Después de tantos años trabajando con servidores, alojamientos web y páginas WordPress, hay algo que sigo viendo con demasiada frecuencia: muchos propietarios de páginas web se preocupan por actualizar sus plugins y mantener WordPress al día, pero siguen protegiendo el acceso a su web únicamente con una contraseña.
Y, desde mi punto de vista, es uno de esos errores que pueden salir bastante caros.
Podemos utilizar una contraseña de veinte caracteres, combinar letras, números y símbolos y pensar que tenemos todo bajo control. Pero ¿qué ocurre si esa contraseña acaba filtrándose en una brecha de seguridad o la introducimos sin darnos cuenta en una página de phishing?
Pues que alguien podría acceder a nuestro WordPress sin necesidad de explotar ninguna vulnerabilidad del servidor, del tema o de los plugins.
Precisamente por eso considero que activar la autenticación en dos pasos en WordPress debería ser una de las primeras medidas de seguridad al poner en marcha cualquier página web.
La autenticación de dos factores, también conocida como 2FA, añade una segunda comprobación al inicio de sesión. Aunque alguien consiga nuestro usuario y contraseña, necesitará superar una verificación adicional para entrar.
Y lo mejor es que configurarla no tiene por qué ser complicado ni costarnos dinero.
En esta guía voy a explicar cómo activar el 2FA en WordPress paso a paso utilizando VulnCue, un plugin gratuito que incorpora autenticación en dos pasos y herramientas de análisis de seguridad, sin necesidad de instalar otro complemento exclusivo para proteger el inicio de sesión.
También veremos cómo exigir esta protección a los administradores, qué hacer si perdemos el teléfono y qué otras medidas conviene aplicar para mantener nuestro WordPress seguro.
¿Qué es la autenticación en dos pasos (2FA) en WordPress?
La autenticación en dos pasos es un sistema de seguridad que añade una verificación adicional al proceso habitual de inicio de sesión.
Normalmente, cuando entramos en WordPress, introducimos nuestro nombre de usuario o correo electrónico y una contraseña. Si los datos son correctos, podemos acceder directamente al escritorio de administración.
Con la autenticación de dos factores, el proceso cambia ligeramente.
Primero introducimos nuestras credenciales habituales y, después, debemos confirmar nuestra identidad mediante un segundo factor.
Uno de los métodos más utilizados consiste en generar un código temporal desde una aplicación instalada en nuestro teléfono móvil, como Google Authenticator o Microsoft Authenticator.
De esta manera, aunque alguien conozca nuestra contraseña, no podrá completar el inicio de sesión habitual sin disponer también del segundo factor.
Conviene aclarar que el 2FA no convierte WordPress en una plataforma invulnerable. Su objetivo es añadir una barrera frente a los accesos no autorizados, especialmente cuando las credenciales han sido robadas o comprometidas.
Tampoco todos los sistemas de autenticación en dos pasos funcionan exactamente igual. Algunos utilizan aplicaciones que generan códigos temporales, otros envían mensajes SMS y determinadas soluciones permiten utilizar llaves físicas de seguridad.
En esta guía nos centraremos en la autenticación mediante códigos temporales, porque es el sistema que incorpora VulnCue y permite proteger el acceso sin depender de mensajes de texto.
Cómo funciona la doble autenticación
Imaginemos que tenemos una página WordPress y queremos entrar en su panel de administración.
Sin autenticación en dos pasos, el proceso es bastante sencillo:
- Abrimos la página de inicio de sesión de WordPress.
- Introducimos nuestro usuario y contraseña.
- Si las credenciales son correctas, accedemos al escritorio.
Cuando activamos el 2FA, aparece una comprobación adicional después de validar la contraseña.
En el caso de la autenticación mediante TOTP (Time-based One-Time Password), utilizamos una aplicación que genera contraseñas temporales basadas en el tiempo.
Durante la configuración inicial, WordPress y nuestra aplicación de autenticación comparten una clave secreta mediante un código QR.
A partir de ese momento, ambos pueden generar o comprobar los códigos correspondientes sin necesidad de enviar cada código a un servidor externo.
Cuando queremos iniciar sesión, abrimos la aplicación, consultamos el código temporal y lo introducimos en WordPress.
Si el código es válido, podemos completar el acceso.
Estos códigos suelen cambiar cada treinta segundos, por lo que uno que hayamos utilizado anteriormente dejará de ser válido después de su periodo de vigencia.
La diferencia fundamental es que conocer la contraseña ya no resulta suficiente para completar el inicio de sesión.
Eso sí, debemos seguir teniendo cuidado con los ataques de phishing. Un atacante que consiga interceptar un código temporal y utilizarlo inmediatamente podría llegar a superar este tipo de autenticación. Por eso, aunque el TOTP mejora mucho la protección frente al robo de contraseñas, no ofrece la misma resistencia al phishing que los métodos criptográficos basados en FIDO2 o WebAuthn.
Por qué una contraseña segura no siempre es suficiente
Siempre recomiendo utilizar contraseñas largas, únicas y difíciles de adivinar.
Es una medida básica de seguridad que no deberíamos descuidar.
Sin embargo, después de años trabajando con servidores y alojamientos web, tengo claro que la fortaleza de una contraseña no garantiza que nunca termine en manos equivocadas.
