Cómo configurar la autenticación de dos factores (2FA) en tu sitio web
La autenticación de dos factores (2FA) es una de las medidas de seguridad más eficaces que puedes tomar para proteger tu sitio web frente a accesos no autorizados. En una época en la que los ciberataques son cada vez más sofisticados, la autenticación de dos factores añade una capa extra de seguridad además de tu contraseña. En esta guía completa te explicamos paso a paso cómo configurar la 2FA en tu sitio web, qué métodos hay disponibles y por qué es esencial para cualquier propietario de un sitio web. Echa también un vistazo a nuestra oferta de hosting web.
¿Qué es exactamente la autenticación de dos factores?
La autenticación de dos factores, también llamada verificación en dos pasos o 2FA, es un método de seguridad en el que tienes que aportar dos formas distintas de identificación antes de acceder a tu cuenta. Esto significa que, aunque alguien conozca tu contraseña, sigue necesitando un segundo factor para iniciar sesión. Los dos factores suelen pertenecer a estas categorías:
- Algo que sabes: tu contraseña o tu PIN
- Algo que tienes: tu teléfono, un token de hardware o una app de autenticación
- Algo que eres: datos biométricos, como la huella dactilar o el reconocimiento facial
Al combinar dos de estos factores, les resulta exponencialmente más difícil a los malintencionados acceder a tu sitio web. Incluso en una filtración de datos en la que se filtren contraseñas, tu cuenta sigue protegida con la autenticación de dos factores.
Por qué la autenticación de dos factores es imprescindible
Las estadísticas muestran que más del 80 % de las filtraciones de datos están relacionadas con contraseñas débiles o robadas. La autenticación de dos factores bloquea hasta el 99,9 % de los ataques automatizados a cuentas. Estas son las principales razones por las que debes activar la 2FA:
Protección frente a ataques de fuerza bruta
En un ataque de fuerza bruta, el atacante prueba de forma sistemática todas las combinaciones posibles de contraseña. Con la autenticación de dos factores, la contraseña por sí sola no basta, por lo que estos ataques resultan inútiles. Lee también nuestra guía sobre cómo proteger tu sitio web para conocer más estrategias de protección.
Protección frente al phishing
Aunque introduzcas tu contraseña por error en un sitio web falso, el atacante no puede iniciar sesión sin el segundo factor. Esto convierte la 2FA en un arma poderosa contra los ataques de phishing, cada vez más convincentes.
Cumplimiento normativo y confianza
Muchas normativas, como el RGPD, exigen medidas de seguridad adecuadas. La autenticación de dos factores es una buena práctica reconocida que demuestra que te tomas en serio la seguridad de los datos de los usuarios. Esto aumenta la confianza de tus visitantes y clientes.
Comparativa de métodos de autenticación de dos factores
Hay varios métodos disponibles para implantar la autenticación de dos factores en tu sitio web. Cada método tiene sus propias ventajas e inconvenientes. A continuación comparamos las opciones más habituales:
| Método | Seguridad | Facilidad de uso | Coste | Adecuado para |
|---|---|---|---|---|
| App de autenticación (TOTP) | Alta | Buena | Gratis | Todos los sitios web |
| Códigos por SMS | Media | Muy buena | Por SMS | Uso sencillo y accesible |
| Token de hardware (U2F/FIDO2) | Muy alta | Buena | Compra única | Seguridad elevada |
| Verificación por correo | Baja-media | Muy buena | Gratis | Seguridad básica |
| Notificaciones push | Alta | Excelente | Variable | Usuarios de móvil |
| Biométrica (WebAuthn) | Muy alta | Excelente | Gratis | Dispositivos modernos |
Configurar la autenticación de dos factores con una app de autenticación
El método más recomendado de autenticación de dos factores es el uso de una app de autenticación. Estas apps generan cada 30 segundos un código único que introduces además de tu contraseña. Entre las apps de autenticación más populares están Google Authenticator, Microsoft Authenticator y Authy.
