Inicio de sesión en dos pasos para WordPress: códigos de aplicación, llaves de acceso y cómo no quedarse fuera

De serie, WordPress pide un nombre de usuario y una contraseña, y nada más. El inicio de sesión en dos pasos añade un segundo paso: después de la contraseña, usted escribe un código de una aplicación del móvil o confirma el acceso con una llave de acceso. Entonces la contraseña sola ya no abre el escritorio. Se puede configurar gratis con un plugin del directorio de WordPress.org, y lleva unos minutos por cuenta.

Esta guía explica los tipos de segundo paso, cómo valorarlos, cómo implantarlo en un sitio con varios usuarios y qué tener preparado antes de que alguien pierda un móvil.

Para qué, si la contraseña es fuerte

Una contraseña fuerte impide que la adivinen. No ayuda en tres casos habituales:

• la misma contraseña se usó en otro servicio, y ese servicio la filtró,
• alguien la escribió en una página de acceso falsa enlazada desde un correo,
• estaba guardada en el navegador de un ordenador que usan otras personas.

En todos ellos otra persona conoce la contraseña. Con un segundo paso, conocerla no basta para entrar en el escritorio.

Tres tipos de segundo paso

Un código de una aplicación de autenticación (TOTP). Durante la configuración escanea un código QR con una aplicación del móvil. A partir de entonces la aplicación muestra un código de seis dígitos que cambia cada 30 segundos. El móvil no necesita conexión para ello: el código se calcula a partir de un secreto guardado y de la hora actual. Todas las aplicaciones de autenticación habituales lo admiten.

El punto débil: un código se puede escribir en una página de acceso falsa igual que una contraseña, y un atacante rápido puede usarlo antes de que caduque.

Un código enviado por correo. Es cómodo, porque no hay que instalar ninguna aplicación. Pero es tan fuerte como el buzón. Si el buzón usa la misma contraseña que WordPress, el segundo paso aporta poco.

Una llave de acceso (el estándar WebAuthn). En lugar de escribir un código, confirma con la huella, la cara, el PIN del móvil o una llave de seguridad USB. El navegador vincula cada llave de acceso al dominio en el que se creó. En una página que imita a la suya bajo otro dominio, el navegador ni siquiera ofrece la llave, así que no hay nada que robar. Las llaves de acceso necesitan que el sitio funcione con HTTPS.

Se puede hacer sin un plugin de pago

Sí. El manual de administración avanzada de WordPress.org (en su versión actualizada el 14 de octubre de 2026) remite a plugins del directorio para el inicio de sesión en dos pasos, porque WordPress no lo incluye. Varios plugins gratuitos lo hacen. Un ejemplo: el 19 de octubre de 2026, la página en WordPress.org del plugin Two Factor (de WordPress.org, versión 0.17.0) enumeraba códigos de aplicación de autenticación, códigos por correo y códigos de respaldo, y describía la compatibilidad con llaves de acceso WebAuthn como un complemento aparte.

Antes de instalar uno, busque cuatro cosas en su descripción:

1. Qué métodos de segundo paso admite, y si una aplicación de autenticación es uno de ellos.
2. Si le da códigos de recuperación por si pierde el móvil.
3. Si alguien con acceso al servidor puede desactivar el segundo paso para una cuenta que se ha quedado bloqueada.
4. Si puede exigir el segundo paso a los roles que elija.

