Configurar la verificación en dos pasos para WordPress

Con la verificación en dos pasos (2FA), al iniciar sesión necesita algo más además de su contraseña: normalmente un código de seis cifras generado por una aplicación en su teléfono. Así, alguien que tenga su contraseña todavía no podrá acceder a la administración de su sitio. WordPress no incluye esta función de serie. Se añade con un plugin. Aquí le explicamos cómo hacerlo y qué hacer si pierde su teléfono.

¿Qué plugin elegir?

Hay muchos plugins para la verificación en dos pasos, y muchos plugins de seguridad también la incluyen. Uno sencillo es Two Factor, creado por colaboradores del propio WordPress. Lo usamos como ejemplo a continuación; otros plugins funcionan de forma similar. Al elegir, tenga en cuenta:

• la compatibilidad con una aplicación de autenticación (códigos según el estándar TOTP);
• los códigos de respaldo por si pierde su teléfono;
• si puede hacer obligatoria la verificación en dos pasos para los administradores. Two Factor no lo permite por sí mismo: allí cada usuario la activa en su propio perfil;
• que el plugin siga recibiendo actualizaciones y esté probado con su versión de WordPress.

Utilice solo uno. Si ya tiene un plugin de seguridad con verificación en dos pasos, actívela en ese plugin.

Configuración con Two Factor

1. Instale y active el plugin desde Plugins > Añadir nuevo plugin.
2. Vaya a Usuarios > Perfil y desplácese hasta el bloque de verificación en dos pasos.
3. Elija la aplicación de autenticación. Escanee el código QR con la aplicación de su teléfono e introduzca el código para comprobarlo.
4. Genere códigos de respaldo. Son diez códigos que puede usar una sola vez cada uno. Guárdelos en su gestor de contraseñas o en papel, no solo en su teléfono.
5. Elija la aplicación como método predeterminado y haga clic en Actualizar perfil.
6. Cierre sesión y vuelva a iniciarla para comprobar que funciona.

Pida a cada uno de los demás administradores y editores que haga lo mismo en su propio perfil. Un sitio es tan fuerte como su cuenta de administrador más débil.

Teléfono perdido o teléfono nuevo

• Teléfono nuevo: transfiera la aplicación antes de borrar el teléfono antiguo, o vuelva a configurar la aplicación en su perfil.
• Teléfono perdido: inicie sesión con uno de sus códigos de respaldo y, a continuación, vuelva a configurar la aplicación. Genere también nuevos códigos de respaldo.
• Sin códigos de respaldo: otro administrador puede desactivar la verificación en dos pasos de su cuenta en Usuarios. Si es usted el único administrador, desactive el plugin temporalmente. Cómo hacerlo se explica en el paso 3 de No puedo iniciar sesión en WordPress: ¿qué hago? Inicie sesión, vuelva a configurar la aplicación y active de nuevo el plugin.

Passkeys

Con una passkey inicia sesión con su huella dactilar, su rostro o una llave de seguridad. Una passkey solo funciona en el sitio auténtico, por lo que un sitio falso no puede interceptarla. Two Factor no incluye passkeys por sí mismo; para ello existe un plugin complementario independiente, y otros plugins las traen integradas. Encontrará más información sobre las passkeys en Gestor de contraseñas y passkeys: así protege su inicio de sesión.

Otros aspectos a tener en cuenta

• Las contraseñas de aplicación (en Usuarios > Perfil) están pensadas para aplicaciones e integraciones y pueden saltarse el segundo paso. Créelas solo cuando sea necesario y revóquelas cuando ya no utilice la integración.
• La verificación en dos pasos no sustituye a una buena contraseña. Utilice una contraseña larga y única generada por un gestor de contraseñas.
• Proteja también la propia página de inicio de sesión: consulte Proteger el wp-login.php de WordPress y Seguridad adicional para WordPress: permisos, wp-config y .htaccess.

También alrededor de su sitio

Un intruso que se haga con su panel de hosting o su buzón de correo no necesita su contraseña de WordPress. Por eso, active también la verificación en dos pasos en:

• Mi WebOké: Configurar la verificación en dos pasos en Mi WebOké y una aplicación de autenticación;
• DirectAdmin: Configurar la autenticación en dos pasos (Two-Step Authentication);
• su buzón de correo y su gestor de contraseñas.

Más información

• Iniciar sesión de forma segura (Veilig Internetten, Gobierno de los Países Bajos, en neerlandés)
• Ataques de fuerza bruta (developer.wordpress.org, en inglés)

¿Quiere aprender más? Siga el curso gratuito de WordPress, lección 7.3 Inicio de sesión: contraseñas, verificación en dos pasos y fuerza bruta.