Paso 1: elige una app de autenticación
Descarga una app de autenticación en tu smartphone. Recomendamos Authy por su función de copia de seguridad en la nube, que evita que pierdas tus códigos si se estropea tu teléfono. Otras buenas opciones son:
- Google Authenticator: sencilla y fiable, no necesita cuenta
- Microsoft Authenticator: ideal si ya usas productos de Microsoft
- Authy: admite copia de seguridad en la nube y varios dispositivos
- 1Password: integrada en el gestor de contraseñas
Paso 2: activa la 2FA en el panel de tu sitio web
Inicia sesión en el panel de administración de tu sitio web y ve a los ajustes de seguridad. En la mayoría de los CMS y paneles de hosting encontrarás la opción de autenticación de dos factores en "Seguridad" o "Ajustes de la cuenta". ¿Usas DirectAdmin como panel de hosting? Entonces encontrarás la opción de 2FA en los ajustes de tu cuenta.
Paso 3: escanea el código QR
Tu sitio web muestra un código QR que escaneas con tu app de autenticación. Así se intercambia un secreto compartido (shared secret) que es la base para generar los códigos. Guarda también en un lugar seguro los códigos de recuperación que se muestran.
Paso 4: verifica y activa
Introduce el código de 6 cifras que muestra tu app de autenticación para confirmar que todo está bien configurado. Tras la verificación, la autenticación de dos factores queda activa en tu cuenta.
Configurar la autenticación de dos factores en WordPress
WordPress es el CMS más utilizado del mundo y, por eso, un objetivo popular para los hackers. Por suerte, configurar la autenticación de dos factores en tu sitio WordPress es sencillo con los plugins adecuados. Echa también un vistazo a nuestra guía sobre el mantenimiento de WordPress para más consejos de seguridad.
Plugins de 2FA recomendados para WordPress
Hay varios plugins fiables para la autenticación de dos factores en WordPress:
- Wordfence Security: plugin de seguridad completo con 2FA integrada
- WP 2FA: centrado específicamente en la autenticación de dos factores y con muchas opciones
- Google Authenticator by miniOrange: admite varios métodos de 2FA
- Two Factor Authentication: plugin ligero para una 2FA básica
- iThemes Security: plugin de seguridad todo en uno con compatibilidad con 2FA
Instalación paso a paso
Sigue estos pasos para configurar la autenticación de dos factores en tu sitio web WordPress:
- Ve a Plugins > Añadir nuevo en el escritorio de WordPress
- Busca "WP 2FA" u otro plugin de 2FA a tu elección
- Haz clic en Instalar ahora y después en Activar
- El asistente de configuración se inicia automáticamente: sigue los pasos
- Elige el método de 2FA que prefieras (se recomienda la app de autenticación)
- Escanea el código QR con tu app de autenticación
- Introduce el código de verificación y guarda los códigos de recuperación
- Opcional: haz obligatoria la 2FA para todos los roles de usuario
Tras la instalación puedes definir qué roles de usuario deben usar obligatoriamente la autenticación de dos factores. Para una seguridad máxima, recomendamos exigirla como mínimo a administradores y editores.
Autenticación de dos factores para DirectAdmin y otros paneles de hosting
Además de tu propio sitio web, también es importante configurar la autenticación de dos factores en tu panel de hosting. Si usas DirectAdmin, puedes activar la 2FA así:
- Inicia sesión en DirectAdmin
- Ve a Account Manager > Two-Step Authentication
- Haz clic en Enable Two-Step Authentication
- Escanea el código QR con tu app de autenticación
- Introduce el código de verificación para confirmar
- Guarda los códigos de emergencia en un lugar seguro
No olvides configurar también la 2FA para tus cuentas FTP y el acceso a bases de datos, si tu proveedor de hosting lo admite.
Autenticación de dos factores basada en SMS
Aunque la 2FA basada en SMS es mejor que no tener 2FA, ya no se considera la opción más segura. Esto se debe a vulnerabilidades como el SIM swapping, en el que un atacante se hace con tu número de teléfono. Aun así, la 2FA por SMS puede ser útil como capa de seguridad adicional para cuentas menos críticas.