Implantarlo sin dejar a nadie fuera

1. Empiece por su propia cuenta. Un buen plugin solo pide códigos después de que usted haya escrito un código válido durante la configuración. Eso confirma que la aplicación genera los códigos correctos antes de que nada dependa de ellos.
2. Guarde los códigos de recuperación fuera del móvil. Un gestor de contraseñas es un buen lugar. Los códigos guardados en el mismo móvil que la aplicación se pierden con él.
3. Decida quién rescata una cuenta bloqueada. Averigüe quién tiene acceso al servidor (usted, su desarrollador, su proveedor de alojamiento) y cómo desactiva allí el segundo paso para una cuenta. Anótelo antes de necesitarlo.
4. Exíjalo a los roles con poder. Administradores, editores y gestores de la tienda pueden cambiar el sitio o ver datos de clientes. Deles unos días para configurarlo, y avíseles antes por correo.
5. Pase las aplicaciones a contraseñas de aplicación. La aplicación móvil de WordPress, o una herramienta que publica a través de la API REST, no pueden mostrar una pantalla de código. WordPress tiene para esto las contraseñas de aplicación: en el perfil del usuario se crea una contraseña aparte para una herramienta, y se puede revocar en cualquier momento.
6. Cierre las sesiones antiguas. WordPress mantiene la sesión iniciada dos días, o 14 días si se marca «Recuérdame». Después de activar el segundo paso, cierre la sesión de la cuenta en sus otros dispositivos para que las sesiones antiguas no se salten la nueva regla.

A qué prestar atención

• El reloj del móvil. Los códigos de la aplicación dependen de la hora. Si de repente dejan de funcionar, compruebe que el móvil ajusta la hora automáticamente.
• Un dominio nuevo. Una llave de acceso funciona en el dominio en el que se creó. Tras trasladar el sitio a una dirección nueva tendrá que añadir otra, así que conserve la aplicación o los códigos de recuperación como segunda vía de entrada.
• Alguien que se va. Borre su cuenta o quítele el rol. Apagar su móvil no cierra su cuenta.
• Protege el inicio de sesión y nada más. Un agujero en un plugin desactualizado no necesita iniciar sesión. Las actualizaciones siguen siendo importantes, como explica el artículo sobre plugins de WordPress desactualizados.

Cómo lo hace Ensomedia Security

Ensomedia Security es un plugin gratuito del directorio de WordPress.org que he creado para ShieldWave. Todo funciona igual sin una cuenta de ShieldWave. Los datos, de su ficha y de su código:

• el segundo paso es un código de una aplicación de autenticación (TOTP), y al configurarlo recibe diez códigos de recuperación,
• el comando de WP-CLI wp shieldwave two-factor disable <user> lo desactiva para una cuenta, así que nadie se queda fuera para siempre,
• las aplicaciones inician sesión con una contraseña de aplicación,
• puede exigir el inicio de sesión en dos pasos a los roles que elija, con un plazo de 0 a 30 días (7 por defecto) para configurarlo,
• las llaves de acceso (WebAuthn) funcionan como segundo paso después de la contraseña, que sigue siendo necesaria. Necesitan HTTPS y la extensión OpenSSL de PHP,
• como el navegador vincula la llave de acceso al dominio del sitio, una página de acceso que imite a la suya se lleva como mucho la contraseña, nunca el segundo paso,
• para añadir o quitar una llave de acceso se pide antes la contraseña o un código válido, y el titular de la cuenta recibe un correo cuando se añade una llave,
• la sección de sesiones muestra dónde está iniciada la cuenta, cierra la sesión en todos los demás lugares o la de todos los usuarios, y fija cuánto dura la sesión de un administrador,
• la protección del inicio de sesión limita los intentos fallidos por dirección (5 por defecto, y después una pausa) y por nombre de usuario desde todas las direcciones (20 por hora por defecto). Los bloqueos son temporales, y las direcciones de confianza nunca se bloquean.

No es un cortafuegos de aplicaciones web completo y no limpia el malware de los archivos. La página del plugin indica qué envía cada servicio opcional, y la guía pantalla por pantalla recorre los ajustes.

Una lista breve para hoy

1. Active el segundo paso en su propia cuenta de administrador y guarde los códigos de recuperación en un gestor de contraseñas.
2. Averigüe cómo desactivarlo para una cuenta cuando alguien pierde el móvil.
3. Exíjalo a todos los roles que pueden cambiar el sitio, con unos días para configurarlo.
4. Dé a las herramientas y aplicaciones sus propias contraseñas de aplicación.
5. Cierre la sesión de su cuenta en los dispositivos que ya no usa.

Revise su sitio desde fuera. Introduzca su dirección en shieldwave.io. Tarda unos 90 segundos y no necesita contraseña ni plugin.