{"id":10172,"date":"2026-10-19T12:33:57","date_gmt":"2026-10-19T10:33:57","guid":{"rendered":"https:\/\/www.hostingtg.com\/blog\/?p=10172"},"modified":"2026-10-19T12:41:27","modified_gmt":"2026-10-19T10:41:27","slug":"autenticacion-en-dos-pasos-en-wordpress","status":"publish","type":"post","link":"https:\/\/www.hostingtg.com\/blog\/autenticacion-en-dos-pasos-en-wordpress\/","title":{"rendered":"Autenticaci\u00f3n en dos pasos en WordPress: c\u00f3mo activar el 2FA paso a paso"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Despu\u00e9s de tantos a\u00f1os trabajando con servidores, alojamientos web y p\u00e1ginas WordPress, hay algo que sigo viendo con demasiada frecuencia: <strong>muchos propietarios de p\u00e1ginas web se preocupan por actualizar sus plugins y mantener WordPress al d\u00eda, pero siguen protegiendo el acceso a su web \u00fanicamente con una contrase\u00f1a<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y, desde mi punto de vista, es uno de esos errores que pueden salir bastante caros.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos utilizar una contrase\u00f1a de veinte caracteres, combinar letras, n\u00fameros y s\u00edmbolos y pensar que tenemos todo bajo control. Pero \u00bfqu\u00e9 ocurre si esa contrase\u00f1a acaba filtr\u00e1ndose en una brecha de seguridad o la introducimos sin darnos cuenta en una p\u00e1gina de phishing?<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pues que alguien podr\u00eda acceder a nuestro WordPress sin necesidad de explotar ninguna vulnerabilidad del servidor, del tema o de los plugins.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Precisamente por eso considero que <strong>activar la autenticaci\u00f3n en dos pasos en WordPress deber\u00eda ser una de las primeras medidas de seguridad al poner en marcha cualquier p\u00e1gina web<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La autenticaci\u00f3n de dos factores, tambi\u00e9n conocida como 2FA, a\u00f1ade una segunda comprobaci\u00f3n al inicio de sesi\u00f3n. Aunque alguien consiga nuestro usuario y contrase\u00f1a, necesitar\u00e1 superar una verificaci\u00f3n adicional para entrar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y lo mejor es que configurarla no tiene por qu\u00e9 ser complicado ni costarnos dinero.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En esta gu\u00eda voy a explicar c\u00f3mo activar el 2FA en WordPress paso a paso utilizando <strong>VulnCue, un plugin gratuito que incorpora autenticaci\u00f3n en dos pasos y herramientas de an\u00e1lisis de seguridad<\/strong>, sin necesidad de instalar otro complemento exclusivo para proteger el inicio de sesi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n veremos c\u00f3mo exigir esta protecci\u00f3n a los administradores, qu\u00e9 hacer si perdemos el tel\u00e9fono y qu\u00e9 otras medidas conviene aplicar para mantener nuestro WordPress seguro.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">\u00bfQu\u00e9 es la autenticaci\u00f3n en dos pasos (2FA) en WordPress?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La autenticaci\u00f3n en dos pasos es un sistema de seguridad que a\u00f1ade una verificaci\u00f3n adicional al proceso habitual de inicio de sesi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Normalmente, cuando entramos en WordPress, introducimos nuestro nombre de usuario o correo electr\u00f3nico y una contrase\u00f1a. Si los datos son correctos, podemos acceder directamente al escritorio de administraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Con la autenticaci\u00f3n de dos factores, el proceso cambia ligeramente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Primero introducimos nuestras credenciales habituales y, despu\u00e9s, debemos confirmar nuestra identidad mediante un segundo factor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Uno de los m\u00e9todos m\u00e1s utilizados consiste en generar un c\u00f3digo temporal desde una aplicaci\u00f3n instalada en nuestro tel\u00e9fono m\u00f3vil, como Google Authenticator o Microsoft Authenticator.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De esta manera, aunque alguien conozca nuestra contrase\u00f1a, no podr\u00e1 completar el inicio de sesi\u00f3n habitual sin disponer tambi\u00e9n del segundo factor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Conviene aclarar que <strong>el 2FA no convierte WordPress en una plataforma invulnerable<\/strong>. Su objetivo es a\u00f1adir una barrera frente a los accesos no autorizados, especialmente cuando las credenciales han sido robadas o comprometidas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tampoco todos los sistemas de autenticaci\u00f3n en dos pasos funcionan exactamente igual. Algunos utilizan aplicaciones que generan c\u00f3digos temporales, otros env\u00edan mensajes SMS y determinadas soluciones permiten utilizar llaves f\u00edsicas de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En esta gu\u00eda nos centraremos en la autenticaci\u00f3n mediante c\u00f3digos temporales, porque es el sistema que incorpora VulnCue y permite proteger el acceso sin depender de mensajes de texto.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">C\u00f3mo funciona la doble autenticaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Imaginemos que tenemos una p\u00e1gina WordPress y queremos entrar en su panel de administraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin autenticaci\u00f3n en dos pasos, el proceso es bastante sencillo:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li>Abrimos la p\u00e1gina de inicio de sesi\u00f3n de WordPress.<\/li>\n\n\n\n<li>Introducimos nuestro usuario y contrase\u00f1a.<\/li>\n\n\n\n<li>Si las credenciales son correctas, accedemos al escritorio.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando activamos el 2FA, aparece una comprobaci\u00f3n adicional despu\u00e9s de validar la contrase\u00f1a.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En el caso de la autenticaci\u00f3n mediante TOTP (<em>Time-based One-Time Password<\/em>), utilizamos una aplicaci\u00f3n que genera contrase\u00f1as temporales basadas en el tiempo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante la configuraci\u00f3n inicial, WordPress y nuestra aplicaci\u00f3n de autenticaci\u00f3n comparten una clave secreta mediante un c\u00f3digo QR.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A partir de ese momento, ambos pueden generar o comprobar los c\u00f3digos correspondientes sin necesidad de enviar cada c\u00f3digo a un servidor externo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando queremos iniciar sesi\u00f3n, abrimos la aplicaci\u00f3n, consultamos el c\u00f3digo temporal y lo introducimos en WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si el c\u00f3digo es v\u00e1lido, podemos completar el acceso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Estos c\u00f3digos suelen cambiar cada treinta segundos, por lo que uno que hayamos utilizado anteriormente dejar\u00e1 de ser v\u00e1lido despu\u00e9s de su periodo de vigencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>La diferencia fundamental es que conocer la contrase\u00f1a ya no resulta suficiente para completar el inicio de sesi\u00f3n.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso s\u00ed, debemos seguir teniendo cuidado con los <a href=\"https:\/\/www.hostingtg.com\/blog\/que-es-phishing-como-evitarlo\/\">ataques de phishing<\/a>. Un atacante que consiga interceptar un c\u00f3digo temporal y utilizarlo inmediatamente podr\u00eda llegar a superar este tipo de autenticaci\u00f3n. Por eso, aunque el TOTP mejora mucho la protecci\u00f3n frente al robo de contrase\u00f1as, no ofrece la misma resistencia al phishing que los m\u00e9todos criptogr\u00e1ficos basados en FIDO2 o WebAuthn.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Por qu\u00e9 una contrase\u00f1a segura no siempre es suficiente<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Siempre recomiendo utilizar contrase\u00f1as largas, \u00fanicas y dif\u00edciles de adivinar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es una medida b\u00e1sica de seguridad que no deber\u00edamos descuidar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, despu\u00e9s de a\u00f1os trabajando con servidores y alojamientos web, tengo claro que <strong>la fortaleza de una contrase\u00f1a no garantiza que nunca termine en manos equivocadas<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos elegir una contrase\u00f1a perfectamente segura desde el punto de vista t\u00e9cnico, pero eso no impide que se filtre porque la hemos reutilizado en otro servicio, porque nuestro ordenador est\u00e9 infectado o porque hayamos ca\u00eddo en una campa\u00f1a de phishing.