Ventajas de la 2FA por SMS
- Muy fácil de usar: cualquiera puede recibir SMS
- No hace falta ninguna app adicional
- Funciona en cualquier tipo de teléfono (también sin smartphone)
Desventajas de la 2FA por SMS
- Vulnerable a ataques de SIM swapping
- Los mensajes SMS se pueden interceptar
- Depende de la cobertura de la red móvil
- Coste por cada SMS enviado
Tokens de hardware para la máxima seguridad
Para el mayor nivel de seguridad puedes usar tokens de hardware como YubiKey o SoloKeys. Estos dispositivos físicos son compatibles con el protocolo FIDO2/WebAuthn y son prácticamente imposibles de hackear a distancia. Son especialmente adecuados para empresas con altos requisitos de seguridad.
Los tokens de hardware funcionan realizando un handshake criptográfico con el sitio web. Solo tienes que conectar el token por USB o NFC y tocarlo para confirmar tu identidad. No se envía ningún código que se pueda interceptar.
Tokens de hardware populares
| Token | Precio (desde) | Protocolos | Conexión |
|---|---|---|---|
| YubiKey 5 NFC | ~50 € | FIDO2, U2F, TOTP, PIV | USB-A, NFC |
| YubiKey 5C | ~55 € | FIDO2, U2F, TOTP, PIV | USB-C |
| SoloKeys Solo 2 | ~30 € | FIDO2, U2F | USB-A, NFC |
| Thetis FIDO2 | ~25 € | FIDO2, U2F | USB-A |
| Google Titan Key | ~35 € | FIDO2, U2F | USB-A/C, NFC, BLE |
Buenas prácticas de autenticación de dos factores
Configurar la autenticación de dos factores es solo el primer paso. Para sacar el máximo partido a esta medida de seguridad, sigue estas buenas prácticas:
Guarda los códigos de recuperación en un lugar seguro
Al configurar la 2FA recibes códigos de recuperación con los que puedes iniciar sesión si pierdes tu segundo factor. Imprime estos códigos y guárdalos en un lugar físico seguro, o almacénalos en un gestor de contraseñas cifrado. No los guardes nunca sin cifrar en tu ordenador.
Usa un método de respaldo
Configura siempre un segundo método de 2FA como respaldo. Si tu método principal es una app de autenticación, añade también, por ejemplo, un token de hardware. Así evitas quedarte fuera si un método no está disponible.
Haz obligatoria la 2FA para todos los administradores
En un sitio web con varios usuarios debes exigir la autenticación de dos factores en todas las cuentas con derechos de administrador. Una cadena es tan fuerte como su eslabón más débil, y una cuenta de administrador sin protección es un riesgo de seguridad enorme.
Combina la 2FA con contraseñas seguras
La autenticación de dos factores no sustituye a una contraseña segura. Usa siempre contraseñas únicas de al menos 12 caracteres, con una mezcla de letras, números y caracteres especiales. Un gestor de contraseñas te ayuda con ello. Descubre también cómo un certificado SSL protege aún más tu sitio web.
Solucionar problemas con la autenticación de dos factores
A veces pueden surgir problemas con la 2FA. Estos son los problemas más habituales y sus soluciones:
Los códigos no funcionan
Si no se aceptan los códigos de tu app de autenticación, comprueba que la hora de tu teléfono esté bien configurada. Los códigos TOTP dependen del tiempo y incluso una diferencia de 30 segundos puede causar problemas. Pon la hora en automático en los ajustes de tu teléfono.
Teléfono perdido o robado
Usa los códigos de recuperación que guardaste para iniciar sesión. Si usas Authy con copia de seguridad en la nube, puedes instalar la app en un dispositivo nuevo y recuperar tus códigos. Si no, ponte en contacto con tu proveedor de hosting para un restablecimiento manual.
Desactivar la 2FA como medida de emergencia
Si ya no tienes acceso a tu segundo factor y no tienes códigos de recuperación, aún hay posibilidades. En WordPress puedes desactivar el plugin de 2FA por FTP cambiando el nombre de la carpeta del plugin. En los paneles de hosting tienes que ponerte en contacto con tu proveedor para la verificación de identidad y el restablecimiento.
Implantar la autenticación de dos factores para los visitantes
Además de proteger tus propias cuentas de administrador, también puedes ofrecer o exigir la autenticación de dos factores a los usuarios de tu sitio web. Es especialmente relevante para tiendas online, portales de socios y otros sitios en los que los usuarios guardan datos personales.