Podemos elegir una contraseña perfectamente segura desde el punto de vista técnico, pero eso no impide que se filtre porque la hemos reutilizado en otro servicio, porque nuestro ordenador esté infectado o porque hayamos caído en una campaña de phishing.
También puede ocurrir que alguien consiga acceder al gestor de contraseñas o a un dispositivo donde tenemos nuestras credenciales almacenadas.
En cualquiera de estas situaciones, el problema deja de ser lo difícil que resulta adivinar la contraseña.
El atacante ya la conoce.
La autenticación en dos pasos introduce una protección adicional precisamente para estas circunstancias.
Aunque las credenciales sean correctas, el inicio de sesión normal no podrá completarse sin superar también la segunda comprobación.
Por eso no considero el 2FA una alternativa a las contraseñas seguras, sino un complemento imprescindible.
Contraseña robusta y autenticación en dos factores deben trabajar juntas.
¿Por qué deberías activar el 2FA en tu WordPress?
WordPress se utiliza para crear desde pequeños blogs personales hasta tiendas online, páginas corporativas y proyectos que gestionan información de clientes.
Pero todos ellos comparten una característica: necesitan proteger sus cuentas de acceso.
Cuando alguien consigue entrar con permisos de administrador, puede modificar configuraciones, instalar plugins, crear usuarios, alterar contenidos y realizar muchas otras acciones que comprometan el funcionamiento de la página.
Por eso, proteger el acceso a WordPress no debería considerarse una tarea secundaria.
Personalmente, me parece curioso que todavía existan administradores que dediquen tiempo a instalar herramientas de seguridad, configurar copias de seguridad y actualizar sus extensiones, pero no activen una medida tan sencilla como el 2FA.
No significa que esas otras medidas no sean importantes. Lo son, y mucho.
El problema aparece cuando pensamos que una instalación actualizada ya está suficientemente protegida frente a cualquier tipo de ataque.
Una web puede estar completamente actualizada y seguir siendo vulnerable a un acceso no autorizado si alguien consigue las credenciales de uno de sus administradores.
La autenticación en dos pasos permite reducir ese riesgo sin modificar el funcionamiento habitual de la página pública.
Protección frente al robo de contraseñas y al phishing
Uno de los principales motivos para activar la doble autenticación es protegernos frente al uso de credenciales robadas.
Los atacantes no siempre necesitan encontrar una vulnerabilidad en WordPress para intentar comprometer una página.
En ocasiones, les basta con disponer de un nombre de usuario y una contraseña válidos.
Estas credenciales pueden proceder de filtraciones de otros servicios, campañas de phishing, equipos infectados o contraseñas reutilizadas.
También existen ataques automatizados que prueban combinaciones de credenciales conocidas contra diferentes páginas de inicio de sesión. Esta técnica se conoce como credential stuffing.
Cuando activamos el 2FA, añadimos una dificultad importante a estos intentos de acceso.
Una contraseña correcta deja de ser suficiente para completar el inicio de sesión convencional.
Ahora bien, es importante comprender sus límites.
La doble autenticación no evita que alguien intente adivinar una contraseña y tampoco sustituye las medidas específicas para limitar intentos de acceso, detectar actividad sospechosa o bloquear ataques automatizados.
Además, los códigos temporales pueden ser capturados mediante páginas de phishing preparadas para utilizarlos en tiempo real.
Por eso recomiendo combinar el 2FA con contraseñas únicas, un gestor de contraseñas fiable y medidas de protección frente a intentos masivos de inicio de sesión.
La importancia del 2FA en tiendas WooCommerce y webs de empresas
Hay determinados proyectos en los que considero especialmente importante activar la autenticación en dos pasos desde el primer momento.
Las tiendas WooCommerce son un buen ejemplo.
En una tienda online podemos encontrar administradores, gestores de tienda, editores y otros usuarios con permisos para consultar pedidos, modificar productos o acceder a información comercial.
Si una de esas cuentas termina comprometida, las consecuencias pueden ir bastante más allá de cambiar el contenido de una página.
Un atacante podría manipular productos, modificar configuraciones o consultar información a la que tenga acceso ese usuario.
Algo parecido sucede en las páginas corporativas, las webs de academias y los proyectos que trabajan con información de clientes.
Mi recomendación es sencilla: cuanto mayores sean los permisos de una cuenta, más importante resulta exigir una segunda comprobación de identidad.
Esto no significa que debamos obligar automáticamente a todos los compradores de una tienda a utilizar códigos temporales.
En muchos casos, hacerlo introduciría fricción innecesaria en la experiencia de compra.
Lo razonable es empezar por las cuentas con permisos elevados y estudiar después si otros perfiles necesitan también esa protección.
VulnCue permite aplicar precisamente este criterio, ya que dispone de opciones para exigir la autenticación en dos factores según los roles de usuario.
Cómo activar la autenticación en dos pasos en WordPress con VulnCue
Una de las razones por las que algunos administradores todavía no utilizan el 2FA es que piensan que su configuración va a resultar complicada.
Otros creen que necesitarán instalar varios plugins, contratar un servicio adicional o realizar cambios avanzados en el servidor.
Afortunadamente, no tiene por qué ser así.
VulnCue permite activar la autenticación en dos pasos de forma gratuita desde el propio WordPress, utilizando una aplicación compatible con códigos TOTP.
