Guía · WordPress
Limitar intentos de acceso y proteger wp-login en WordPress
Cómo reducir ataques de fuerza bruta en el inicio de sesión de WordPress: límite de intentos, contraseñas, doble verificación y bloqueo por servidor o WAF.
El formulario de inicio de sesión de WordPress recibe intentos automáticos de adivinar contraseñas. No necesitas ocultarlo; necesitas que cada intento tenga un coste: contraseñas robustas, límite de intentos, verificación en dos pasos y, si es posible, un filtro antes de llegar a WordPress.
Capas
Medidas por capas
| Capa | Medida |
|---|---|
| Cuenta | Contraseña larga y única; no usar el usuario «admin» |
| Aplicación | Límite de intentos fallidos y bloqueo temporal |
| Doble verificación | Código adicional en cuentas con permisos altos |
| Servidor o WAF | Reglas por IP, país o tasa de peticiones |
| Formulario | Desafío anti-bots en el inicio de sesión |
Pasos
Cómo aplicarlo
- Revisa los usuarios administradores y cambia nombres obvios.
- Instala o configura un plugin de seguridad que limite intentos; revisa cómo elegir uno.
- Activa la doble verificación, según esta guía.
- Si tu hosting o Cloudflare ofrecen reglas, limita las peticiones a wp-login.php.
- Revisa el registro de accesos fallidos cada cierto tiempo.
Evitar
Medidas que dan falsa seguridad
Cambiar la dirección de wp-login.php puede reducir ruido, pero no sustituye las medidas anteriores y puede romper plugins que esperan la ruta estándar. Bloquear todos los países salvo uno puede dejarte fuera si viajas o usas una VPN. Si limitas intentos, define un modo de recuperación para ti: un correo válido y acceso por el panel del hosting.
Qué vigilar
Señales de un ataque en curso
- Muchos intentos fallidos desde distintas IP en poco tiempo.
- Aumento de carga del servidor sin aumento de visitas reales.
- Correos de restablecimiento de contraseña que no pediste.
- Usuarios nuevos que no creaste.
Si crees que alguien entró, sigue qué hacer si tu WordPress fue hackeado. Un firewall de aplicación ayuda: qué es un WAF.
Cuando empieces a bloquear intentos, vigila también los falsos positivos. Una oficina con una sola dirección IP puede quedar bloqueada si varias personas fallan sus contraseñas. Define la duración de los bloqueos y un procedimiento para desbloquear a un usuario legítimo. Si tu sitio usa Cloudflare o un servicio similar, aplicar la regla allí evita que el tráfico malicioso llegue siquiera a tu servidor, lo que también reduce carga.
Lista de comprobación final:
- Activa límite de intentos con bloqueo temporal.
- Habilita doble verificación en administradores.
- Guarda un método de recuperación de acceso.
Resumen
En resumen
- Cómo aplicarlo: Revisa los usuarios administradores y cambia nombres obvios.; Instala o configura un plugin de seguridad que limite intentos; revisa cómo elegir uno.
- Medidas que dan falsa seguridad: Cambiar la dirección de wp-login.php puede reducir ruido, pero no sustituye las medidas anteriores y puede romper plugins que esperan la ruta estándar.
- Señales de un ataque en curso: Muchos intentos fallidos desde distintas IP en poco tiempo.; Aumento de carga del servidor sin aumento de visitas reales.
Preguntas frecuentes
Lo que suelen preguntar sobre proteger wp-login
¿Un CAPTCHA en el login es suficiente?
Reduce bots simples, pero no reemplaza contraseñas fuertes ni doble verificación.
¿Puedo bloquearme a mí mismo?
Sí. Guarda un método de recuperación y conoce cómo desactivar plugins por FTP.
¿Conviene cambiar el nombre de usuario administrador?
Sí, evitar nombres obvios dificulta ataques de adivinación, y las contraseñas largas y únicas completan la medida.