Aspectos a tener en cuenta en la implantación
- Haz la 2FA opcional para los usuarios normales: obligarla puede provocar abandonos
- Ofrece varios métodos: no todo el mundo tiene un smartphone
- Comunica las ventajas: explica por qué es importante la 2FA
- Cuida la documentación: haz que la configuración sea lo más sencilla posible
- Ofrece ayuda cuando haya problemas: ten un proceso de recuperación claro
El futuro de la autenticación de dos factores
La tecnología que hay detrás de la autenticación de dos factores evoluciona rápido. Las passkeys, basadas en el protocolo FIDO2/WebAuthn, cuentan cada vez con más compatibilidad y prometen un futuro en el que quizá desaparezcan por completo las contraseñas. Esta tecnología usa la verificación biométrica o un PIN en tu dispositivo como sustituto de la contraseña tradicional más el segundo factor.
Grandes empresas tecnológicas como Apple, Google y Microsoft ya admiten passkeys en sus navegadores y sistemas operativos. Para los propietarios de sitios web, esto significa que, además de la 2FA tradicional, también debes estar preparado para estos nuevos estándares.
Lista de comprobación: implantar la autenticación de dos factores
Usa esta lista de comprobación para asegurarte de no pasar nada por alto al implantar la autenticación de dos factores en tu sitio web:
- Haz un inventario de todas las cuentas con acceso a tu sitio web
- Elige un método principal de 2FA (se recomienda la app de autenticación)
- Instala y configura el plugin o módulo necesario
- Activa primero la 2FA en tu propia cuenta de administrador
- Prueba a fondo el proceso de inicio de sesión con la nueva 2FA
- Guarda los códigos de recuperación de forma segura (en físico y/o cifrados)
- Configura un método de 2FA de respaldo
- Haz obligatoria la 2FA para todos los usuarios con derechos de administrador
- Documenta el proceso de recuperación en caso de perder la 2FA
- Informa a todos los usuarios de la nueva medida de seguridad
- Comprueba con regularidad que la 2FA sigue funcionando correctamente
La autenticación de dos factores ya no es un lujo, sino una necesidad para cualquier sitio web. Si configuras la 2FA hoy mismo, no solo te proteges a ti, sino también los datos de tus visitantes. Empieza por tus cuentas más importantes y amplía poco a poco a todos los sistemas que uses. El pequeño esfuerzo extra al iniciar sesión compensa de sobra la enorme mejora de seguridad que ofrece la autenticación de dos factores.
Comparativa de métodos de autenticación de dos factores
No todas las formas de autenticación de dos factores ofrecen el mismo nivel de seguridad. La elección del método adecuado depende de tu situación concreta, del perfil de riesgo de tu sitio web y de la facilidad de uso para tus visitantes. A continuación comparamos los métodos de 2FA más utilizados según su seguridad, coste y utilidad práctica.
| Método de 2FA | Nivel de seguridad | Coste | Facilidad de uso | Adecuado para |
|---|---|---|---|---|
| Verificación por SMS | Básico | Bajo | Muy sencilla | Sitios web pequeños, blogs |
| App de autenticación (TOTP) | Alto | Gratis | Sencilla | La mayoría de los sitios web |
| Llave de seguridad de hardware (U2F) | Muy alto | EUR 20-60 por llave | Media | Datos sensibles, ecommerce |
| Notificaciones push | Alto | Variable | Muy sencilla | Entornos empresariales |
| Biométrica (WebAuthn) | Muy alto | Gratis | Muy sencilla | Navegadores modernos |
La verificación por SMS es la forma más conocida, pero también la más vulnerable. Los ataques de SIM swapping permiten a los delincuentes hacerse con tu número de teléfono. Las apps de autenticación como Google Authenticator o Authy generan códigos que dependen del tiempo, cambian cada 30 segundos y funcionan totalmente sin conexión. Esto las hace bastante más seguras que los SMS.
Las llaves de seguridad de hardware como estándar de oro
Para una protección máxima, las llaves de seguridad de hardware como YubiKey o SoloKey son la mejor opción. Estos dispositivos físicos usan el protocolo FIDO2/WebAuthn y son prácticamente imposibles de suplantar mediante phishing. La llave tiene que estar físicamente presente al iniciar sesión, lo que descarta los ataques remotos. Cada vez más proveedores de hosting y plataformas admiten este método.