Además, incorpora funciones de análisis de seguridad, por lo que podemos utilizar una misma herramienta para revisar distintas configuraciones de nuestra instalación y proteger el acceso a las cuentas.
Vamos a ver cómo configurarlo.
Paso 1. Instalar y activar VulnCue gratuitamente
Lo primero que necesitamos es instalar el plugin.
Para hacerlo, accedemos al escritorio de WordPress con una cuenta que tenga permisos para gestionar plugins.
Después seguimos estos pasos:
- Entramos en Plugins → Añadir nuevo plugin.
- Utilizamos el buscador para localizar VulnCue.
- Identificamos el plugin en el repositorio oficial.
- Hacemos clic en Instalar ahora.
- Cuando termine la instalación, pulsamos Activar.
También podemos encontrarlo directamente en el repositorio oficial:
Descargar VulnCue desde WordPress.org
Una vez activado, encontraremos un nuevo apartado de VulnCue en el menú lateral de WordPress.
El plugin realiza un primer análisis de seguridad que permite detectar distintas configuraciones potencialmente inseguras y otros problemas de mantenimiento.
Pero, para lo que nos interesa en este tutorial, vamos a centrarnos en su función de autenticación en dos pasos.
No es necesario crear una cuenta en VulnCue para utilizar el 2FA.
Esta característica funciona directamente en nuestra instalación de WordPress.
Paso 2. Acceder al perfil de usuario de WordPress
Con el plugin instalado, el siguiente paso consiste en acceder al perfil del usuario para el que queremos activar la doble autenticación.
Podemos hacerlo desde:
Usuarios → Perfil
Dentro de esta pantalla buscamos el apartado de autenticación en dos factores, que puede aparecer identificado como Two-Factor Authentication o con su traducción al español.
Aquí encontraremos las opciones necesarias para configurar la autenticación mediante una aplicación.
Un detalle importante es que cada usuario debe configurar su propio segundo factor.
Esto tiene bastante sentido desde el punto de vista de la seguridad.
No sería recomendable que todos los administradores compartiesen la misma aplicación de autenticación o los mismos códigos.
Lo correcto es que cada cuenta disponga de sus propias credenciales y de su propio método de verificación.
De esta manera, podemos gestionar individualmente los accesos y reducir los problemas asociados al uso de cuentas compartidas.
Paso 3. Escanear el código QR con Google Authenticator
Ahora necesitamos una aplicación de autenticación compatible con TOTP.
Podemos utilizar, por ejemplo:
- Google Authenticator.
- Microsoft Authenticator.
- Authy.
- Otras aplicaciones compatibles con el estándar TOTP.
Para este ejemplo utilizaremos Google Authenticator, aunque el procedimiento es muy parecido con las demás.
Primero instalamos la aplicación en nuestro teléfono móvil, si todavía no la tenemos.
Después abrimos la configuración del 2FA en nuestro perfil de WordPress.
VulnCue mostrará un código QR que debemos escanear con la aplicación.
En Google Authenticator podemos utilizar la opción de añadir una cuenta y seleccionar el escaneo mediante cámara.
Apuntamos al código QR que aparece en WordPress y la aplicación añadirá una nueva entrada correspondiente a nuestra cuenta.
A partir de ese momento comenzará a generar códigos temporales.
Es importante que el reloj del dispositivo esté correctamente sincronizado, porque los códigos TOTP dependen del tiempo.
También debemos tratar el código QR como información confidencial.
Cualquier persona que consiga copiar el secreto utilizado para configurar el 2FA podría generar los mismos códigos temporales.
Por tanto, no conviene compartir capturas de ese QR ni enviarlo por correo electrónico.
Paso 4. Confirmar la activación del 2FA
Una vez añadido el código QR a nuestra aplicación de autenticación, debemos confirmar que la configuración funciona correctamente.
Para hacerlo, consultamos el código temporal que aparece en la aplicación y lo introducimos en el campo de verificación correspondiente de WordPress.
Si el código es correcto, VulnCue permitirá completar la activación del segundo factor.
Desde ese momento, nuestra cuenta tendrá habilitada la autenticación en dos pasos para el inicio de sesión habitual.
La próxima vez que introduzcamos nuestro usuario y contraseña, tendremos que realizar también la comprobación con el código temporal.
Este paso es importante porque garantiza que la aplicación se ha vinculado correctamente antes de empezar a utilizar el sistema.
Si el código no funciona, conviene revisar que estamos seleccionando la cuenta correcta dentro de la aplicación y que la fecha y la hora del teléfono están sincronizadas.
No recomiendo cerrar inmediatamente todas las sesiones abiertas después de configurar el 2FA.
Es preferible comprobar primero el funcionamiento del nuevo acceso desde otra ventana del navegador, manteniendo una sesión de administración disponible por si necesitamos corregir algún problema.
Paso 5. Guardar los códigos de recuperación
Este es uno de los pasos más importantes de todo el proceso.
Cuando activamos la autenticación en dos pasos con VulnCue, disponemos de diez códigos de recuperación de un solo uso.
Su finalidad es permitirnos iniciar sesión si algún día no podemos acceder a nuestra aplicación de autenticación.
Por ejemplo, podemos necesitarlos si:
- Perdemos el teléfono móvil.
- Nuestro dispositivo deja de funcionar.
- Cambiamos de teléfono sin transferir las cuentas.