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n puede ocurrir que alguien consiga acceder al gestor de contrase\u00f1as o a un dispositivo donde tenemos nuestras credenciales almacenadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En cualquiera de estas situaciones, el problema deja de ser lo dif\u00edcil que resulta adivinar la contrase\u00f1a.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El atacante ya la conoce.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La autenticaci\u00f3n en dos pasos introduce una protecci\u00f3n adicional precisamente para estas circunstancias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aunque las credenciales sean correctas, el inicio de sesi\u00f3n normal no podr\u00e1 completarse sin superar tambi\u00e9n la segunda comprobaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso no considero el 2FA una alternativa a las contrase\u00f1as seguras, sino un complemento imprescindible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Contrase\u00f1a robusta y autenticaci\u00f3n en dos factores deben trabajar juntas.<\/strong><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">\u00bfPor qu\u00e9 deber\u00edas activar el 2FA en tu WordPress?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">WordPress se utiliza para crear desde peque\u00f1os blogs personales hasta tiendas online, p\u00e1ginas corporativas y proyectos que gestionan informaci\u00f3n de clientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero todos ellos comparten una caracter\u00edstica: necesitan proteger sus cuentas de acceso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando alguien consigue entrar con permisos de administrador, puede modificar configuraciones, instalar plugins, crear usuarios, alterar contenidos y realizar muchas otras acciones que comprometan el funcionamiento de la p\u00e1gina.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, proteger el acceso a WordPress no deber\u00eda considerarse una tarea secundaria.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Personalmente, me parece curioso que todav\u00eda existan administradores que dediquen tiempo a instalar herramientas de seguridad, configurar <a href=\"https:\/\/www.hostingtg.com\/blog\/crear-una-copia-de-seguridad-de-tu-pagina-wordpress\/\">copias de seguridad<\/a> y actualizar sus extensiones, pero no activen una medida tan sencilla como el 2FA.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No significa que esas otras medidas no sean importantes. Lo son, y mucho.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El problema aparece cuando pensamos que una instalaci\u00f3n actualizada ya est\u00e1 suficientemente protegida frente a cualquier tipo de ataque.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Una web puede estar completamente actualizada y seguir siendo vulnerable a un acceso no autorizado si alguien consigue las credenciales de uno de sus administradores.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La autenticaci\u00f3n en dos pasos permite reducir ese riesgo sin modificar el funcionamiento habitual de la p\u00e1gina p\u00fablica.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Protecci\u00f3n frente al robo de contrase\u00f1as y al phishing<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Uno de los principales motivos para activar la doble autenticaci\u00f3n es protegernos frente al uso de credenciales robadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los atacantes no siempre necesitan encontrar una vulnerabilidad en WordPress para intentar comprometer una p\u00e1gina.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En ocasiones, les basta con disponer de un nombre de usuario y una contrase\u00f1a v\u00e1lidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Estas credenciales pueden proceder de filtraciones de otros servicios, campa\u00f1as de phishing, equipos infectados o contrase\u00f1as reutilizadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n existen ataques automatizados que prueban combinaciones de credenciales conocidas contra diferentes p\u00e1ginas de inicio de sesi\u00f3n. Esta t\u00e9cnica se conoce como <em>credential stuffing<\/em>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando activamos el 2FA, a\u00f1adimos una dificultad importante a estos intentos de acceso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una contrase\u00f1a correcta deja de ser suficiente para completar el inicio de sesi\u00f3n convencional.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ahora bien, es importante comprender sus l\u00edmites.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La doble autenticaci\u00f3n no evita que alguien intente adivinar una contrase\u00f1a y tampoco sustituye las medidas espec\u00edficas para limitar intentos de acceso, detectar actividad sospechosa o <a href=\"https:\/\/www.hostingtg.com\/blog\/fail2ban\/\">bloquear ataques automatizados<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, los c\u00f3digos temporales pueden ser capturados mediante p\u00e1ginas de phishing preparadas para utilizarlos en tiempo real.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso recomiendo combinar el 2FA con contrase\u00f1as \u00fanicas, <a href=\"https:\/\/www.hostingtg.com\/blog\/gestor-de-contrasenas\/\">un gestor de contrase\u00f1as fiable<\/a> y medidas de protecci\u00f3n frente a <a href=\"https:\/\/www.hostingtg.com\/blog\/proteger-login-wordpress\/\">intentos masivos de inicio de sesi\u00f3n<\/a>.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">La importancia del 2FA en tiendas WooCommerce y webs de empresas<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hay determinados proyectos en los que considero especialmente importante activar la autenticaci\u00f3n en dos pasos desde el primer momento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las <a href=\"https:\/\/www.hostingtg.com\/blog\/crea-una-tienda-con-wordpress-y-woocommerce\/\">tiendas WooCommerce<\/a> son un buen ejemplo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En una tienda online podemos encontrar administradores, gestores de tienda, editores y otros usuarios con permisos para consultar pedidos, modificar productos o acceder a informaci\u00f3n comercial.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si una de esas cuentas termina comprometida, las consecuencias pueden ir bastante m\u00e1s all\u00e1 de cambiar el contenido de una p\u00e1gina.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un atacante podr\u00eda manipular productos, modificar configuraciones o consultar informaci\u00f3n a la que tenga acceso ese usuario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Algo parecido sucede en las p\u00e1ginas corporativas, las webs de academias y los proyectos que trabajan con informaci\u00f3n de clientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mi recomendaci\u00f3n es sencilla: <strong>cuanto mayores sean los permisos de una cuenta, m\u00e1s importante resulta exigir una segunda comprobaci\u00f3n de identidad<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto no significa que debamos obligar autom\u00e1ticamente a todos los compradores de una tienda a utilizar c\u00f3digos temporales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En muchos casos, hacerlo introducir\u00eda fricci\u00f3n innecesaria en la experiencia de compra.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo razonable es empezar por las cuentas con permisos elevados y estudiar despu\u00e9s si otros perfiles necesitan tambi\u00e9n esa protecci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VulnCue permite aplicar precisamente este criterio, ya que dispone de opciones para exigir la autenticaci\u00f3n en dos factores seg\u00fan los roles de usuario.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo activar la autenticaci\u00f3n en dos pasos en WordPress con VulnCue<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Una de las razones por las que algunos administradores todav\u00eda no utilizan el 2FA es que piensan que su configuraci\u00f3n va a resultar complicada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Otros creen que necesitar\u00e1n instalar varios plugins, contratar un servicio adicional o realizar cambios avanzados en el servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Afortunadamente, no tiene por qu\u00e9 ser as\u00ed.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>VulnCue permite activar la autenticaci\u00f3n en dos pasos de forma gratuita desde el propio WordPress<\/strong>, utilizando una aplicaci\u00f3n compatible con c\u00f3digos TOTP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, incorpora funciones de an\u00e1lisis de seguridad, por lo que podemos utilizar una misma herramienta para revisar distintas configuraciones de nuestra instalaci\u00f3n y proteger el acceso a las cuentas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Vamos a ver c\u00f3mo configurarlo.