2FA en WordPress

🔐 Cómo activar la verificación en dos pasos (2FA) en WordPress

La verificación en dos pasos (también llamada 2FA o autenticación de dos factores) agrega una capa extra de seguridad a su sitio WordPress. Además de su contraseña, necesitará un código temporal generado en su teléfono para iniciar sesión. Así, aunque alguien descubra su contraseña, no podrá entrar a su sitio.

📋 ¿Qué necesita antes de empezar?

• Acceso de administrador a su sitio WordPress (su-dominio.com/wp-admin).
• Un teléfono con una aplicación de autenticación instalada, como Google Authenticator, Microsoft Authenticator o Authy (todas gratuitas, disponibles en App Store y Google Play).
• Revisar que no tenga ya otro plugin de seguridad con 2FA activado (por ejemplo Wordfence o Solid Security). Si ya lo tiene, use el 2FA de ese plugin y no instale un segundo: dos plugins de 2FA a la vez pueden dejarlo sin acceso.

🧩 Paso 1: Instalar el plugin de 2FA

Usaremos el plugin gratuito WP 2FA, uno de los más simples y confiables para esta tarea.

1. Inicie sesión en su panel de WordPress en su-dominio.com/wp-admin.
2. En el menú lateral, vaya a Plugins → Añadir plugin.
3. En el buscador, escriba WP 2FA. El autor que aparece es Melapress.
4. Haga clic en Instalar ahora y luego en Activar.

⚙️ Paso 2: Configurar la verificación con el asistente

Al activar el plugin se abrirá un asistente de configuración que lo guiará en pocos pasos:

1. Haga clic en «Let’s get started!». Este botón aparece en inglés aunque su WordPress esté en español.
2. Como método de verificación, seleccione «Código de un solo uso a través de una aplicación 2FA (TOTP)». Es la opción más segura.
3. Avance con los valores recomendados hasta finalizar el asistente. Por defecto el plugin no obliga a los demás usuarios a usar 2FA.

💡 Si el asistente le pregunta a quién exigir el 2FA, elija solo a los administradores. En una tienda WooCommerce no lo exija a todos los usuarios: sus clientes también tienen cuenta en WordPress y no podrían comprar sin configurar una aplicación.

📱 Paso 3: Vincular su teléfono

1. El plugin le mostrará un código QR en pantalla.
2. Abra la aplicación de autenticación en su teléfono y toque el botón para agregar una cuenta nueva (generalmente un símbolo «+»).
3. Escanee el código QR con la cámara de su teléfono.
4. La aplicación comenzará a generar códigos de 6 dígitos que cambian cada 30 segundos. Escriba el código actual en el campo de verificación de WordPress y confirme.

🧾 Paso 4: Guardar los códigos de respaldo

Al finalizar, el plugin le ofrecerá «Generar una lista de códigos de respaldo». Estos códigos le permiten entrar a su sitio si pierde o cambia su teléfono.

💡 Muy importante: use «Descargar» o «Imprimir» y guarde los códigos en un lugar seguro (no en el mismo teléfono). Cada código sirve una sola vez.

✅ ¿Cómo funciona el inicio de sesión ahora?

La próxima vez que inicie sesión en su-dominio.com/wp-admin, después de ingresar su usuario y contraseña, WordPress le pedirá el código de 6 dígitos de su aplicación de autenticación. Ábrala, escriba el código vigente y listo.

↩️ Si se quedó sin acceso

Si perdió el teléfono, primero use uno de sus códigos de respaldo. Si tampoco los tiene, puede desactivar el plugin usted mismo desde su panel de hosting, sin entrar a WordPress:

1. Abra el Administrador de archivos de su cPanel o DirectAdmin.
2. Entre a la carpeta de su sitio y luego a wp-content/plugins.
3. Cambie el nombre de la carpeta wp-2fa a wp-2fa-desactivado. WordPress desactiva el plugin y podrá entrar solo con su contraseña.
4. Una vez dentro, y sin cerrar la sesión, vuelva a dejarle el nombre wp-2fa, actívelo en Plugins y entre a su perfil para configurar el 2FA de nuevo con su teléfono nuevo. Si cierra la sesión antes, WordPress le volverá a pedir el código del teléfono antiguo.

🆘 ¿Necesita ayuda?

Si tiene cualquier problema con la configuración o no logra recuperar el acceso, no se preocupe: abra un ticket de soporte y nuestro equipo lo ayudará a recuperar el acceso a su sitio.