Si hace una sola cosa para proteger su inicio de sesión de WordPress, que sea esta. La verificación en dos pasos para WordPress — 2FA, por sus siglas en inglés — es la cerradura más valiosa que puede ponerle a la puerta principal de su sitio, porque significa que una contraseña robada por sí sola ya no basta para entrar. Las contraseñas se filtran constantemente, en brechas que no tienen nada que ver con su sitio, y los atacantes prueban esos datos de acceso filtrados en los inicios de sesión de WordPress por millones. La verificación en dos pasos derrota sin ruido casi todo eso. Esta guía explica qué es, cómo funciona, cómo activarla y dónde un buen proveedor le quita la preocupación de encima.
La idea es sencilla: en lugar de solo “algo que sabe” (su contraseña), iniciar sesión también requiere “algo que tiene” (normalmente su teléfono). Aunque alguien tenga su contraseña, no puede presentar el segundo factor, así que se queda en la puerta.
Por qué una contraseña por sí sola ya no basta
La realidad incómoda es que las contraseñas son una sola línea de defensa débil, sin que tenga ninguna culpa:
- La reutilización está en todas partes. La mayoría de la gente reutiliza las contraseñas en varios sitios, así que una brecha en alguna empresa que no tiene nada que ver les da a los atacantes una contraseña que quizá también abra su administración de WordPress.
- Los datos de acceso filtrados se venden al por mayor. Circulan miles de millones de pares de correo y contraseña filtrados, y las herramientas automáticas los prueban en los formularios de inicio de sesión de toda la web, incluido el suyo.
- Los intentos de adivinar son implacables y automáticos. Los bots machacan las pantallas de inicio de sesión de WordPress día y noche probando contraseñas comunes, un problema que cubrimos en la protección de WordPress contra la fuerza bruta.
Un acceso de administrador comprometido es una de las formas más directas en que se toma un sitio — está cerca de lo más alto de la lista en por qué hackean los sitios WordPress. La verificación en dos pasos es la medida que convierte una contraseña robada de una entrada forzada en un callejón sin salida.
Los tipos de segundo factor, del mejor al de respaldo
No todos los segundos factores son iguales. Más o menos en orden de fortaleza:
- Una aplicación de autenticación (de las que generan un código de seis dígitos que va cambiando). Gratis, funciona en su teléfono, sirve sin señal y es el punto justo entre fuerte y fácil para la mayoría de los dueños de sitios. Es la primera que conviene usar.
- Una llave de seguridad física. Un pequeño dispositivo que toca o conecta — la opción más fuerte, y vale la pena para sitios de mucho valor, aunque es más de lo que necesitan la mayoría de los sitios pequeños.
- Códigos por correo. Mejor que nada y fáciles, pero solo tan seguros como la cuenta de correo que hay detrás.
- Códigos por mensaje de texto (SMS). La opción común más débil, porque los SMS se pueden interceptar o desviar — está bien como respaldo, pero si puede, prefiera una aplicación.
Para casi todos los sitios de negocios, una aplicación de autenticación es la respuesta correcta: fuerte, gratis y lo bastante sencilla como para que su equipo de verdad la use.
Cómo activarla
WordPress no trae la verificación en dos pasos de serie, así que se agrega con un plugin de buena reputación — hay varias opciones gratis y bien mantenidas, y muchos plugins de seguridad más amplios la incluyen como función. La configuración es corta:
- Instale un plugin de verificación en dos pasos confiable desde una fuente de buena reputación, o compruebe si su plugin de seguridad ya la ofrece.
- Escanee el código QR que le muestra con una aplicación de autenticación en su teléfono, lo que conecta los dos.
- Escriba el código de seis dígitos para confirmar la conexión.
- Guarde sus códigos de respaldo en un lugar seguro. Estos códigos de un solo uso le dejan volver a entrar si alguna vez pierde el teléfono — es el paso que la gente se salta y después lamenta.
Unos consejos prácticos. Active la verificación en dos pasos en todas las cuentas de administrador y de editor, no solo en la suya — un sitio está tan protegido como su administrador menos protegido. Hágala obligatoria y no opcional, para que un miembro nuevo del equipo no se la salte sin decir nada. Y guarde esos códigos de respaldo donde pueda encontrarlos, para que perder el teléfono sea una molestia menor y no le deje fuera.
La verificación en dos pasos es una cerradura, no toda la puerta
Vale la pena tener claro lo que hace y lo que no hace. Es una defensa excelente para la pantalla de inicio de sesión — probablemente la mejor por sí sola — pero no arregla un plugin vulnerable, no frena el tráfico malicioso antes de que llegue a su sitio ni limpia el malware. Es una capa de defensa, no toda la defensa. El conjunto completo de hábitos y protecciones está en nuestra lista de seguridad de WordPress y, si se pregunta si un plugin de seguridad cubre todo lo que necesita, ¿necesita un plugin de seguridad para WordPress? es un repaso honesto de dónde termina el trabajo de un plugin y dónde empieza el de un proveedor.
Lo que le quita de encima un buen proveedor
La verificación en dos pasos protege el inicio de sesión, pero solo protege la parte del inicio de sesión que maneja usted. Un proveedor bien llevado suma las capas que la verificación en dos pasos no puede, para que una contraseña filtrada se frene de más de una forma. En nuestros planes, la protección del inicio de sesión contra contraseñas filtradas compara los datos de acceso con las filtraciones conocidas y bloquea las contraseñas que ya quedaron expuestas en otros lugares — así que una contraseña reutilizada y comprometida se rechaza antes de que la verificación en dos pasos tenga siquiera que atraparla. Los intentos de inicio de sesión se limitan para cortar los intentos automáticos de adivinar, un firewall por capas con una lista viva de atacantes conocidos rechaza las computadoras a las que ya pillaron atacando otros sitios, y la búsqueda de malware funciona de forma continua. Súmele la verificación en dos pasos y la puerta principal es de verdad difícil de forzar.
Mantenemos la base de seguridad activa desde el principio en lugar de venderla como un nivel premium — es parte del precio fijo de $29.99 al mes, por sitio. Usted sigue activando la verificación en dos pasos en sus cuentas (eso lo controla usted), y el resto de las defensas que la rodean simplemente está ahí.
Cierre con llave la puerta principal hoy
Activar la verificación en dos pasos lleva unos cinco minutos y cierra la forma más común en que se entra a la fuerza en un sitio. Hágalo esta misma tarde, en cada cuenta de administrador. Y si quiere que las capas que la rodean — protección contra contraseñas filtradas, un firewall de verdad, límite de intentos de inicio de sesión (limitar los intentos repetidos), búsqueda de malware — funcionen sin que tenga que armarlas, eche un vistazo a nuestros planes de WordPress administrado. Una persona real con base en EE. UU. mudará su sitio gratis y se asegurará de que toda la puerta principal, no solo una cerradura, esté protegida.