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso 1. Instalar y activar VulnCue gratuitamente<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Lo primero que necesitamos es instalar el plugin.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para hacerlo, accedemos al escritorio de WordPress con una cuenta que tenga permisos para gestionar plugins.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s seguimos estos pasos:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li>Entramos en <strong>Plugins \u2192 A\u00f1adir nuevo plugin<\/strong>.<\/li>\n\n\n\n<li>Utilizamos el buscador para localizar <strong>VulnCue<\/strong>.<\/li>\n\n\n\n<li>Identificamos el plugin en el repositorio oficial.<\/li>\n\n\n\n<li>Hacemos clic en <strong>Instalar ahora<\/strong>.<\/li>\n\n\n\n<li>Cuando termine la instalaci\u00f3n, pulsamos <strong>Activar<\/strong>.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n podemos encontrarlo directamente en el repositorio oficial:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/es.wordpress.org\/plugins\/vulncue\/\" target=\"_blank\" rel=\"noopener\">Descargar VulnCue desde WordPress.org<\/a><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una vez activado, encontraremos un nuevo apartado de VulnCue en el men\u00fa lateral de WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El plugin realiza un primer an\u00e1lisis de seguridad que permite detectar distintas configuraciones potencialmente inseguras y otros problemas de mantenimiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero, para lo que nos interesa en este tutorial, vamos a centrarnos en su funci\u00f3n de autenticaci\u00f3n en dos pasos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No es necesario crear una cuenta en VulnCue para utilizar el 2FA.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta caracter\u00edstica funciona directamente en nuestra instalaci\u00f3n de WordPress.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso 2. Acceder al perfil de usuario de WordPress<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Con el plugin instalado, el siguiente paso consiste en acceder al perfil del usuario para el que queremos activar la doble autenticaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos hacerlo desde:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Usuarios \u2192 Perfil<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dentro de esta pantalla buscamos el apartado de autenticaci\u00f3n en dos factores, que puede aparecer identificado como <strong>Two-Factor Authentication<\/strong> o con su traducci\u00f3n al espa\u00f1ol.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aqu\u00ed encontraremos las opciones necesarias para configurar la autenticaci\u00f3n mediante una aplicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un detalle importante es que cada usuario debe configurar su propio segundo factor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto tiene bastante sentido desde el punto de vista de la seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No ser\u00eda recomendable que todos los administradores compartiesen la misma aplicaci\u00f3n de autenticaci\u00f3n o los mismos c\u00f3digos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo correcto es que cada cuenta disponga de sus propias credenciales y de su propio m\u00e9todo de verificaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De esta manera, podemos gestionar individualmente los accesos y reducir los problemas asociados al uso de cuentas compartidas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso 3. Escanear el c\u00f3digo QR con Google Authenticator<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ahora necesitamos una aplicaci\u00f3n de autenticaci\u00f3n compatible con TOTP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos utilizar, por ejemplo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Google Authenticator.<\/li>\n\n\n\n<li>Microsoft Authenticator.<\/li>\n\n\n\n<li>Authy.<\/li>\n\n\n\n<li>Otras aplicaciones compatibles con el est\u00e1ndar TOTP.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Para este ejemplo utilizaremos Google Authenticator, aunque el procedimiento es muy parecido con las dem\u00e1s.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Primero instalamos la aplicaci\u00f3n en nuestro tel\u00e9fono m\u00f3vil, si todav\u00eda no la tenemos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s abrimos la configuraci\u00f3n del 2FA en nuestro perfil de WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VulnCue mostrar\u00e1 un c\u00f3digo QR que debemos escanear con la aplicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En Google Authenticator podemos utilizar la opci\u00f3n de a\u00f1adir una cuenta y seleccionar el escaneo mediante c\u00e1mara.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Apuntamos al c\u00f3digo QR que aparece en WordPress y la aplicaci\u00f3n a\u00f1adir\u00e1 una nueva entrada correspondiente a nuestra cuenta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A partir de ese momento comenzar\u00e1 a generar c\u00f3digos temporales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es importante que el reloj del dispositivo est\u00e9 correctamente sincronizado, porque los c\u00f3digos TOTP dependen del tiempo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n debemos tratar el c\u00f3digo QR como informaci\u00f3n confidencial.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Cualquier persona que consiga copiar el secreto utilizado para configurar el 2FA podr\u00eda generar los mismos c\u00f3digos temporales.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, no conviene compartir capturas de ese QR ni enviarlo por correo electr\u00f3nico.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso 4. Confirmar la activaci\u00f3n del 2FA<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Una vez a\u00f1adido el c\u00f3digo QR a nuestra aplicaci\u00f3n de autenticaci\u00f3n, debemos confirmar que la configuraci\u00f3n funciona correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para hacerlo, consultamos el c\u00f3digo temporal que aparece en la aplicaci\u00f3n y lo introducimos en el campo de verificaci\u00f3n correspondiente de WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si el c\u00f3digo es correcto, VulnCue permitir\u00e1 completar la activaci\u00f3n del segundo factor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde ese momento, nuestra cuenta tendr\u00e1 habilitada la autenticaci\u00f3n en dos pasos para el inicio de sesi\u00f3n habitual.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La pr\u00f3xima vez que introduzcamos nuestro usuario y contrase\u00f1a, tendremos que realizar tambi\u00e9n la comprobaci\u00f3n con el c\u00f3digo temporal.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este paso es importante porque garantiza que la aplicaci\u00f3n se ha vinculado correctamente antes de empezar a utilizar el sistema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si el c\u00f3digo no funciona, conviene revisar que estamos seleccionando la cuenta correcta dentro de la aplicaci\u00f3n y que la fecha y la hora del tel\u00e9fono est\u00e1n sincronizadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No recomiendo cerrar inmediatamente todas las sesiones abiertas despu\u00e9s de configurar el 2FA.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es preferible comprobar primero el funcionamiento del nuevo acceso desde otra ventana del navegador, manteniendo una sesi\u00f3n de administraci\u00f3n disponible por si necesitamos corregir alg\u00fan problema.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso 5. Guardar los c\u00f3digos de recuperaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Este es uno de los pasos m\u00e1s importantes de todo el proceso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando activamos la autenticaci\u00f3n en dos pasos con VulnCue, disponemos de <strong>diez c\u00f3digos de recuperaci\u00f3n de un solo uso<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Su finalidad es permitirnos iniciar sesi\u00f3n si alg\u00fan d\u00eda no podemos acceder a nuestra aplicaci\u00f3n de autenticaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, podemos necesitarlos si:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Perdemos el tel\u00e9fono m\u00f3vil.<\/li>\n\n\n\n<li>Nuestro dispositivo deja de funcionar.<\/li>\n\n\n\n<li>Cambiamos de tel\u00e9fono sin transferir las cuentas.<\/li>\n\n\n\n<li>Eliminamos accidentalmente la aplicaci\u00f3n de autenticaci\u00f3n.<\/li>\n\n\n\n<li>Dejamos de tener acceso al segundo factor configurado.