La contraseña de tu WordPress se puede adivinar, se puede filtrar en una base de datos ajena y se puede reutilizar sin querer. El doble factor tapa justo ese agujero. Y se activa en cinco minutos.
Esta guía es el recorrido completo, con las pantallas reales que vas a ver. Incluye la parte que casi ninguna guía cuenta y que es la que genera la llamada de socorro: qué hacer el día que pierdes el móvil.
Qué es el doble factor, en una frase
Es pedir dos pruebas en vez de una para entrar en tu web: algo que sabes (tu contraseña) y algo que tienes (tu móvil).
Quien te robe la contraseña se queda a medias, porque le falta tu teléfono. Ese es todo el concepto.
Lo interesante es de qué te protege en la práctica. Los accesos indebidos a un WordPress rara vez vienen de alguien descifrando tu contraseña por fuerza bruta: vienen de contraseñas filtradas en otra web donde usaste la misma, de un correo de phishing que imita tu pantalla de acceso, o de un equipo con un programa espía que apunta lo que tecleas. En los tres casos el atacante acaba teniendo tu contraseña correcta. El doble factor es lo que hace que eso no le sirva de nada.
Qué necesitas antes de empezar
Poca cosa:
- Tu móvil, el de siempre.
- Una aplicación de códigos instalada en él. Wordfence funciona con Google Authenticator, FreeOTP y Authy, entre otras. Cualquiera vale y son gratuitas.
- Cinco minutos sin prisa. No lo hagas con el pie en el estribo: al final hay unos códigos de repuesto que conviene guardar con cabeza.
- El plugin Wordfence instalado en tu WordPress. Si no lo tienes, tu web puede llevar otro sistema; escríbenos y te decimos cuál usas.
Un aviso para que no te desconciertes: el panel de Wordfence está en inglés. No hay versión en español. Te vamos diciendo qué es cada botón.
Qué aplicación de códigos elegir
Todas hacen lo mismo (enseñar un número que cambia cada 30 segundos), así que lo que las diferencia es qué pasa el día que cambias de teléfono:
| Aplicación | ¿Copia de seguridad? | Le encaja a |
|---|---|---|
| Google Authenticator | Sí, en tu cuenta de Google | Quien ya vive en el ecosistema de Google |
| Authy | Sí, y funciona en varios dispositivos | Quien cambia de móvil a menudo o quiere tenerlo también en la tablet |
| FreeOTP | No, se queda en el móvil | Quien prefiere software libre y no quiere nada en la nube |
| Tu gestor de contraseñas | Sí, la del propio gestor | Quien ya usa Bitwarden o 1Password para todo |
Una advertencia sobre la última fila. Guardar los códigos en el mismo gestor donde tienes la contraseña es muy cómodo, pero junta las dos pruebas en un solo sitio: quien entre en tu gestor tendrá las dos. Sigue siendo mejor que no tener doble factor, pero si el gestor es tu única cerradura, protégelo a él con doble factor también.
El recorrido, paso a paso
1. Entra en la pantalla del doble factor
Dentro de tu WordPress, en el menú de la izquierda, busca Wordfence y pincha en Login Security (seguridad de acceso).
Arriba verás tres pestañas. La del medio es Two-Factor Authentication. Esa es.
2. Escanea el código con el móvil
Esta es la pantalla completa:
A la izquierda tienes un código QR, ese cuadrado de puntos. Abre la aplicación de códigos en el móvil, dale a añadir cuenta y apunta con la cámara al cuadrado.
Si la cámara se resiste, debajo del cuadrado está la misma clave escrita en letras y números. En la aplicación puedes elegir “introducir clave manualmente” y teclearla.
En cuanto lo escanees, la aplicación empieza a enseñarte un número de seis cifras que cambia cada 30 segundos. Eso es lo que te va a pedir tu web a partir de ahora.
3. Guarda los códigos de repuesto
A la derecha, donde pone Download Recovery Codes, hay cinco códigos de 16 caracteres. En la captura los hemos tapado, porque los tuyos no se enseñan a nadie.
Cada uno sirve una sola vez. Son tu plan B. Léete el apartado de más abajo antes de seguir, que es importante.
Con el botón DOWNLOAD te los descargas en un fichero.
4. Confirma y activa
Abajo a la derecha hay una casilla donde pone 123456. Escribe ahí el número que te esté enseñando la aplicación en ese momento y pulsa ACTIVATE (activar).
Ya está. Tu WordPress tiene doble factor.
Cómo se entra a partir de ahora
Pones tu usuario y tu contraseña como siempre. Después aparece esta pantalla pidiendo el código:
Abres la aplicación, miras el número de seis cifras y lo escribes. Dentro.
Son cinco segundos más al entrar. A cambio, tu contraseña por sí sola deja de abrir la puerta.