- Eliminamos accidentalmente la aplicación de autenticación.
- Dejamos de tener acceso al segundo factor configurado.
Mi recomendación es guardar estos códigos inmediatamente después de activar el 2FA.
Podemos utilizar un gestor de contraseñas fiable o conservarlos en un lugar seguro que no dependa exclusivamente del teléfono donde tenemos instalada la aplicación.
Lo que no deberíamos hacer es guardarlos en un archivo sin protección dentro de una carpeta compartida o enviárnoslos mediante un correo electrónico sin valorar los riesgos.
También debemos recordar que cada código de respaldo solo puede utilizarse una vez.
Si consumimos varios códigos, conviene revisar los que siguen disponibles y generar nuevos cuando la herramienta lo permita.
Los códigos de recuperación forman parte de la seguridad del sistema. Debemos protegerlos igual que protegeríamos una contraseña.
Paso 6. Comprobar que el doble factor funciona correctamente
Después de activar el 2FA, recomiendo realizar una prueba completa del inicio de sesión.
Es algo que siempre conviene hacer cuando modificamos cualquier mecanismo de autenticación.
Podemos abrir una ventana privada del navegador y acceder a la página habitual de inicio de sesión de WordPress.
Introducimos nuestro usuario y contraseña.
Si todo está configurado correctamente, aparecerá la comprobación adicional del segundo factor.
Abrimos nuestra aplicación de autenticación, consultamos el código temporal y lo introducimos.
Si podemos acceder al escritorio, habremos comprobado que el sistema funciona.
Esta prueba puede parecer innecesaria, pero resulta especialmente útil en páginas que utilizan plugins de inicio de sesión personalizado, sistemas de caché o configuraciones especiales.
También conviene verificar que la solución funciona correctamente con la configuración de seguridad que ya tenemos instalada.
En proyectos importantes, prefiero realizar este tipo de cambios de manera controlada y mantener siempre una vía de recuperación disponible.
Con esto, ya tendremos activada la autenticación en dos pasos en WordPress.
Cómo exigir la autenticación en dos pasos a administradores y editores
Activar el 2FA en nuestra propia cuenta es un buen comienzo, pero ¿qué ocurre cuando administramos una página WordPress con varios usuarios?
Imaginemos una web corporativa en la que tenemos dos administradores, tres editores y varios autores.
Podemos configurar correctamente nuestra cuenta, utilizar una contraseña robusta y mantener nuestros códigos de recuperación protegidos.
Sin embargo, si otro usuario con permisos elevados sigue accediendo únicamente con una contraseña, esa cuenta podría convertirse en una vía de entrada para un atacante.
Este es uno de los motivos por los que considero importante que la seguridad no dependa únicamente de las decisiones individuales de cada usuario.
En proyectos con varias personas trabajando en WordPress, necesitamos establecer políticas de acceso coherentes con los permisos de cada cuenta.
VulnCue incorpora una función que permite exigir la autenticación en dos pasos a determinados roles de usuario.
De este modo, podemos establecer una política común sin tener que configurar manualmente cada cuenta.
Configurar el 2FA obligatorio según el rol de usuario
Para gestionar esta opción debemos acceder al apartado Two-Factor Authentication dentro del menú de VulnCue.
Esta pantalla permite establecer qué roles deben utilizar obligatoriamente la autenticación en dos pasos.
Por ejemplo, podemos exigirla a los administradores y editores, que habitualmente disponen de permisos importantes dentro de WordPress.
Dependiendo de la organización del proyecto, también puede resultar conveniente aplicarla a autores u otros perfiles personalizados.
En una tienda WooCommerce, por ejemplo, deberíamos prestar especial atención a las cuentas de administrador y gestor de tienda.
No todos los usuarios representan el mismo nivel de riesgo.
Un suscriptor o un comprador habitual no dispone, por defecto, de las mismas capacidades que un administrador.
Por eso, VulnCue no propone exigir automáticamente el segundo factor a los perfiles que únicamente compran o están suscritos a la web.
Desde mi punto de vista, este enfoque es acertado.
No se trata de complicar innecesariamente el acceso a todos los usuarios, sino de proteger especialmente aquellas cuentas que pueden realizar cambios importantes en la instalación.
Eso sí, debemos recordar que cualquier rol personalizado puede tener capacidades especiales. Antes de establecer la política, conviene revisar los permisos reales de cada perfil.
Establecer un periodo de adaptación antes de exigirlo
Una de las funciones que más valoro de VulnCue es la posibilidad de establecer un periodo de adaptación antes de hacer obligatoria la autenticación en dos pasos.
Esto resulta especialmente útil cuando administramos páginas web con varios usuarios.
Imaginemos que hoy decidimos exigir el 2FA a todos los editores de una web.
Si la obligación entrase en vigor inmediatamente y alguien no tuviese preparada su aplicación de autenticación, podríamos provocar interrupciones innecesarias en su trabajo.
Para evitarlo, VulnCue permite configurar un plazo de gracia.
Durante ese periodo, los usuarios afectados pueden completar la configuración de su segundo factor antes de que la política pase a exigirse.
Mi recomendación es comunicar previamente el cambio, explicar cómo configurar la aplicación y asegurarnos de que todos los usuarios conocen la importancia de guardar sus códigos de respaldo.