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Mi recomendaci\u00f3n es guardar estos c\u00f3digos inmediatamente despu\u00e9s de activar el 2FA.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos utilizar un gestor de contrase\u00f1as fiable o conservarlos en un lugar seguro que no dependa exclusivamente del tel\u00e9fono donde tenemos instalada la aplicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo que no deber\u00edamos hacer es guardarlos en un archivo sin protecci\u00f3n dentro de una carpeta compartida o envi\u00e1rnoslos mediante un correo electr\u00f3nico sin valorar los riesgos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n debemos recordar que cada c\u00f3digo de respaldo solo puede utilizarse una vez.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si consumimos varios c\u00f3digos, conviene revisar los que siguen disponibles y generar nuevos cuando la herramienta lo permita.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Los c\u00f3digos de recuperaci\u00f3n forman parte de la seguridad del sistema. Debemos protegerlos igual que proteger\u00edamos una contrase\u00f1a.<\/strong><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Paso 6. Comprobar que el doble factor funciona correctamente<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s de activar el 2FA, recomiendo realizar una prueba completa del inicio de sesi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es algo que siempre conviene hacer cuando modificamos cualquier mecanismo de autenticaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos abrir una ventana privada del navegador y acceder a la p\u00e1gina habitual de inicio de sesi\u00f3n de WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Introducimos nuestro usuario y contrase\u00f1a.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si todo est\u00e1 configurado correctamente, aparecer\u00e1 la comprobaci\u00f3n adicional del segundo factor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Abrimos nuestra aplicaci\u00f3n de autenticaci\u00f3n, consultamos el c\u00f3digo temporal y lo introducimos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si podemos acceder al escritorio, habremos comprobado que el sistema funciona.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta prueba puede parecer innecesaria, pero resulta especialmente \u00fatil en p\u00e1ginas que utilizan plugins de inicio de sesi\u00f3n personalizado, sistemas de cach\u00e9 o configuraciones especiales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n conviene verificar que la soluci\u00f3n funciona correctamente con la configuraci\u00f3n de seguridad que ya tenemos instalada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En proyectos importantes, prefiero realizar este tipo de cambios de manera controlada y mantener siempre una v\u00eda de recuperaci\u00f3n disponible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Con esto, ya tendremos activada la autenticaci\u00f3n en dos pasos en WordPress.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo exigir la autenticaci\u00f3n en dos pasos a administradores y editores<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Activar el 2FA en nuestra propia cuenta es un buen comienzo, pero \u00bfqu\u00e9 ocurre cuando administramos una p\u00e1gina WordPress con varios usuarios?<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Imaginemos una web corporativa en la que tenemos dos administradores, tres editores y varios autores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos configurar correctamente nuestra cuenta, utilizar una contrase\u00f1a robusta y mantener nuestros c\u00f3digos de recuperaci\u00f3n protegidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, si otro usuario con permisos elevados sigue accediendo \u00fanicamente con una contrase\u00f1a, esa cuenta podr\u00eda convertirse en una v\u00eda de entrada para un atacante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este es uno de los motivos por los que considero importante que la seguridad no dependa \u00fanicamente de las decisiones individuales de cada usuario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>En proyectos con varias personas trabajando en WordPress, necesitamos establecer pol\u00edticas de acceso coherentes con los permisos de cada cuenta.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VulnCue incorpora una funci\u00f3n que permite exigir la autenticaci\u00f3n en dos pasos a determinados roles de usuario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De este modo, podemos establecer una pol\u00edtica com\u00fan sin tener que configurar manualmente cada cuenta.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Configurar el 2FA obligatorio seg\u00fan el rol de usuario<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Para gestionar esta opci\u00f3n debemos acceder al apartado <strong>Two-Factor Authentication<\/strong> dentro del men\u00fa de VulnCue.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta pantalla permite establecer qu\u00e9 roles deben utilizar obligatoriamente la autenticaci\u00f3n en dos pasos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, podemos exigirla a los administradores y editores, que habitualmente disponen de permisos importantes dentro de WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dependiendo de la organizaci\u00f3n del proyecto, tambi\u00e9n puede resultar conveniente aplicarla a autores u otros perfiles personalizados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En una tienda WooCommerce, por ejemplo, deber\u00edamos prestar especial atenci\u00f3n a las cuentas de administrador y gestor de tienda.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No todos los usuarios representan el mismo nivel de riesgo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un suscriptor o un comprador habitual no dispone, por defecto, de las mismas capacidades que un administrador.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, VulnCue no propone exigir autom\u00e1ticamente el segundo factor a los perfiles que \u00fanicamente compran o est\u00e1n suscritos a la web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde mi punto de vista, este enfoque es acertado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No se trata de complicar innecesariamente el acceso a todos los usuarios, sino de proteger especialmente aquellas cuentas que pueden realizar cambios importantes en la instalaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso s\u00ed, debemos recordar que cualquier rol personalizado puede tener capacidades especiales. Antes de establecer la pol\u00edtica, conviene revisar los permisos reales de cada perfil.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Establecer un periodo de adaptaci\u00f3n antes de exigirlo<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Una de las funciones que m\u00e1s valoro de VulnCue es la posibilidad de establecer un periodo de adaptaci\u00f3n antes de hacer obligatoria la autenticaci\u00f3n en dos pasos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto resulta especialmente \u00fatil cuando administramos p\u00e1ginas web con varios usuarios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Imaginemos que hoy decidimos exigir el 2FA a todos los editores de una web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si la obligaci\u00f3n entrase en vigor inmediatamente y alguien no tuviese preparada su aplicaci\u00f3n de autenticaci\u00f3n, podr\u00edamos provocar interrupciones innecesarias en su trabajo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para evitarlo, VulnCue permite configurar un plazo de gracia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante ese periodo, los usuarios afectados pueden completar la configuraci\u00f3n de su segundo factor antes de que la pol\u00edtica pase a exigirse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mi recomendaci\u00f3n es comunicar previamente el cambio, explicar c\u00f3mo configurar la aplicaci\u00f3n y asegurarnos de que todos los usuarios conocen la importancia de guardar sus c\u00f3digos de respaldo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n conviene revisar que existe al menos una cuenta administradora con acceso correctamente verificado antes de aplicar cambios globales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En una web peque\u00f1a, configurar el 2FA puede ser cuesti\u00f3n de unos minutos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En una empresa con varios usuarios, lo importante no es \u00fanicamente activar la funci\u00f3n, sino hacerlo sin interrumpir el trabajo de nadie.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Una buena pol\u00edtica de seguridad debe proteger la web y, al mismo tiempo, ser razonablemente f\u00e1cil de cumplir.