Protege tu sitio web de WordPress con autenticación de dos factores (2FA)

Las contraseñas por sí solas no son suficientes para WordPress. Se roban mediante phishing, se filtran en brechas de datos o las descifran bots. Añadir un segundo factor significa que una contraseña robada ya no basta para entrar en tu sitio.

La forma más sencilla de hacerlo es con el plugin WP 2FA (gratuito, de Melapress). Admite aplicaciones de autenticación, códigos por correo electrónico y ahora también passkeys para iniciar sesión sin contraseña. Puedes exigir 2FA para roles de usuario concretos.

Instala WP 2FA

En tu escritorio de WordPress, ve a Plugins → Añadir nuevo, busca “WP 2FA” e instala el de WP White Security. Actívalo y sigue el asistente de configuración. Puedes exigir 2FA para todos los usuarios, solo para administradores o para roles específicos.

Configura 2FA con una aplicación de autenticación

Este es el método más fiable. Los códigos por correo electrónico pueden retrasarse o acabar en el spam; una aplicación funciona sin conexión.

1. Ve a WP 2FA → 2FA Policies y activa One-time code via 2FA App (TOTP).
2. Ve a Usuarios → Tu perfil, baja hasta la sección WP 2FA y haz clic en Set up two-factor authentication.
3. Elige el método de la aplicación móvil y haz clic en Next.
4. Instala Google Authenticator o Authy en tu teléfono.
5. Escanea el código QR que muestra el plugin (o introduce la clave secreta manualmente).
6. Introduce el código de 6 dígitos que genera tu aplicación para verificar la vinculación.

Listo. Cada inicio de sesión te pedirá ahora un código de tu teléfono.

Configura 2FA con correo electrónico

Antes de usar este método, asegúrate de que el correo transaccional de WordPress funciona de forma fiable. Instala primero FluentSMTP para enviar el correo a través de un servicio SMTP adecuado; de lo contrario, puede que los códigos no lleguen.

1. Ve a WP 2FA → 2FA Policies y activa One-time code via email (HOTP).
2. Ve a Usuarios → Tu perfil, baja hasta WP 2FA y haz clic en Set up two-factor authentication.
3. Elige correo electrónico, introduce tu dirección y haz clic en Send code.
4. Revisa tu bandeja de entrada, busca el código de WP 2FA e introdúcelo para verificar.

Exige 2FA a otros usuarios

En los ajustes de WP 2FA puedes exigir 2FA para todos los usuarios o para roles concretos (editores, autores, etc.) y definir un periodo de gracia antes de que el requisito entre en vigor. Los usuarios nuevos reciben un aviso en su primer inicio de sesión.

Yo como mínimo lo exigiría para los roles de administrador y editor. Cualquiera que pueda publicar contenido o cambiar ajustes supone un riesgo si su cuenta se ve comprometida.

Passkeys (inicio de sesión sin contraseña)

WP 2FA ahora admite passkeys, que sustituyen por completo las contraseñas con una clave criptográfica almacenada en tu dispositivo (teléfono, portátil o llave hardware). Te autenticas con Face ID, Touch ID o un PIN en lugar de escribir una contraseña.

Las passkeys son resistentes al phishing porque no hay ninguna contraseña que robar. Si usas un navegador y un dispositivo modernos, esta es la opción más segura disponible. Para configurarla, ve a los ajustes de WP 2FA y activa el método de passkey; luego registra tu dispositivo en tu perfil de usuario.

Alternativas a WP 2FA

WP 2FA es el plugin que uso yo, pero hay otras opciones:

• Wordfence Login Security – gratuito, ligero, admite aplicaciones TOTP y reCAPTCHA. Buena opción si ya usas Wordfence para la seguridad.
• Two Factor Authentication by miniOrange – admite más de 15 métodos, incluidos SMS, notificaciones push y llaves hardware. El plan gratuito cubre TOTP básico.
• Two Factor (plugin de la comunidad de WordPress) – código abierto, admite TOTP, correo electrónico y llaves hardware U2F. Más orientado a desarrolladores.