También conviene revisar que existe al menos una cuenta administradora con acceso correctamente verificado antes de aplicar cambios globales.
En una web pequeña, configurar el 2FA puede ser cuestión de unos minutos.
En una empresa con varios usuarios, lo importante no es únicamente activar la función, sino hacerlo sin interrumpir el trabajo de nadie.
Una buena política de seguridad debe proteger la web y, al mismo tiempo, ser razonablemente fácil de cumplir.
¿Qué pasa si pierdes el móvil o no puedes acceder a WordPress?
Una de las dudas más habituales cuando hablamos de autenticación en dos pasos es qué ocurre si perdemos el teléfono.
Y entiendo perfectamente esa preocupación.
Nadie quiere activar una medida de seguridad que después pueda impedirle entrar en su propia página web.
De hecho, considero que este miedo es una de las razones por las que algunos administradores siguen utilizando únicamente una contraseña.
Sin embargo, los sistemas de autenticación bien planteados suelen incorporar mecanismos de recuperación para estas situaciones.
En el caso de VulnCue tenemos varias opciones, dependiendo del acceso que conservemos a nuestra instalación.
Lo importante es conocerlas antes de necesitarlas.
No tiene demasiado sentido preocuparnos por los códigos de respaldo cuando ya hemos perdido el teléfono y necesitamos entrar urgentemente en WordPress.
Recuperar el acceso con los códigos de respaldo
La primera opción consiste en utilizar uno de los códigos de recuperación generados durante la configuración del 2FA.
Recordemos que VulnCue proporciona diez códigos de un solo uso.
Si no podemos acceder a nuestra aplicación de autenticación, podremos utilizar uno de estos códigos como método alternativo de verificación.
Para ello, iniciamos sesión normalmente con nuestro usuario y contraseña.
Cuando aparezca la comprobación del segundo factor, utilizamos la opción de recuperación disponible e introducimos uno de los códigos de respaldo.
Si es válido y no se ha utilizado anteriormente, podremos completar el acceso.
Una vez dentro, conviene revisar la configuración del 2FA y preparar un nuevo dispositivo de autenticación.
También es recomendable invalidar cualquier secreto antiguo que pudiera haber quedado expuesto.
Por ejemplo, si hemos perdido el teléfono en un lugar público y no sabemos quién puede tener acceso a él, lo más prudente es restablecer el segundo factor y configurarlo nuevamente.
Los códigos de recuperación no deberían convertirse en nuestro método habitual de acceso.
Son una medida de emergencia que debemos reservar para situaciones excepcionales.
Restablecer el 2FA desde otra cuenta administradora
¿Y si hemos perdido el móvil y tampoco encontramos los códigos de respaldo?
En ese caso, VulnCue ofrece otra posibilidad.
Si existe otra cuenta administradora con acceso al escritorio de WordPress, podrá restablecer el 2FA del usuario afectado desde la pantalla de administración del plugin.
Dentro del apartado de autenticación en dos pasos, VulnCue dispone de una tabla de usuarios con una opción Reset 2FA.
Esta función permite retirar la configuración del segundo factor de una cuenta para que pueda configurarse nuevamente.
Naturalmente, debemos utilizarla con cuidado.
Antes de restablecer el acceso de cualquier usuario, es importante comprobar su identidad por un canal fiable.
No tendría sentido instalar autenticación en dos pasos para protegernos del robo de credenciales y después permitir que cualquiera solicite su desactivación mediante un simple mensaje.
En proyectos empresariales, recomiendo documentar un procedimiento básico de recuperación de cuentas.
De esta forma, los responsables de la web saben cómo actuar si alguien pierde su dispositivo sin tener que improvisar en una situación de urgencia.
Opciones de recuperación de emergencia
Existe una tercera posibilidad para situaciones excepcionales: utilizar el acceso a los archivos del servidor.
VulnCue incorpora un mecanismo de emergencia que permite desactivar temporalmente su comprobación 2FA mediante una constante en el archivo wp-config.php.
La constante es:
define('VULNCUE_2FA_DISABLE', true);
Esta opción puede ser útil cuando no disponemos de una cuenta administradora accesible y necesitamos recuperar el control de nuestra instalación.
Sin embargo, no recomiendo utilizarla como procedimiento habitual.
Para modificar wp-config.php necesitamos tener acceso autorizado al servidor o al alojamiento web.
Además, debemos realizar una copia de seguridad del archivo antes de editarlo y comprobar que introducimos la constante correctamente.
Al activar esta opción estamos suspendiendo la verificación 2FA de VulnCue, por lo que conviene limitar su uso al tiempo estrictamente necesario.
Una vez recuperado el acceso, debemos solucionar el problema original, configurar nuevamente el segundo factor y eliminar la constante de emergencia.
Después, es recomendable comprobar otra vez que el 2FA vuelve a exigirse correctamente.
Esta posibilidad de recuperación me parece especialmente interesante para quienes trabajamos administrando servidores y alojamientos, porque permite disponer de una alternativa cuando los procedimientos normales no funcionan.
Eso sí, tener acceso al servidor implica una responsabilidad importante: debemos protegerlo con el mismo cuidado que protegemos las cuentas de WordPress.
Ventajas de utilizar VulnCue para proteger WordPress
Existen diferentes plugins que permiten añadir autenticación en dos pasos a WordPress.