Si el código no te lo acepta
Pasa, y casi siempre es una de estas tres cosas:
El número había caducado. Duran 30 segundos. Si lo copias justo cuando está a punto de cambiar, llegas tarde. Espera al siguiente y escríbelo entero.
La hora del móvil va desajustada. Esta es la causa que más despista, porque nada parece roto. El código no viaja por internet: se calcula con una clave y con la hora. Si el reloj del teléfono va unos minutos adelantado o atrasado respecto al del servidor, los números que genera no cuadran con los que espera tu web. La solución es poner el móvil en hora automática, en los ajustes de fecha y hora, y volver a probar.
Estás mirando la cuenta equivocada. Si administras varias webs, la aplicación te lista varias entradas parecidas. Comprueba que el código que copias es el de la web en la que estás entrando.
Los códigos de repuesto: dónde sí y dónde no
Los cinco códigos que te has descargado sirven para entrar cuando no tienes el móvil delante.
Son tan poderosos como tu contraseña. O sea que se guardan igual de bien.
Dónde guardarlos:
- En un gestor de contraseñas (Bitwarden, 1Password, el llavero de tu móvil). Es la mejor opción.
- Impresos en papel, en el cajón donde guardas los papeles importantes. Suena antiguo y funciona.
Dónde no guardarlos:
- En la propia web. Ni en un borrador, ni en un archivo subido, ni en Medios. Si alguien entra, se lleva la llave y el repuesto de la llave a la vez.
- En el mismo móvil que genera los códigos. Si pierdes el móvil, pierdes las dos cosas.
- En un correo a ti mismo, ni en una nota sin contraseña.
Si gastas alguno, o si dudas de dónde acabó el fichero, entra en la misma pantalla de Two-Factor Authentication, desactiva el doble factor y vuelve a activarlo: se generan cinco códigos nuevos y los anteriores dejan de servir.
He perdido el móvil
Es el momento en el que la gente se pone nerviosa. No hace falta: tienes salida, y el orden importa.
| Tu situación | Qué haces |
|---|---|
| Puedes entrar y tienes los códigos | Entras con un código de repuesto y lo vuelves a montar con el móvil nuevo |
| No tienes móvil ni códigos | Hay que desactivarlo desde el servidor. Llámanos |
| Vas a cambiar de móvil con calma | Lo trasladas antes de deshacerte del viejo |
Si todavía puedes entrar en tu web
Da igual desde dónde: otro ordenador, otra sesión abierta. Hazlo así:
- Entra con tu usuario, tu contraseña y uno de los cinco códigos de repuesto. Ese código se gasta.
- Ve a Wordfence → Login Security → Two-Factor Authentication.
- Desactiva el doble factor y vuelve a activarlo con el móvil nuevo. Se genera un código QR distinto y cinco códigos de repuesto nuevos. Los viejos dejan de valer.
- Guarda los códigos nuevos donde toca.
Si has perdido el móvil y los códigos
Aquí ya no hay atajo desde el navegador: el doble factor está haciendo exactamente lo que le pediste. Se arregla desde el servidor, no desde tu pantalla.
Llámanos. Si tu web está con nosotros, lo desactivamos desde dentro, entras con tu contraseña y lo volvemos a montar contigo. Se resuelve en la misma llamada.
Si tu web no está con nosotros, quien te lleve el alojamiento tiene que hacer eso mismo. Y si nadie tiene acceso al servidor ni a la base de datos, ahí sí hay un problema serio, porque no queda por dónde entrar.
Si cambias de móvil con calma
Es el caso fácil, y conviene hacerlo antes de deshacerte del teléfono viejo:
- Con el móvil viejo todavía en la mano, entra en tu web.
- Desactiva el doble factor y vuelve a activarlo escaneando el nuevo QR con el móvil nuevo.
- Comprueba que entras con el móvil nuevo antes de borrar el viejo.
Si tu aplicación hace copia en la nube, es probable que se lleve las cuentas sola al teléfono nuevo. Compruébalo igualmente antes de dar el viejo por perdido.
Ponlo en todo el equipo, no solo en tu cuenta
Lo que has hecho hasta aquí protege tu usuario. Si tu web la tocan más personas, el eslabón débil es la cuenta que no lo tiene.
En la pestaña Settings (ajustes) de Login Security está la sección 2FA Roles, con un desplegable por cada tipo de usuario de WordPress:
Cada rol admite tres valores:
| Valor | Qué significa |
|---|---|
| Disabled | Ese rol no puede usar doble factor |
| Optional | Puede activarlo quien quiera, pero no se le obliga |
| Required | Es obligatorio para todos los usuarios de ese rol |
El criterio razonable es exigirlo a quien puede hacer daño: administradores siempre, y editores si publican y tocan configuración. A un suscriptor que solo lee no le hace falta.