<\/strong><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">\u00bfQu\u00e9 pasa si pierdes el m\u00f3vil o no puedes acceder a WordPress?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Una de las dudas m\u00e1s habituales cuando hablamos de autenticaci\u00f3n en dos pasos es qu\u00e9 ocurre si perdemos el tel\u00e9fono.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y entiendo perfectamente esa preocupaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nadie quiere activar una medida de seguridad que despu\u00e9s pueda impedirle entrar en su propia p\u00e1gina web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De hecho, considero que este miedo es una de las razones por las que algunos administradores siguen utilizando \u00fanicamente una contrase\u00f1a.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, los sistemas de autenticaci\u00f3n bien planteados suelen incorporar mecanismos de recuperaci\u00f3n para estas situaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En el caso de VulnCue tenemos varias opciones, dependiendo del acceso que conservemos a nuestra instalaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo importante es conocerlas antes de necesitarlas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No tiene demasiado sentido preocuparnos por los c\u00f3digos de respaldo cuando ya hemos perdido el tel\u00e9fono y necesitamos entrar urgentemente en WordPress.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Recuperar el acceso con los c\u00f3digos de respaldo<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La primera opci\u00f3n consiste en utilizar uno de los c\u00f3digos de recuperaci\u00f3n generados durante la configuraci\u00f3n del 2FA.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Recordemos que VulnCue proporciona diez c\u00f3digos de un solo uso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si no podemos acceder a nuestra aplicaci\u00f3n de autenticaci\u00f3n, podremos utilizar uno de estos c\u00f3digos como m\u00e9todo alternativo de verificaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para ello, iniciamos sesi\u00f3n normalmente con nuestro usuario y contrase\u00f1a.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando aparezca la comprobaci\u00f3n del segundo factor, utilizamos la opci\u00f3n de recuperaci\u00f3n disponible e introducimos uno de los c\u00f3digos de respaldo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si es v\u00e1lido y no se ha utilizado anteriormente, podremos completar el acceso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una vez dentro, conviene revisar la configuraci\u00f3n del 2FA y preparar un nuevo dispositivo de autenticaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n es recomendable invalidar cualquier secreto antiguo que pudiera haber quedado expuesto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, si hemos perdido el tel\u00e9fono en un lugar p\u00fablico y no sabemos qui\u00e9n puede tener acceso a \u00e9l, lo m\u00e1s prudente es restablecer el segundo factor y configurarlo nuevamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los c\u00f3digos de recuperaci\u00f3n no deber\u00edan convertirse en nuestro m\u00e9todo habitual de acceso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Son una medida de emergencia que debemos reservar para situaciones excepcionales.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Restablecer el 2FA desde otra cuenta administradora<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfY si hemos perdido el m\u00f3vil y tampoco encontramos los c\u00f3digos de respaldo?<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En ese caso, VulnCue ofrece otra posibilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si existe otra cuenta administradora con acceso al escritorio de WordPress, podr\u00e1 restablecer el 2FA del usuario afectado desde la pantalla de administraci\u00f3n del plugin.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dentro del apartado de autenticaci\u00f3n en dos pasos, VulnCue dispone de una tabla de usuarios con una opci\u00f3n <strong>Reset 2FA<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta funci\u00f3n permite retirar la configuraci\u00f3n del segundo factor de una cuenta para que pueda configurarse nuevamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Naturalmente, debemos utilizarla con cuidado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Antes de restablecer el acceso de cualquier usuario, es importante comprobar su identidad por un canal fiable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No tendr\u00eda sentido instalar autenticaci\u00f3n en dos pasos para protegernos del robo de credenciales y despu\u00e9s permitir que cualquiera solicite su desactivaci\u00f3n mediante un simple mensaje.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En proyectos empresariales, recomiendo documentar un procedimiento b\u00e1sico de recuperaci\u00f3n de cuentas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De esta forma, los responsables de la web saben c\u00f3mo actuar si alguien pierde su dispositivo sin tener que improvisar en una situaci\u00f3n de urgencia.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Opciones de recuperaci\u00f3n de emergencia<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Existe una tercera posibilidad para situaciones excepcionales: utilizar el acceso a los archivos del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VulnCue incorpora un mecanismo de emergencia que permite desactivar temporalmente su comprobaci\u00f3n 2FA mediante una constante en el archivo <a href=\"https:\/\/www.hostingtg.com\/blog\/wp-config-php-optimizacion-configuracion\/\"><code>wp-config.php<\/code><\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La constante es:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><code>define('VULNCUE_2FA_DISABLE', true);<\/code><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta opci\u00f3n puede ser \u00fatil cuando no disponemos de una cuenta administradora accesible y necesitamos recuperar el control de nuestra instalaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, <strong>no recomiendo utilizarla como procedimiento habitual<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para modificar <code>wp-config.php<\/code> necesitamos tener acceso autorizado al servidor o al alojamiento web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, debemos realizar una copia de seguridad del archivo antes de editarlo y comprobar que introducimos la constante correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Al activar esta opci\u00f3n estamos suspendiendo la verificaci\u00f3n 2FA de VulnCue, por lo que conviene limitar su uso al tiempo estrictamente necesario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una vez recuperado el acceso, debemos solucionar el problema original, configurar nuevamente el segundo factor y eliminar la constante de emergencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s, es recomendable comprobar otra vez que el 2FA vuelve a exigirse correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta posibilidad de recuperaci\u00f3n me parece especialmente interesante para quienes trabajamos administrando servidores y alojamientos, porque permite disponer de una alternativa cuando los procedimientos normales no funcionan.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso s\u00ed, tener acceso al servidor implica una responsabilidad importante: debemos protegerlo con el mismo cuidado que protegemos las cuentas de WordPress.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Ventajas de utilizar VulnCue para proteger WordPress<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Existen diferentes plugins que permiten a\u00f1adir autenticaci\u00f3n en dos pasos a WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, podemos encontrar soluciones como Two-Factor o <a href=\"https:\/\/www.hostingtg.com\/blog\/wordfence-wordpress\/\">Wordfence Login Security<\/a>, cada una con sus propias caracter\u00edsticas y m\u00e9todos de configuraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, VulnCue no es la \u00fanica manera de activar el 2FA.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, considero que tiene algunas caracter\u00edsticas interesantes para administradores que buscan una soluci\u00f3n sencilla y quieren revisar otros aspectos de seguridad de su instalaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La primera es que no necesitamos instalar un complemento independiente para disponer de autenticaci\u00f3n en dos factores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La segunda es que permite establecer pol\u00edticas seg\u00fan los roles de usuario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y la tercera es que combina la protecci\u00f3n del inicio de sesi\u00f3n con herramientas de an\u00e1lisis de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Conviene recordar que estamos hablando de funciones distintas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El 2FA protege un proceso concreto de autenticaci\u00f3n, mientras que los an\u00e1lisis de seguridad ayudan a detectar determinadas configuraciones inseguras y vulnerabilidades conocidas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una cosa no sustituye a la otra.