Proteger el login de WordPress con 2FA
El formulario de acceso es una de las puertas más atacadas de cualquier WordPress. Los bots prueban contraseñas robadas y combinaciones automáticas durante todo el día; por eso, una contraseña fuerte ya no debería ser tu única defensa. La autenticación de dos factores (2FA) añade una segunda comprobación y puede bloquear el acceso incluso cuando alguien descubre tu contraseña.
Qué es la autenticación de dos factores
Con 2FA, iniciar sesión requiere dos elementos diferentes:
| Factor | Ejemplo | Qué protege |
|---|---|---|
| Algo que sabes | Contraseña | La cuenta frente a accesos básicos |
| Algo que tienes | Código de una app o llave física | La cuenta aunque roben la contraseña |
El segundo factor suele ser un código temporal generado por una aplicación como Google Authenticator, Authy o 1Password. También puedes usar una llave de seguridad compatible con WebAuthn. Los códigos por SMS son mejor que no tener protección, pero una aplicación o una llave física ofrecen una defensa más sólida frente al phishing y el intercambio fraudulento de SIM.
Cómo activar 2FA en WordPress
WordPress no incluye 2FA en el núcleo, así que necesitas una solución mantenida y compatible con tu sitio. Two-Factor es un plugin oficial del directorio de WordPress que permite añadir códigos por correo, TOTP y métodos de respaldo. Instálalo desde Plugins → Añadir nuevo, actívalo y configura el segundo factor desde tu perfil de usuario.
Antes de activarlo para todo el equipo, prueba el proceso con una cuenta de administrador secundaria. Cierra sesión, vuelve a entrar y confirma que el código se acepta correctamente. Guarda los códigos de recuperación en un gestor de contraseñas o en otro lugar seguro; no los dejes en un archivo público ni en el mismo dispositivo que utilizas para acceder.
Configuración recomendada para un equipo
La protección debe cubrir a todas las cuentas con privilegios, no solo a la del propietario:
- Empieza por administradores y editores. Son las cuentas que pueden modificar contenido, plugins o ajustes sensibles.
- Usa cuentas individuales. No compartas un usuario administrador: así puedes retirar el acceso de una persona sin afectar al resto.
- Exige 2FA con una política interna. Documenta el método aceptado y la forma de recuperar una cuenta perdida.
- Elimina usuarios que ya no necesiten acceso. Una cuenta olvidada sigue siendo un objetivo potencial.
- Mantén un administrador de emergencia. Debe tener una contraseña única, 2FA configurado y acceso limitado a las personas responsables.
Qué hacer si pierdes el segundo factor
No borres el plugin ni edites la base de datos a ciegas. Primero utiliza un código de recuperación o el procedimiento documentado por la herramienta. Si todavía tienes acceso desde una sesión abierta, genera nuevos códigos y configura el autenticador en un dispositivo seguro. Si nadie puede entrar, pide al responsable técnico del hosting que haga una copia antes de desactivar temporalmente la comprobación y vuelve a activarla en cuanto recuperes el control.
También conviene revisar los registros de acceso y cambiar la contraseña si sospechas que fue expuesta. La 2FA reduce mucho el riesgo, pero no sustituye las actualizaciones, los backups ni un firewall. Combínala con la guía de seguridad en WordPress y revisa el pilar de Seguridad para completar el checklist.
La comprobación final
Prueba el acceso desde una ventana privada, verifica que el código cambia cada pocos segundos y confirma que los códigos de recuperación funcionan sin reutilizarlos. Después, revisa la lista de usuarios una vez al mes. Convertir el 2FA en una regla para todas las cuentas privilegiadas es una de las medidas más sencillas para reducir los ataques al login de WordPress.