Justo debajo está Grace Period (periodo de gracia): los días que le das a cada persona para configurarlo. Si pasa el plazo y no lo ha hecho, pierde el acceso a su cuenta. Para usuarios nuevos cuenta desde que se crea la cuenta; para los que ya existen, desde que activas la obligación.
Y aquí va el detalle que se salta todo el mundo, escrito en la propia pantalla: el periodo de gracia no se aplica automáticamente a los administradores, hay que activarlo a mano en cada uno. O sea que si pones “Required” para administradores dando por hecho que tienen diez días de margen, puede que no los tengan. Antes de exigirlo a todo el equipo, avisa a la gente y comprueba caso por caso.
Para saber quién lo tiene ya, en esa misma pantalla hay un resumen (User Summary) que cuenta, por cada rol, cuántos usuarios tienen el doble factor activo y cuántos no. Es la forma rápida de comprobar que la medida ha calado, en vez de suponerlo.
Qué no hace el doble factor
Conviene tenerlo claro para no confiarse. El doble factor protege la puerta de entrada. No hace estas otras cosas:
- No limpia lo que ya está dentro. Si tu web tiene código malicioso metido de antes, el doble factor no lo toca. Eso es una limpieza de malware, que es otro trabajo.
- No tapa un plugin desactualizado. Buena parte de los ataques no pasan por la pantalla de acceso: entran por un fallo de un plugin viejo. Ahí la defensa es el mantenimiento al día.
- No arregla una contraseña compartida por WhatsApp. Si el segundo factor está en un móvil que usan tres personas, el control de quién entra se difumina.
Es una capa, y de las más rentables por lo poco que cuesta. Pero es una capa.
Preguntas frecuentes
¿Tengo que poner el código cada vez que entro? Cada vez que inicias sesión. Si marcas la casilla de recordar el equipo, tu navegador aguanta la sesión un tiempo y no te lo pide en cada visita.
¿Y si no tengo cobertura o me quedo sin datos? Funciona igual. Los códigos se calculan en el propio móvil con la hora, no se envían por internet ni por SMS. En un avión también funciona.
¿Lo tienen que poner todos los del equipo? Al menos todos los que sean administradores, que son los que pueden tocarlo todo. Cada persona lo activa en su propia cuenta con su propio móvil: no se comparte un código entre varios.
¿Se puede quedar mi web bloqueada por esto? Para eso están los cinco códigos de repuesto. Y si se pierden también, se desactiva desde el servidor. Guardar los códigos en un sitio distinto del móvil es lo que evita el susto.
¿Me sirve el SMS en vez de la aplicación? La aplicación es mejor. El SMS se puede desviar duplicando la tarjeta, un fraude que existe y se usa. El código generado en el móvil no viaja por ningún sitio.
¿Esto frena los ataques de fuerza bruta? Ayuda con lo que importa: aunque acierten tu contraseña, no entran. Para frenar el aluvión de intentos, el doble factor se combina con el resto de medidas del plugin y del servidor.
¿Hace más lenta mi web? No. Solo actúa en la pantalla de acceso, que es una página que tus visitantes no ven. Quien entra a leer tu web no nota nada.
¿Y si tengo varias webs? Cada una lleva su propio doble factor y aparece como una entrada distinta en la aplicación. Ponles nombres reconocibles al añadirlas, o acabarás con cinco entradas parecidas y sin saber cuál es cuál.
¿Puedo usarlo si entro desde el móvil? Sí. Cambias a la aplicación de códigos, lo copias y vuelves al navegador. Es algo más incómodo que desde el ordenador, pero funciona igual.
¿Y si el que se va de la empresa tenía el doble factor puesto? Su código deja de importar en cuanto le quitas el usuario o le cambias el rol. Lo que hay que hacer al salir alguien es revisar los usuarios de la web, no perseguir su móvil.
Conclusión
El doble factor es de las pocas medidas de seguridad que cuestan cinco minutos una vez y siguen protegiéndote todos los días. La parte que de verdad hay que hacer bien no es escanear el cuadrado: es guardar los códigos de repuesto en un sitio que no sea tu web ni tu móvil, y acordarse del resto del equipo.
Si prefieres no hacerlo tú, en los planes de Gestión WordPress lo activamos nosotros y nos ocupamos de lo demás. Cuéntanoslo y lo vemos.
Artículos relacionados
- Plugins de seguridad para WordPress: guía completa
- Cómo saber si tu WordPress ha sido hackeado
- Limpieza de malware en WordPress: proceso paso a paso
- Seguridad y cumplimiento legal en WordPress
- Mantenimiento profesional de WordPress
¿Y si tu WordPress lo lleváramos nosotros?
Actualizaciones, seguridad, backups verificados, staging y rendimiento, gestionado de forma continua por una persona que responde, donde ya lo tengas o te lo montamos. Auditoría gratuita de tu web actual.
