Cómo activar la autenticación en dos pasos en WordPress
Contenido de esta guía
La autenticación en dos pasos en WordPress agrega una segunda verificación al iniciar sesión: además de la contraseña, debes escribir un código temporal que genera una app en tu teléfono. Así, aunque alguien robe o adivine tu contraseña, no puede entrar. WordPress no la incluye de serie, pero se activa en minutos con un plugin como Two Factor.
Por qué es una de las medidas más efectivas
La mayoría de los accesos no autorizados usan contraseñas filtradas en otros sitios, adivinadas por fuerza bruta o robadas con correos falsos. En todos esos casos, el atacante tiene la contraseña, pero no tiene tu teléfono. Con la 2FA activa, la contraseña sola ya no basta.
Qué método elegir
| Método | Seguridad | Comentario |
|---|---|---|
| App de autenticación (TOTP) | Alta | Funciona sin conexión; es el método recomendado |
| Códigos de respaldo | Alta, si se guardan bien | Imprescindibles para no quedarte afuera |
| Código por correo | Media | Depende de la seguridad de tu correo |
Cómo activarla paso a paso
Instala el plugin
Ve a Plugins › Añadir nuevo, busca «Two Factor», instálalo y actívalo. Comprueba que el autor figure como WordPress.org.
Abre tu perfil
En Usuarios › Perfil baja hasta la sección de opciones de dos factores. Cada usuario configura su propio método.
Configura la app de autenticación
Activa el método de contraseñas de un solo uso por tiempo (TOTP). Escanea el código QR con la app de tu teléfono y escribe el código de seis dígitos que muestra para confirmar.
Genera y guarda los códigos de respaldo
Activa también los códigos de respaldo, genéralos y guárdalos en un lugar seguro fuera del teléfono, por ejemplo en tu gestor de contraseñas. Cada código sirve una sola vez.
Elige el método principal y prueba
Marca la app como método principal y guarda el perfil. Cierra sesión y vuelve a entrar: después de la contraseña, WordPress te pedirá el código.
Buenas prácticas
- Guarda los códigos de respaldo fuera del teléfono: si lo pierdes, los pierdes con él.
- Si cambias de teléfono, transfiere la app de autenticación o vuelve a configurar la 2FA antes de borrar el teléfono anterior.
- Activa la 2FA en todos los usuarios con permisos de edición, no solo en el tuyo.
- Combínala con contraseñas únicas y un límite de intentos de acceso, como explica la guía de seguridad en WordPress.
Los nombres de las opciones dependen de la versión del plugin y de su traducción. Si no encuentras exactamente los mismos textos, busca en tu perfil la sección dedicada a los métodos de dos factores.
Guía revisada con WordPress 7.1 y Two Factor 0.17.