Errores habituales al implantar la autenticación de dos factores
Al configurar la autenticación de dos factores en tu sitio web, con frecuencia algo sale mal. Estos errores pueden socavar la seguridad o dejar fuera a los usuarios. Conoce los problemas para poder evitarlos.
- No guardar códigos de respaldo: si pierdes el teléfono sin códigos de respaldo, te quedas fuera de tu propia cuenta. Guarda siempre los códigos de recuperación en un lugar seguro y sin conexión.
- Configurar la 2FA solo para administradores: todos los usuarios con acceso a información sensible deben usar la 2FA, no solo los administradores.
- No probar el procedimiento de recuperación: prueba el proceso de recuperación antes de necesitarlo. Muchos sitios web ofrecen un procedimiento engorroso que en la práctica no funciona.
- Confiar solo en el SMS: el SMS es mejor que nada, pero bastante más débil que las soluciones basadas en apps o en hardware.
- No formar a los usuarios: sin explicaciones, los usuarios abandonan. Prepara instrucciones claras y ofrece ayuda para la configuración.
Una implantación sólida de la autenticación de dos factores requiere también una buena política de contraseñas. Combina la 2FA con contraseñas seguras y únicas y un firewall para sitios web para una protección óptima. No olvides proteger tu VPS si alojas tu sitio web tú mismo.
Autenticación de dos factores para WordPress y tiendas online
Para los sitios web WordPress hay varios plugins que añaden la autenticación de dos factores. Las opciones más populares son Wordfence, WP 2FA y Two Factor Authentication de miniOrange. Cada uno ofrece ventajas únicas:
- Wordfence: combina la 2FA con un firewall completo y un escáner de malware. Ideal si buscas una solución todo en uno para la seguridad de WordPress.
- WP 2FA: plugin ligero específico para la autenticación de dos factores. Admite apps TOTP y el correo electrónico como segundo factor.
- miniOrange: ofrece la mayoría de los métodos de 2FA, entre ellos la verificación por teléfono, las notificaciones push y las preguntas de seguridad.
Para las tiendas online con WooCommerce, la autenticación de dos factores es especialmente importante por los datos de los clientes y la información de pago. Implanta la 2FA como mínimo para todos los administradores y empleados con acceso al escritorio. Plantéate también ofrecer a los clientes la opción de proteger su cuenta con 2FA, sobre todo si guardan datos de pago. Un buen hosting para tiendas online ofrece medidas de seguridad a nivel de servidor como capa de protección adicional.
El futuro de la autenticación de dos factores: passkeys y acceso sin contraseña
El futuro de la autenticación de dos factores está en el inicio de sesión sin contraseña. Las passkeys, desarrolladas por la FIDO Alliance y respaldadas por Apple, Google y Microsoft, sustituyen por completo a las contraseñas tradicionales. En lugar de una contraseña más un segundo factor, usas una única clave criptográfica almacenada en tu dispositivo y protegida con biometría o un PIN.
Las passkeys ofrecen varias ventajas frente a la 2FA tradicional. Resisten el phishing porque la clave está vinculada al dominio concreto. No hay códigos que recordar ni que reescribir, lo que mejora la experiencia de usuario. Además, se sincronizan de forma segura entre tus dispositivos mediante iCloud Keychain, Google Password Manager o Windows Hello. Para los administradores de sitios web, esto significa menos solicitudes de restablecimiento de contraseña, mayores porcentajes de conversión en las páginas de inicio de sesión y mejor seguridad sin fricción adicional para los usuarios. La transición a las passkeys ya ha comenzado y se acelerará en los próximos años a medida que aumente la compatibilidad de los navegadores y los usuarios se familiaricen con la tecnología.
Fuentes y referencias
- WooCommerce: documentación oficial (woocommerce.com)
- Wordfence: WordPress Security Report (wordfence.com)
- Autoriteit Persoonsgegevens (la autoridad neerlandesa de protección de datos): información sobre el RGPD (autoriteitpersoonsgegevens.nl)