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Autenticaci\u00f3n 2FA gratuita y sin plugins adicionales<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">VulnCue incluye la autenticaci\u00f3n en dos pasos dentro de sus funciones gratuitas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos instalar el plugin desde el repositorio oficial de WordPress y activar el segundo factor sin contratar una suscripci\u00f3n ni crear una cuenta adicional.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para configurarlo, cada usuario accede a su perfil y vincula una aplicaci\u00f3n de autenticaci\u00f3n compatible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s, el inicio de sesi\u00f3n habitual requiere introducir el c\u00f3digo temporal correspondiente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n podemos configurar la obligatoriedad por roles, establecer periodos de gracia y utilizar c\u00f3digos de recuperaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Todo ello sin tener que a\u00f1adir otro plugin dedicado exclusivamente al 2FA.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde mi punto de vista, esto simplifica la administraci\u00f3n de la web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No significa que instalar varios plugins sea necesariamente inseguro, ni que debamos elegir un complemento \u00fanicamente porque re\u00fane muchas funciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo importante es que las herramientas que instalamos est\u00e9n mantenidas, sean compatibles con nuestra web y respondan a necesidades reales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero si ya utilizamos VulnCue para revisar aspectos de seguridad de WordPress, disponer del 2FA integrado puede resultar especialmente pr\u00e1ctico.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Verificaci\u00f3n local y privacidad<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hay otro detalle que considero interesante: <strong>VulnCue realiza localmente la verificaci\u00f3n de los c\u00f3digos de autenticaci\u00f3n<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto significa que el secreto utilizado para generar los c\u00f3digos TOTP y la comprobaci\u00f3n del segundo factor se gestionan dentro de nuestra instalaci\u00f3n de WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No es necesario enviar cada c\u00f3digo temporal a un servicio externo para validarlo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, el plugin indica que el c\u00f3digo QR se genera en el navegador sin realizar una llamada de red externa para dibujarlo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es una caracter\u00edstica que valoro especialmente cuando hablamos de seguridad y privacidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ahora bien, debemos hacer una distinci\u00f3n importante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Que la verificaci\u00f3n 2FA sea local no significa que todas las funciones de VulnCue funcionen siempre sin comunicaciones externas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, la comprobaci\u00f3n de vulnerabilidades conocidas puede consultar el cat\u00e1logo de VulnCue utilizando los identificadores t\u00e9cnicos y versiones de los plugins y temas instalados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La verificaci\u00f3n de integridad del n\u00facleo tambi\u00e9n puede realizar consultas a los servicios oficiales de WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Estas funciones se pueden gestionar desde las opciones del complemento, y algunas caracter\u00edsticas adicionales requieren conectar voluntariamente una cuenta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, <strong>la afirmaci\u00f3n correcta es que la autenticaci\u00f3n 2FA se verifica localmente<\/strong>, no que el plugin nunca realice conexiones de red.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Diferenciar estos aspectos resulta importante para comprender qu\u00e9 datos intervienen en cada funci\u00f3n.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">An\u00e1lisis de seguridad y detecci\u00f3n de vulnerabilidades conocidas<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s de incorporar autenticaci\u00f3n en dos pasos, VulnCue permite <a href=\"https:\/\/www.hostingtg.com\/blog\/securizar-wordpress-con-vulncue\/\">revisar diferentes aspectos de seguridad de WordPress<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entre las comprobaciones documentadas encontramos el estado de actualizaci\u00f3n de WordPress, plugins y temas, determinadas configuraciones inseguras, versiones de PHP sin soporte y archivos sensibles que podr\u00edan estar expuestos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n puede revisar vulnerabilidades conocidas que afecten a componentes instalados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto resulta \u00fatil porque la seguridad de una web no depende \u00fanicamente de qui\u00e9n consigue iniciar sesi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos tener una configuraci\u00f3n 2FA perfectamente funcional y seguir utilizando un plugin con una vulnerabilidad conocida.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n podemos proteger las cuentas de administrador y mantener archivos sensibles accesibles desde la carpeta p\u00fablica del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Son riesgos diferentes que deben tratarse mediante medidas espec\u00edficas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En este sentido, me parece interesante utilizar herramientas que nos ayuden a identificar problemas antes de sufrir sus consecuencias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso s\u00ed, debemos tener claro que <strong>VulnCue no corrige autom\u00e1ticamente todas las vulnerabilidades que detecta<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Su funci\u00f3n principal de an\u00e1lisis es identificar hallazgos y ofrecer informaci\u00f3n para resolverlos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s tendremos que aplicar las actualizaciones o los cambios necesarios, directamente o con ayuda de <a href=\"https:\/\/www.hostingtg.com\/mantenimiento-web-wordpress\/\">la persona responsable del mantenimiento<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tampoco sustituye a una auditor\u00eda completa, a un an\u00e1lisis externo o a una revisi\u00f3n profesional de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es una herramienta que puede ayudarnos a mejorar la protecci\u00f3n de nuestra instalaci\u00f3n, siempre que utilicemos sus resultados para tomar medidas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Buenas pr\u00e1cticas para mantener seguro el acceso a WordPress<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Llegados a este punto, ya sabemos c\u00f3mo activar la autenticaci\u00f3n en dos pasos en WordPress y c\u00f3mo gestionar su funcionamiento con diferentes usuarios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero hay algo que quiero recalcar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>El 2FA es una capa adicional de seguridad, no una soluci\u00f3n m\u00e1gica que proteja autom\u00e1ticamente toda nuestra p\u00e1gina web.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A lo largo de mi experiencia trabajando con servidores y alojamientos, he aprendido que la seguridad funciona mejor cuando aplicamos varias medidas complementarias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No basta con instalar un plugin y olvidarnos del mantenimiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tampoco sirve de mucho disponer de contrase\u00f1as robustas si utilizamos componentes vulnerables o concedemos permisos de administrador a usuarios que no los necesitan.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La mejor estrategia consiste en reducir las oportunidades de ataque y limitar las consecuencias de una posible intrusi\u00f3n.