Por ejemplo, podemos encontrar soluciones como Two-Factor o Wordfence Login Security, cada una con sus propias características y métodos de configuración.
Por tanto, VulnCue no es la única manera de activar el 2FA.
Sin embargo, considero que tiene algunas características interesantes para administradores que buscan una solución sencilla y quieren revisar otros aspectos de seguridad de su instalación.
La primera es que no necesitamos instalar un complemento independiente para disponer de autenticación en dos factores.
La segunda es que permite establecer políticas según los roles de usuario.
Y la tercera es que combina la protección del inicio de sesión con herramientas de análisis de seguridad.
Conviene recordar que estamos hablando de funciones distintas.
El 2FA protege un proceso concreto de autenticación, mientras que los análisis de seguridad ayudan a detectar determinadas configuraciones inseguras y vulnerabilidades conocidas.
Una cosa no sustituye a la otra.
Autenticación 2FA gratuita y sin plugins adicionales
VulnCue incluye la autenticación en dos pasos dentro de sus funciones gratuitas.
Podemos instalar el plugin desde el repositorio oficial de WordPress y activar el segundo factor sin contratar una suscripción ni crear una cuenta adicional.
Para configurarlo, cada usuario accede a su perfil y vincula una aplicación de autenticación compatible.
Después, el inicio de sesión habitual requiere introducir el código temporal correspondiente.
También podemos configurar la obligatoriedad por roles, establecer periodos de gracia y utilizar códigos de recuperación.
Todo ello sin tener que añadir otro plugin dedicado exclusivamente al 2FA.
Desde mi punto de vista, esto simplifica la administración de la web.
No significa que instalar varios plugins sea necesariamente inseguro, ni que debamos elegir un complemento únicamente porque reúne muchas funciones.
Lo importante es que las herramientas que instalamos estén mantenidas, sean compatibles con nuestra web y respondan a necesidades reales.
Pero si ya utilizamos VulnCue para revisar aspectos de seguridad de WordPress, disponer del 2FA integrado puede resultar especialmente práctico.
Verificación local y privacidad
Hay otro detalle que considero interesante: VulnCue realiza localmente la verificación de los códigos de autenticación.
Esto significa que el secreto utilizado para generar los códigos TOTP y la comprobación del segundo factor se gestionan dentro de nuestra instalación de WordPress.
No es necesario enviar cada código temporal a un servicio externo para validarlo.
Además, el plugin indica que el código QR se genera en el navegador sin realizar una llamada de red externa para dibujarlo.
Es una característica que valoro especialmente cuando hablamos de seguridad y privacidad.
Ahora bien, debemos hacer una distinción importante.
Que la verificación 2FA sea local no significa que todas las funciones de VulnCue funcionen siempre sin comunicaciones externas.
Por ejemplo, la comprobación de vulnerabilidades conocidas puede consultar el catálogo de VulnCue utilizando los identificadores técnicos y versiones de los plugins y temas instalados.
La verificación de integridad del núcleo también puede realizar consultas a los servicios oficiales de WordPress.
Estas funciones se pueden gestionar desde las opciones del complemento, y algunas características adicionales requieren conectar voluntariamente una cuenta.
Por tanto, la afirmación correcta es que la autenticación 2FA se verifica localmente, no que el plugin nunca realice conexiones de red.
Diferenciar estos aspectos resulta importante para comprender qué datos intervienen en cada función.
Análisis de seguridad y detección de vulnerabilidades conocidas
Además de incorporar autenticación en dos pasos, VulnCue permite revisar diferentes aspectos de seguridad de WordPress.
Entre las comprobaciones documentadas encontramos el estado de actualización de WordPress, plugins y temas, determinadas configuraciones inseguras, versiones de PHP sin soporte y archivos sensibles que podrían estar expuestos.
También puede revisar vulnerabilidades conocidas que afecten a componentes instalados.
Esto resulta útil porque la seguridad de una web no depende únicamente de quién consigue iniciar sesión.
Podemos tener una configuración 2FA perfectamente funcional y seguir utilizando un plugin con una vulnerabilidad conocida.
También podemos proteger las cuentas de administrador y mantener archivos sensibles accesibles desde la carpeta pública del servidor.
Son riesgos diferentes que deben tratarse mediante medidas específicas.
En este sentido, me parece interesante utilizar herramientas que nos ayuden a identificar problemas antes de sufrir sus consecuencias.
Eso sí, debemos tener claro que VulnCue no corrige automáticamente todas las vulnerabilidades que detecta.
Su función principal de análisis es identificar hallazgos y ofrecer información para resolverlos.
Después tendremos que aplicar las actualizaciones o los cambios necesarios, directamente o con ayuda de la persona responsable del mantenimiento.
Tampoco sustituye a una auditoría completa, a un análisis externo o a una revisión profesional de seguridad.
Es una herramienta que puede ayudarnos a mejorar la protección de nuestra instalación, siempre que utilicemos sus resultados para tomar medidas.
Buenas prácticas para mantener seguro el acceso a WordPress
Llegados a este punto, ya sabemos cómo activar la autenticación en dos pasos en WordPress y cómo gestionar su funcionamiento con diferentes usuarios.
Pero hay algo que quiero recalcar.
El 2FA es una capa adicional de seguridad, no una solución mágica que proteja automáticamente toda nuestra página web.
