Las contraseñas por sí solas ya no bastan para proteger tu web de WordPress. Los hackers usan ataques de fuerza bruta, listas de contraseñas robadas y phishing para conseguir acceso. La autenticación de dos factores (2FA) añade una capa de seguridad adicional que protege tu cuenta, incluso si tu contraseña se filtra.

¿Qué es la autenticación de dos factores?

La autenticación de dos factores exige dos formas distintas de identificación para iniciar sesión:

  • Algo que sabes: tu contraseña
  • Algo que tienes: tu teléfono con una app de autenticación

Sin ambos factores es imposible iniciar sesión. Un hacker que tenga tu contraseña sigue sin poder entrar si no tiene también tu teléfono.

Por qué la 2FA es esencial para WordPress

WordPress es el CMS más usado del mundo, lo que también lo convierte en el mayor objetivo de los hackers. Cada día se lanzan millones de ataques de fuerza bruta contra páginas de inicio de sesión de WordPress. Con la 2FA activada, estos ataques no sirven de nada, porque ni siquiera la contraseña correcta es suficiente.

Además, la 2FA te protege frente a:

  • Contraseñas que se han filtrado en una brecha de datos
  • Keyloggers que capturan tu contraseña
  • Ataques de phishing en los que entregas tu contraseña sin querer
  • Empleados con acceso a contraseñas compartidas

Comparativa de los mejores plugins de 2FA

Hay varios plugins para implementar la 2FA en WordPress. Estas son las opciones más fiables:

Wordfence Security

Si ya usas Wordfence como firewall y para analizar malware, su función de 2FA integrada es la elección lógica. Es totalmente gratuita (también en la versión gratuita) y funciona con cualquier app de autenticación TOTP. Lee nuestra guía completa de Wordfence para ver las instrucciones de instalación.

Ventajas de la 2FA de Wordfence:

  • Totalmente gratuita
  • Integrada con el firewall y la seguridad del inicio de sesión
  • Compatible con todas las apps TOTP estándar
  • Códigos de recuperación generados automáticamente

WP 2FA

WP 2FA es un plugin dedicado a la autenticación de dos factores que ofrece opciones más avanzadas. La versión gratuita es compatible con apps de autenticación TOTP, mientras que la versión premium también ofrece códigos por SMS y por correo electrónico.

Ventajas de WP 2FA:

  • Ajustes de políticas detallados por rol de usuario
  • 2FA obligatoria para roles concretos (por ejemplo, solo administradores)
  • Periodo de gracia para que los usuarios configuren la 2FA
  • Marca blanca para profesionales

Plugin Google Authenticator

Una opción ligera si solo quieres 2FA sin funciones adicionales. Funciona únicamente con Google Authenticator o apps compatibles.

Configuración paso a paso con Wordfence

Repasamos la instalación con Wordfence, la opción gratuita más completa:

1. Instalar Wordfence

Ve a Plugins > Añadir nuevo plugin y busca "Wordfence". Instala y activa "Wordfence Security - Firewall, Malware Scan, and Login Security".

2. Activar la 2FA

Ve a Wordfence > Login Security en la administración de WordPress. Ahora verás la página de configuración de la 2FA.

3. Preparar la app de autenticación

Descarga una app de autenticación en tu teléfono. Opciones recomendadas:

  • Google Authenticator (Android/iOS) - sencilla y fiable
  • Microsoft Authenticator (Android/iOS) - con copia de seguridad en la nube
  • Authy (Android/iOS/Desktop) - sincronización entre dispositivos

4. Escanear el código QR

Abre tu app de autenticación y escanea el código QR que muestra Wordfence. Ahora la app genera un nuevo código de 6 dígitos cada 30 segundos.

5. Introducir el código de verificación

Escribe el código actual de tu app de autenticación para confirmar que todo funciona. Haz clic en "Activate" para activar la 2FA.

6. Guardar los códigos de recuperación

Wordfence genera automáticamente códigos de recuperación. Descarga o imprime estos códigos y guárdalos en un lugar seguro (¡no en el mismo ordenador!). Los necesitarás si pierdes el teléfono o se te estropea.

Guardar los códigos de recuperación de forma segura

Los códigos de recuperación son tu salvavidas si ya no tienes acceso a tu app de autenticación. Trátalos como información muy confidencial:

  • Imprímelos y guárdalos en una caja fuerte o en un cajón cerrado con llave
  • Guárdalos en un gestor de contraseñas como Bitwarden o 1Password
  • Haz una copia de seguridad cifrada en una memoria USB que guardes aparte
  • Nunca los guardes en tu correo electrónico, en el escritorio ni en una app de notas sin protección

Cada código de recuperación se puede usar una sola vez. Después de usar uno, genera códigos nuevos en la administración de WordPress.

Hacer obligatoria la 2FA para todos los usuarios

Si tienes varios usuarios en tu web de WordPress, puedes hacer obligatoria la 2FA. En Wordfence, ve a Login Security > Settings y activa "Require 2FA for all administrators".

Con WP 2FA tienes más control y puedes configurar por rol de usuario:

  • Qué roles deben usar la 2FA obligatoriamente
  • Un periodo de gracia en el que los usuarios deben configurar la 2FA
  • Qué ocurre cuando termina el periodo de gracia

Preguntas frecuentes

¿Qué hago si pierdo el teléfono?

Usa uno de tus códigos de recuperación para iniciar sesión. Después ve directamente a Login Security y vuelve a configurar la 2FA con tu nuevo teléfono. Genera códigos de recuperación nuevos.

¿Puedo desactivar la 2FA para determinados usuarios?

Sí, en los ajustes del plugin puedes indicar para qué roles de usuario es obligatoria la 2FA. Te recomendamos proteger como mínimo todas las cuentas de Administrador y Editor.

¿La 2FA funciona con WooCommerce?

Sí, la 2FA protege el inicio de sesión de WordPress. Esto también se aplica a los usuarios que inician sesión a través de WooCommerce. Puedes hacer la 2FA opcional para los clientes y obligatoria para los administradores.

¿Cómo inicio sesión si los códigos no funcionan?

Comprueba que la hora de tu teléfono esté bien configurada (hora automática). Si los códigos no funcionan y no tienes códigos de recuperación, puedes desactivar la 2FA a través de la base de datos o desactivando el plugin por FTP. Ponte en contacto con soporte si necesitas ayuda con esto.

Consejos adicionales de seguridad

La 2FA es un paso importante, pero combínala con otras medidas de seguridad:

  • Usa contraseñas seguras y únicas para cada cuenta
  • Mantén WordPress, los plugins y los temas actualizados
  • Haz copias de seguridad con regularidad con UpdraftPlus
  • Limita el número de cuentas de administrador al mínimo
  • Plantéate cambiar la URL de wp-admin

En Theory7 nos tomamos la seguridad en serio. Todos nuestros planes de hosting incluyen análisis de malware con Patchman, y nuestro equipo de soporte está a tu disposición para ayudarte a proteger tu web de WordPress.