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Mantener WordPress, temas y plugins actualizados<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Las actualizaciones son una parte fundamental del mantenimiento de seguridad de WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tanto el n\u00facleo como los plugins y temas pueden recibir <a href=\"https:\/\/www.hostingtg.com\/blog\/wordpress-7-1-3-que-vulnerabilidades-corrige\/\">correcciones relacionadas con vulnerabilidades conocidas<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando ignoramos estas actualizaciones durante demasiado tiempo, podemos dejar nuestra instalaci\u00f3n expuesta a problemas que ya tienen una soluci\u00f3n disponible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mi recomendaci\u00f3n es establecer una rutina de mantenimiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No tenemos por qu\u00e9 actualizar todo sin revisar qu\u00e9 estamos instalando, especialmente en p\u00e1ginas importantes o tiendas WooCommerce.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo razonable es disponer de copias de seguridad, <a href=\"https:\/\/www.hostingtg.com\/blog\/staging-wordpress\/\">comprobar la compatibilidad de las actualizaciones<\/a> y aplicarlas sin demoras innecesarias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n conviene eliminar los plugins y temas que no utilizamos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tener componentes desactivados pero abandonados no aporta ning\u00fan beneficio y puede complicar la gesti\u00f3n de la seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por otro lado, debemos prestar atenci\u00f3n a la <a href=\"https:\/\/www.hostingtg.com\/blog\/cambiar-version-php-en-cpanel\/\">versi\u00f3n de PHP<\/a> que utiliza nuestro alojamiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mantener una versi\u00f3n compatible y con soporte de seguridad ayuda a reducir riesgos en el entorno donde se ejecuta WordPress.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Proteger las cuentas con permisos elevados<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No todas las cuentas de WordPress necesitan los mismos permisos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un usuario encargado de redactar art\u00edculos no deber\u00eda disponer autom\u00e1ticamente de acceso a todas las configuraciones de administraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Del mismo modo, una persona que \u00fanicamente necesita consultar determinados contenidos no deber\u00eda tener permisos para instalar plugins o modificar usuarios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta idea se conoce como <a href=\"https:\/\/www.hostingtg.com\/blog\/roles-en-wordpress\/\">principio de m\u00ednimo privilegio<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Consiste en conceder a cada usuario \u00fanicamente los permisos necesarios para realizar su trabajo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En la pr\u00e1ctica, recomiendo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Utilizar cuentas individuales en lugar de compartir usuarios de administraci\u00f3n.<\/li>\n\n\n\n<li>Reservar el rol de administrador para quienes realmente lo necesiten.<\/li>\n\n\n\n<li>Activar el 2FA en todas las cuentas con permisos elevados.<\/li>\n\n\n\n<li>Revisar peri\u00f3dicamente los usuarios que tienen acceso a WordPress.<\/li>\n\n\n\n<li>Eliminar o desactivar las cuentas que ya no sean necesarias.<\/li>\n\n\n\n<li>Utilizar contrase\u00f1as \u00fanicas y un gestor de contrase\u00f1as fiable.<\/li>\n\n\n\n<li>Mantener protegidos los c\u00f3digos de recuperaci\u00f3n.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Si administramos una tienda WooCommerce, tambi\u00e9n conviene revisar las capacidades de los gestores de tienda y otros perfiles personalizados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, debemos recordar que no todos los mecanismos de acceso utilizan necesariamente el formulario de inicio de sesi\u00f3n convencional.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En el caso de VulnCue, su verificaci\u00f3n 2FA no se aplica autom\u00e1ticamente a las contrase\u00f1as de aplicaci\u00f3n, a la API REST ni a XML-RPC.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso es importante revisar qu\u00e9 integraciones y m\u00e9todos de autenticaci\u00f3n est\u00e1n habilitados en nuestra instalaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La autenticaci\u00f3n en dos pasos debe formar parte de una pol\u00edtica de acceso m\u00e1s amplia.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Por qu\u00e9 el 2FA no sustituye otras medidas de seguridad<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos imaginar la seguridad de WordPress como un conjunto de barreras.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La contrase\u00f1a es una de ellas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La autenticaci\u00f3n en dos pasos a\u00f1ade otra.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las actualizaciones, las copias de seguridad, la configuraci\u00f3n del servidor y los controles de acceso aportan protecciones adicionales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando combinamos estas medidas, resulta m\u00e1s dif\u00edcil que un \u00fanico error termine comprometiendo toda la instalaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero debemos evitar pensar que activar el 2FA nos protege frente a cualquier escenario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, si un atacante explota una vulnerabilidad que permite ejecutar c\u00f3digo sin iniciar sesi\u00f3n, la autenticaci\u00f3n en dos factores podr\u00eda no intervenir en absoluto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Del mismo modo, si alguien consigue comprometer el servidor o una sesi\u00f3n ya autenticada, disponer de 2FA no garantiza que podamos impedir todas sus acciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso considero importante mantener una estrategia de seguridad que incluya prevenci\u00f3n, detecci\u00f3n y recuperaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las copias de seguridad son especialmente relevantes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Debemos conservarlas en una ubicaci\u00f3n adecuada y comprobar peri\u00f3dicamente que podemos restaurarlas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n conviene monitorizar posibles accesos sospechosos y revisar los cambios importantes que se realizan en la web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No podemos eliminar completamente todos los riesgos, pero s\u00ed podemos reducirlos de forma considerable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y, entre todas las medidas disponibles, activar el 2FA sigue siendo una de las m\u00e1s sencillas de aplicar para mejorar la protecci\u00f3n de las cuentas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Dudas de la comunidad<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfWordPress incorpora el 2FA de forma nativa?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">En una instalaci\u00f3n est\u00e1ndar de WordPress autogestionado, el n\u00facleo no incluye un sistema TOTP de autenticaci\u00f3n en dos pasos habilitado por defecto para los usuarios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para disponer de esta protecci\u00f3n normalmente necesitamos instalar un plugin que a\u00f1ada la funcionalidad o utilizar una soluci\u00f3n de autenticaci\u00f3n externa compatible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Existen varios complementos que permiten hacerlo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, el plugin Two-Factor ofrece diferentes m\u00e9todos de verificaci\u00f3n, mientras que VulnCue incorpora autenticaci\u00f3n mediante aplicaciones TOTP junto con otras herramientas de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es importante no confundir WordPress.org con WordPress.com.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las cuentas de WordPress.com disponen de sus propias opciones de autenticaci\u00f3n en dos pasos, pero su configuraci\u00f3n no es necesariamente la misma que la de una instalaci\u00f3n WordPress autogestionada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Personalmente, considero que ser\u00eda interesante disponer de una protecci\u00f3n de este tipo integrada directamente en WordPress, especialmente para los administradores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mientras tanto, podemos activarla f\u00e1cilmente mediante un plugin.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfSe puede activar el 2FA en WordPress gratis?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">S\u00ed. No necesitamos contratar una herramienta de pago para activar la autenticaci\u00f3n en dos pasos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Existen plugins gratuitos que permiten configurar esta protecci\u00f3n mediante aplicaciones de autenticaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">VulnCue es una de las opciones disponibles.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Su funci\u00f3n de 2FA est\u00e1 incluida gratuitamente y no exige crear una cuenta externa para utilizarla.