Guía
¿Cómo activar la autenticación en dos pasos en el acceso de WordPress?
El doble factor impide que una contraseña robada baste para entrar a tu WordPress. Cómo activarlo con un plugin o desde el hosting, qué método elegir, cómo guardar códigos de respaldo y a quién aplicarlo.
Para activar la autenticación en dos pasos en WordPress instala un plugin de 2FA de buena reputación (o usa la opción de tu hosting), configúralo para que todos los administradores y editores deban usarlo con una aplicación autenticadora y guarda los códigos de respaldo en un lugar seguro. Así, una contraseña filtrada no basta para entrar. Pruébalo con una segunda sesión antes de cerrar la actual.
Por qué
El riesgo de las contraseñas
Muchos accesos indebidos a WordPress ocurren por contraseñas reutilizadas o filtradas. El doble factor añade un segundo requisito (un código de una aplicación, una llave física) y reduce mucho ese riesgo. Es una de las medidas más efectivas y baratas, recomendada en la guía de endurecimiento de WordPress.
Métodos
Cuál elegir
- Aplicación autenticadora (TOTP): códigos que cambian cada pocos segundos; equilibrio entre seguridad y comodidad.
- Llave de seguridad (hardware o passkey): el más robusto; requiere el dispositivo.
- Códigos por SMS o correo: mejor que nada, pero más vulnerables que los anteriores.
Cómo activarlo
Pasos generales
- Haz una copia de seguridad y asegúrate de tener acceso al hosting por si algo falla.
- Instala un plugin de doble factor con soporte y actualizaciones activas.
- Activa la obligatoriedad para administradores y editores, y ofrece el método a otros roles.
- Cada persona vincula su aplicación autenticadora escaneando un código.
- Genera y guarda los códigos de respaldo.
- Prueba el acceso en una ventana privada antes de cerrar tu sesión actual.
Códigos de respaldo
Qué hacer si pierdes el dispositivo
Guarda los códigos de respaldo en un gestor de contraseñas o en un lugar físico seguro. Define el procedimiento para recuperar el acceso (por ejemplo, desactivar el plugin por SFTP) y quién puede hacerlo. Registra los administradores de emergencia.
A quién aplicarlo
Roles y cuentas
A todos los usuarios con permisos de edición o superiores, y a las cuentas del hosting, del dominio, de Cloudflare y del correo asociado. Cuantas más puertas protejas, mejor. Elimina cuentas sin uso y revisa los permisos. Para equipos y agencias, mira accesos seguros para agencias.
Compatibilidad
Qué probar
Algunos plugins de membresía, WooCommerce o integraciones con login externo pueden interactuar con el doble factor. Prueba el flujo de acceso de clientes y de administradores, y no apliques doble factor obligatorio a clientes de una tienda sin evaluar el impacto en la conversión. Para una visión completa, mira cómo proteger un WordPress de ataques y qué es un WAF.
Ejemplo
Un ejemplo práctico (ilustrativo)
Un sitio instala un plugin de doble factor, lo exige a administradores y editores, guarda los códigos de respaldo y prueba el acceso en una ventana privada antes de cerrar su sesión. Es un escenario hipotético para ilustrar el método, no un caso real ni una promesa de resultados.
Checklist
Checklist de doble factor
- Plugin confiable.
- Obligatorio para roles con permisos.
- Aplicación autenticadora.
- Códigos de respaldo guardados.
- Prueba de acceso.
- Procedimiento de recuperación.
- Cuentas de hosting y dominio protegidas.
Preguntas frecuentes
Lo que suelen preguntar sobre autenticación en dos pasos en WordPress
¿El doble factor ralentiza el acceso?
Añade unos segundos; es un costo pequeño frente al riesgo.
¿Qué app autenticadora uso?
Cualquiera de buena reputación compatible con TOTP.
¿Y si cambio de teléfono?
Transfiere la aplicación antes o usa los códigos de respaldo.
¿Es obligatorio para clientes de una tienda?
No suele recomendarse; sí para administradores.