A lo largo de mi experiencia trabajando con servidores y alojamientos, he aprendido que la seguridad funciona mejor cuando aplicamos varias medidas complementarias.
No basta con instalar un plugin y olvidarnos del mantenimiento.
Tampoco sirve de mucho disponer de contraseñas robustas si utilizamos componentes vulnerables o concedemos permisos de administrador a usuarios que no los necesitan.
La mejor estrategia consiste en reducir las oportunidades de ataque y limitar las consecuencias de una posible intrusión.
Mantener WordPress, temas y plugins actualizados
Las actualizaciones son una parte fundamental del mantenimiento de seguridad de WordPress.
Tanto el núcleo como los plugins y temas pueden recibir correcciones relacionadas con vulnerabilidades conocidas.
Cuando ignoramos estas actualizaciones durante demasiado tiempo, podemos dejar nuestra instalación expuesta a problemas que ya tienen una solución disponible.
Mi recomendación es establecer una rutina de mantenimiento.
No tenemos por qué actualizar todo sin revisar qué estamos instalando, especialmente en páginas importantes o tiendas WooCommerce.
Lo razonable es disponer de copias de seguridad, comprobar la compatibilidad de las actualizaciones y aplicarlas sin demoras innecesarias.
También conviene eliminar los plugins y temas que no utilizamos.
Tener componentes desactivados pero abandonados no aporta ningún beneficio y puede complicar la gestión de la seguridad.
Por otro lado, debemos prestar atención a la versión de PHP que utiliza nuestro alojamiento.
Mantener una versión compatible y con soporte de seguridad ayuda a reducir riesgos en el entorno donde se ejecuta WordPress.
Proteger las cuentas con permisos elevados
No todas las cuentas de WordPress necesitan los mismos permisos.
Un usuario encargado de redactar artículos no debería disponer automáticamente de acceso a todas las configuraciones de administración.
Del mismo modo, una persona que únicamente necesita consultar determinados contenidos no debería tener permisos para instalar plugins o modificar usuarios.
Esta idea se conoce como principio de mínimo privilegio.
Consiste en conceder a cada usuario únicamente los permisos necesarios para realizar su trabajo.
En la práctica, recomiendo:
- Utilizar cuentas individuales en lugar de compartir usuarios de administración.
- Reservar el rol de administrador para quienes realmente lo necesiten.
- Activar el 2FA en todas las cuentas con permisos elevados.
- Revisar periódicamente los usuarios que tienen acceso a WordPress.
- Eliminar o desactivar las cuentas que ya no sean necesarias.
- Utilizar contraseñas únicas y un gestor de contraseñas fiable.
- Mantener protegidos los códigos de recuperación.
Si administramos una tienda WooCommerce, también conviene revisar las capacidades de los gestores de tienda y otros perfiles personalizados.
Además, debemos recordar que no todos los mecanismos de acceso utilizan necesariamente el formulario de inicio de sesión convencional.
En el caso de VulnCue, su verificación 2FA no se aplica automáticamente a las contraseñas de aplicación, a la API REST ni a XML-RPC.
Por eso es importante revisar qué integraciones y métodos de autenticación están habilitados en nuestra instalación.
La autenticación en dos pasos debe formar parte de una política de acceso más amplia.
Por qué el 2FA no sustituye otras medidas de seguridad
Podemos imaginar la seguridad de WordPress como un conjunto de barreras.
La contraseña es una de ellas.
La autenticación en dos pasos añade otra.
Las actualizaciones, las copias de seguridad, la configuración del servidor y los controles de acceso aportan protecciones adicionales.
Cuando combinamos estas medidas, resulta más difícil que un único error termine comprometiendo toda la instalación.
Pero debemos evitar pensar que activar el 2FA nos protege frente a cualquier escenario.
Por ejemplo, si un atacante explota una vulnerabilidad que permite ejecutar código sin iniciar sesión, la autenticación en dos factores podría no intervenir en absoluto.
Del mismo modo, si alguien consigue comprometer el servidor o una sesión ya autenticada, disponer de 2FA no garantiza que podamos impedir todas sus acciones.
Por eso considero importante mantener una estrategia de seguridad que incluya prevención, detección y recuperación.
Las copias de seguridad son especialmente relevantes.
Debemos conservarlas en una ubicación adecuada y comprobar periódicamente que podemos restaurarlas.
También conviene monitorizar posibles accesos sospechosos y revisar los cambios importantes que se realizan en la web.
No podemos eliminar completamente todos los riesgos, pero sí podemos reducirlos de forma considerable.
Y, entre todas las medidas disponibles, activar el 2FA sigue siendo una de las más sencillas de aplicar para mejorar la protección de las cuentas.
Dudas de la comunidad
¿WordPress incorpora el 2FA de forma nativa?
En una instalación estándar de WordPress autogestionado, el núcleo no incluye un sistema TOTP de autenticación en dos pasos habilitado por defecto para los usuarios.
Para disponer de esta protección normalmente necesitamos instalar un plugin que añada la funcionalidad o utilizar una solución de autenticación externa compatible.
Existen varios complementos que permiten hacerlo.
Por ejemplo, el plugin Two-Factor ofrece diferentes métodos de verificación, mientras que VulnCue incorpora autenticación mediante aplicaciones TOTP junto con otras herramientas de seguridad.
