modernas o sus reemplazos actuales.
- Compatibilidad con navegadores: Chrome, Safari y Firefox actualizan sus motores constantemente. Una librería que no se mantiene deja de garantizar compatibilidad.
- SEO técnico: Google penaliza sitios con tiempos de carga elevados y con código que activa advertencias de seguridad en los navegadores. Una dependencia sin soporte puede ser el origen de ambos problemas.
- Experiencia de usuario en dispositivos actuales: los patrones de comportamiento del código antiguo generan inconsistencias en pantallas modernas o en versiones recientes de iOS y Android.
Cómo evaluar el estado real de las dependencias de tu sitio
No es necesario ser desarrollador para hacer un primer diagnóstico. Hay herramientas accesibles que entregan información suficiente para entender si el problema existe y su magnitud.
Herramientas de diagnóstico que puedes usar hoy
Google PageSpeed Insights (pagespeed.web.dev): Ingresa la URL de tu sitio. En la sección “Oportunidades” y “Diagnóstico”, el informe identifica librerías JavaScript con vulnerabilidades conocidas y código que está bloqueando la carga. No es un informe de dependencias completo, pero detecta los problemas más críticos.
Retire.js (retirejs.github.io): Herramienta específica para identificar librerías JavaScript obsoletas o con vulnerabilidades conocidas. Existe como extensión de navegador y como herramienta de línea de comandos. Escanea el código JavaScript que está corriendo en tu sitio y compara contra una base de datos de vulnerabilidades conocidas.
WPScan (si tu sitio usa WordPress): Identifica plugins instalados, sus versiones, y cruza esa información con la base de datos de vulnerabilidades de WordPress. La versión gratuita entrega información suficiente para un primer diagnóstico.
Chrome DevTools → pestaña “Sources”: En cualquier navegador Chrome, presiona F12, ve a la pestaña Network y recarga tu sitio. Filtra por “JS”. Verás todas las librerías JavaScript que se cargan, incluyendo versiones. Luego puedes buscar manualmente si esa versión tiene vulnerabilidades conocidas.
Checklist de revisión para el mantenimiento web corporativo
Puedes aplicar esta lista sin contratar a nadie. Es un punto de partida para entender el estado real de tu activo digital:
- ¿Sabes qué CMS o tecnología usa tu sitio y qué versión está instalada?
- ¿Cuándo fue la última vez que alguien actualizó los plugins o librerías del sitio?
- ¿Tu sitio usa WordPress? ¿Están todos los plugins activos actualizados a la última versión disponible?
- ¿Hay plugins instalados pero desactivados? (siguen siendo un vector de riesgo)
- ¿Tu sitio carga librerías externas desde CDNs de terceros? ¿Esos CDNs siguen activos y son de fuentes confiables?
- ¿El sitio tiene certificado SSL vigente y sin advertencias en el navegador?
- ¿El formulario de contacto funciona correctamente y los datos llegan al correo configurado?
- ¿Hay algún plugin o librería cuyo nombre no reconoces y no sabes para qué sirve?
Si no puedes responder tres o más de estas preguntas, el sitio tiene deuda técnica no documentada. Eso no significa que vaya a explotar mañana, pero sí que está operando sin supervisión.
El criterio correcto para gestionar los riesgos del sitio web de una empresa
La pregunta que PTW escucha con frecuencia es: “¿Pero si no ha pasado nada en tres años, por qué cambiarlo ahora?”
La respuesta está en cómo se construye el riesgo. Una vulnerabilidad en una dependencia no se activa el día que se descubre: se activa el día que alguien decide explotarla. Y ese alguien puede ser un bot automatizado que escanea miles de sitios buscando exactamente esa versión vulnerable de un plugin conocido.
El mantenimiento web corporativo no es una actividad de mejora continua en el sentido cosmético. Es la supervisión activa de un activo digital que representa a tu empresa frente a clientes, prospectos y competidores. Un sitio comprometido o caído en un momento crítico —durante una propuesta, después de una pauta, al día siguiente de un evento comercial— tiene un costo concreto que rara vez se calcula antes de que ocurra.
La hoja de ruta correcta no implica rehacer el sitio cada dos años. Implica tener visibilidad del estado técnico real: qué dependencias están activas, cuáles tienen soporte vigente, cuáles deben reemplazarse y en qué orden de prioridad. Ese criterio estratégico es lo que diferencia un sitio gestionado de uno que simplemente existe.
Para las empresas que trabajan con PTW en mantención web corporativa, este proceso forma parte de la supervisión mensual: auditoría de dependencias, actualización de librerías con soporte activo, y documentación del estado técnico del sitio. No como un servicio estético, sino como la gestión básica de un activo digital que tiene que seguir funcionando correctamente.
Si después de leer esto no tienes claridad sobre el estado técnico real de tu sitio, el punto de partida lógico es el diagnóstico digital de PTW. En una revisión estructurada se identifica exactamente qué dependencias están desactualizadas, qué riesgos existen y qué tiene sentido resolver primero. Sin supuestos ni recomendaciones genéricas.