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos instalarlo desde el repositorio oficial de WordPress y vincular una aplicaci\u00f3n compatible desde el perfil de usuario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n incluye c\u00f3digos de recuperaci\u00f3n y opciones para exigir el segundo factor seg\u00fan los roles.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, el coste no deber\u00eda ser una barrera para mejorar la protecci\u00f3n del acceso a nuestra web.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfQu\u00e9 aplicaci\u00f3n de autenticaci\u00f3n puedo utilizar?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Para configurar el 2FA mediante TOTP podemos utilizar aplicaciones compatibles con este est\u00e1ndar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entre las opciones habituales encontramos Google Authenticator, Microsoft Authenticator y Authy.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El procedimiento consiste en vincular la aplicaci\u00f3n con nuestra cuenta de WordPress mediante un c\u00f3digo QR.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una vez configurada, la aplicaci\u00f3n genera c\u00f3digos temporales que utilizaremos durante el inicio de sesi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo importante es elegir una aplicaci\u00f3n fiable, mantener protegido el tel\u00e9fono y conocer sus opciones de copia de seguridad o transferencia de cuentas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n debemos conservar los c\u00f3digos de recuperaci\u00f3n proporcionados por el plugin.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De esa manera tendremos una alternativa si perdemos el dispositivo.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfPuedo obligar a todos los usuarios a activar el 2FA?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Depende del plugin y de la configuraci\u00f3n utilizada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Con VulnCue podemos establecer pol\u00edticas que exijan la autenticaci\u00f3n en dos pasos a determinados roles de usuario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, podemos aplicarlas a administradores, editores o autores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, permite configurar un periodo de gracia para que los usuarios preparen su segundo factor antes de que la obligaci\u00f3n entre en vigor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto resulta especialmente \u00fatil en p\u00e1ginas donde trabajan varias personas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En una tienda WooCommerce, no recomiendo exigir autom\u00e1ticamente el 2FA a todos los compradores sin estudiar previamente el impacto sobre la experiencia de usuario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es preferible comenzar por las cuentas con permisos elevados y ampliar la pol\u00edtica cuando exista una necesidad real.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfLa autenticaci\u00f3n en dos pasos protege contra todos los ataques?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La autenticaci\u00f3n en dos pasos reduce el riesgo de accesos no autorizados mediante credenciales comprometidas, pero no elimina todas las amenazas que pueden afectar a WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, no corrige vulnerabilidades de plugins, problemas de configuraci\u00f3n del servidor ni fallos que permitan acceder al sistema por v\u00edas diferentes al inicio de sesi\u00f3n protegido.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, determinados ataques de phishing pueden capturar c\u00f3digos temporales y utilizarlos inmediatamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso debemos combinar el 2FA con actualizaciones, copias de seguridad, controles de acceso y revisiones peri\u00f3dicas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n conviene utilizar herramientas que ayuden a detectar configuraciones inseguras y componentes vulnerables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El objetivo no es depender de una \u00fanica medida, sino construir varias capas de protecci\u00f3n.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Protege hoy mismo el acceso a tu WordPress<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s de tantos a\u00f1os trabajando con WordPress, servidores y alojamientos web, sigo pensando que uno de los errores m\u00e1s habituales es esperar a sufrir un problema de seguridad para empezar a tomar medidas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nos preocupamos por la velocidad de carga, el posicionamiento SEO, las actualizaciones y el funcionamiento de nuestros plugins, pero en ocasiones olvidamos algo tan b\u00e1sico como proteger correctamente el acceso a la administraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Activar la autenticaci\u00f3n en dos pasos en WordPress es una medida sencilla que puede evitar que una contrase\u00f1a robada se convierta directamente en un acceso no autorizado.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No necesitamos complicarnos con configuraciones avanzadas ni contratar necesariamente un servicio de pago.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Con herramientas como VulnCue podemos activar el 2FA gratuitamente, utilizar aplicaciones como Google Authenticator, guardar c\u00f3digos de recuperaci\u00f3n y exigir esta protecci\u00f3n a los usuarios con permisos elevados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, podemos aprovechar sus funciones de an\u00e1lisis para identificar determinados problemas de seguridad y vulnerabilidades conocidas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso s\u00ed, debemos recordar que el 2FA no sustituye las actualizaciones, las copias de seguridad ni el mantenimiento del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/www.hostingtg.com\/blog\/como-mejorar-la-seguridad-en-wordpress\/\">La seguridad de WordPress<\/a> es un proceso continuo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mi recomendaci\u00f3n es: <strong>si todav\u00eda accedes a tu WordPress \u00fanicamente con un usuario y una contrase\u00f1a, activa la autenticaci\u00f3n en dos pasos cuanto antes<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puedes encontrar el complemento en el <a href=\"https:\/\/es.wordpress.org\/plugins\/vulncue\/\" target=\"_blank\" rel=\"noopener\">repositorio oficial de WordPress<\/a> o consultar m\u00e1s informaci\u00f3n en <a href=\"https:\/\/vulncue.com\/\" target=\"_blank\" rel=\"noopener\">VulnCue<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No hace falta esperar a que alguien intente entrar en nuestra web para justificar unos minutos de configuraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y ahora me gustar\u00eda conocer vuestra experiencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u00bfTen\u00e9is activada la autenticaci\u00f3n en dos pasos en vuestros WordPress o segu\u00eds utilizando \u00fanicamente una contrase\u00f1a? \u00bfCre\u00e9is que WordPress deber\u00eda incorporar esta protecci\u00f3n de forma nativa y activarla por defecto para los administradores?<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Os leo en los comentarios.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Despu\u00e9s de tantos a\u00f1os trabajando con servidores, alojamientos web y p\u00e1ginas WordPress, hay algo que sigo viendo con demasiada frecuencia: muchos propietarios de p\u00e1ginas web se preocupan por actualizar sus plugins y mantener WordPress al d\u00eda, pero siguen protegiendo el acceso a su web \u00fanicamente con una contrase\u00f1a. Y, desde mi punto de vista, es [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":10173,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"set","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[491],"tags":[1519,1517,236,197],"class_list":["post-10172","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-wordpress","tag-2fa","tag-autenticacion-en-dos-pasos","tag-seguridad","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts\/10172","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/comments?post=10172"}],"version-history":[{"count":3,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts\/10172\/revisions"}],"predecessor-version":[{"id":10176,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts\/10172\/revisions\/10176"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/media\/10173"}],"wp:attachment":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/media?parent=10172"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/categories?post=10172"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/tags?post=10172"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}