Es importante no confundir WordPress.org con WordPress.com.
Las cuentas de WordPress.com disponen de sus propias opciones de autenticación en dos pasos, pero su configuración no es necesariamente la misma que la de una instalación WordPress autogestionada.
Personalmente, considero que sería interesante disponer de una protección de este tipo integrada directamente en WordPress, especialmente para los administradores.
Mientras tanto, podemos activarla fácilmente mediante un plugin.
¿Se puede activar el 2FA en WordPress gratis?
Sí. No necesitamos contratar una herramienta de pago para activar la autenticación en dos pasos.
Existen plugins gratuitos que permiten configurar esta protección mediante aplicaciones de autenticación.
VulnCue es una de las opciones disponibles.
Su función de 2FA está incluida gratuitamente y no exige crear una cuenta externa para utilizarla.
Podemos instalarlo desde el repositorio oficial de WordPress y vincular una aplicación compatible desde el perfil de usuario.
También incluye códigos de recuperación y opciones para exigir el segundo factor según los roles.
Por tanto, el coste no debería ser una barrera para mejorar la protección del acceso a nuestra web.
¿Qué aplicación de autenticación puedo utilizar?
Para configurar el 2FA mediante TOTP podemos utilizar aplicaciones compatibles con este estándar.
Entre las opciones habituales encontramos Google Authenticator, Microsoft Authenticator y Authy.
El procedimiento consiste en vincular la aplicación con nuestra cuenta de WordPress mediante un código QR.
Una vez configurada, la aplicación genera códigos temporales que utilizaremos durante el inicio de sesión.
Lo importante es elegir una aplicación fiable, mantener protegido el teléfono y conocer sus opciones de copia de seguridad o transferencia de cuentas.
También debemos conservar los códigos de recuperación proporcionados por el plugin.
De esa manera tendremos una alternativa si perdemos el dispositivo.
¿Puedo obligar a todos los usuarios a activar el 2FA?
Depende del plugin y de la configuración utilizada.
Con VulnCue podemos establecer políticas que exijan la autenticación en dos pasos a determinados roles de usuario.
Por ejemplo, podemos aplicarlas a administradores, editores o autores.
Además, permite configurar un periodo de gracia para que los usuarios preparen su segundo factor antes de que la obligación entre en vigor.
Esto resulta especialmente útil en páginas donde trabajan varias personas.
En una tienda WooCommerce, no recomiendo exigir automáticamente el 2FA a todos los compradores sin estudiar previamente el impacto sobre la experiencia de usuario.
Es preferible comenzar por las cuentas con permisos elevados y ampliar la política cuando exista una necesidad real.
¿La autenticación en dos pasos protege contra todos los ataques?
No.
La autenticación en dos pasos reduce el riesgo de accesos no autorizados mediante credenciales comprometidas, pero no elimina todas las amenazas que pueden afectar a WordPress.
Por ejemplo, no corrige vulnerabilidades de plugins, problemas de configuración del servidor ni fallos que permitan acceder al sistema por vías diferentes al inicio de sesión protegido.
Además, determinados ataques de phishing pueden capturar códigos temporales y utilizarlos inmediatamente.
Por eso debemos combinar el 2FA con actualizaciones, copias de seguridad, controles de acceso y revisiones periódicas.
También conviene utilizar herramientas que ayuden a detectar configuraciones inseguras y componentes vulnerables.
El objetivo no es depender de una única medida, sino construir varias capas de protección.
Protege hoy mismo el acceso a tu WordPress
Después de tantos años trabajando con WordPress, servidores y alojamientos web, sigo pensando que uno de los errores más habituales es esperar a sufrir un problema de seguridad para empezar a tomar medidas.
Nos preocupamos por la velocidad de carga, el posicionamiento SEO, las actualizaciones y el funcionamiento de nuestros plugins, pero en ocasiones olvidamos algo tan básico como proteger correctamente el acceso a la administración.
Activar la autenticación en dos pasos en WordPress es una medida sencilla que puede evitar que una contraseña robada se convierta directamente en un acceso no autorizado.
No necesitamos complicarnos con configuraciones avanzadas ni contratar necesariamente un servicio de pago.
Con herramientas como VulnCue podemos activar el 2FA gratuitamente, utilizar aplicaciones como Google Authenticator, guardar códigos de recuperación y exigir esta protección a los usuarios con permisos elevados.
Además, podemos aprovechar sus funciones de análisis para identificar determinados problemas de seguridad y vulnerabilidades conocidas.
Eso sí, debemos recordar que el 2FA no sustituye las actualizaciones, las copias de seguridad ni el mantenimiento del servidor.
La seguridad de WordPress es un proceso continuo.
Mi recomendación es: si todavía accedes a tu WordPress únicamente con un usuario y una contraseña, activa la autenticación en dos pasos cuanto antes.
Puedes encontrar el complemento en el repositorio oficial de WordPress o consultar más información en VulnCue.
No hace falta esperar a que alguien intente entrar en nuestra web para justificar unos minutos de configuración.
Y ahora me gustaría conocer vuestra experiencia.
¿Tenéis activada la autenticación en dos pasos en vuestros WordPress o seguís utilizando únicamente una contraseña? ¿Creéis que WordPress debería incorporar esta protección de forma nativa y activarla por defecto para los administradores?
Os leo en los comentarios.
