La autenticación en dos pasos en WordPress añade una comprobación al inicio de sesión. Es útil para reducir el riesgo de acceso con una contraseña robada, pero debe implantarse con una forma de recuperación que la persona responsable pueda utilizar.
Esta guía propone un procedimiento para una web autogestionada. Los menús de WordPress.com y de las cuentas de WordPress.org corresponden a servicios distintos: no presupongas que sus ajustes protegen el panel de tu propia instalación.
Qué protege el segundo factor
WordPress explica que la autenticación combina factores, como una contraseña que conoces y un dispositivo que tienes. La protección se aplica al acceso cubierto por la implementación elegida. No sustituye las actualizaciones, las copias ni la revisión de permisos.
Mi recomendación es empezar por las cuentas con capacidad de administrar la web y extender después el procedimiento a quienes publican o editan contenido. Revisa antes los roles de usuario de WordPress: una persona que solo redacta no necesita todos los permisos de administración.
Revisa lo existente antes de instalar
Comprueba si tu solución de seguridad o proveedor de identidad ya ofrece un segundo factor. Evita superponer dos sistemas sin probar cómo se relacionan. Documenta qué pantalla de acceso utiliza cada persona y si existen accesos alternativos.
Como ejemplo concreto, el plugin Two Factor, publicado por WordPress.org, permite configurar métodos desde el perfil de usuario, entre ellos una aplicación TOTP y códigos de respaldo. Esto describe una opción disponible, no implica que esté instalada en tu web.
Configura primero una cuenta de prueba
- Ensaya en un entorno de staging con una cuenta adecuada.
- En la solución elegida, activa el método y completa su verificación. Con Two Factor, la documentación sitúa las opciones en Usuarios → Tu perfil.
- Genera los códigos de respaldo y consérvalos en una ubicación segura accesible para su titular.
- Abre una sesión nueva y comprueba el acceso completo antes de cerrar la sesión desde la que configuraste el sistema.
Si utilizas una aplicación TOTP, sigue las instrucciones de vinculación de la herramienta. No envíes capturas del QR ni guardes el secreto en tickets de soporte compartidos: permite generar los códigos de esa cuenta.
Prepara la recuperación antes de necesitarla
Los códigos de respaldo son de un solo uso. La documentación de Two Factor los contempla como método para emergencias. Comprueba su funcionamiento con una prueba controlada y anota que el código utilizado ya no debe conservarse como disponible.
Como procedimiento operativo, define quién puede ayudar a recuperar una cuenta, cómo comprobará la identidad y dónde están las instrucciones. La recuperación no debería depender únicamente del teléfono que se pretende sustituir.
Ejemplo hipotético: una editora cambia de móvil. Antes de borrar el anterior, prueba el método del nuevo dispositivo en una sesión independiente y confirma que mantiene una vía de recuperación. No desactives la protección de todos los usuarios para resolver un único acceso.
Separa el acceso humano de las integraciones
Revisa también las conexiones de herramientas externas. No asumas que una prueba correcta del formulario de login valida todas las rutas de autenticación. Las contraseñas de aplicación necesitan su propio inventario, permisos y procedimiento de revocación.
Propongo registrar cada integración con responsable, función y fecha de revisión, sin copiar credenciales en el documento. Comprueba su funcionamiento después de cambiar la autenticación.
Lista de aceptación
- El usuario puede completar un acceso en una sesión nueva.
- Un segundo factor incorrecto impide completar ese acceso.
- La recuperación se ha ensayado sin bloquear al titular.
- Las cuentas con permisos elevados están identificadas.
- Las integraciones necesarias siguen funcionando.
Guarda el resultado y los pendientes en el registro de mantenimiento. Activar una opción no demuestra por sí solo que todas las cuentas estén protegidas.
¿Necesitas revisar los accesos de tu web?
El mantenimiento WordPress permite coordinar permisos, actualizaciones y recuperación.
Fuentes oficiales
Fuentes consultadas el 28 de octubre de 2026. La secuencia de pruebas es una propuesta operativa que debe adaptarse a cada instalación.
