Seguridad del inicio de sesión y 2FA
Un segundo factor mantiene segura una cuenta cuando se filtra su contraseña. Hive incluye en el plugin gratuito apps de autenticación, códigos por correo, passkeys y llaves de hardware, con códigos de recuperación, dispositivos de confianza y obligación por rol. El complemento Pro añade códigos por SMS, el relay gestionado para los códigos, el desafío dentro de una tienda WooCommerce y políticas adaptativas. Los sensores del inicio de sesión están en Sensores y bloqueos.
Los métodos
| Método | Cómo funciona | Disponibilidad |
|---|---|---|
| App de autenticación (TOTP) | RFC 6238, seis dígitos, ventana de 30 segundos. Google Authenticator, Authy, 1Password, Bitwarden y similares. Un código se acepta una sola vez. | Gratis |
| Passkey o llave de seguridad (WebAuthn) | Face ID, Touch ID, Windows Hello, YubiKey y cualquier otro autenticador FIDO2. | Gratis, una llave por cuenta; varias llaves con Business |
| Código por correo | Seis dígitos por correo. Tres códigos cada 15 minutos, cinco intentos por código, 60 segundos entre dos envíos. | Gratis; a través del relay gestionado con el complemento Pro |
| Código por SMS | Seis dígitos a través del relay de SMS gestionado de reportedip.com, sin necesidad de cuenta con un proveedor de SMS. El número de teléfono se guarda cifrado. Cada reenvío espera un poco más: 0 s, 30 s, 1 min, 2 min, 5 min, 15 min. | Professional y superiores, con el complemento Pro |
| Códigos de recuperación | Diez códigos de un solo uso con el formato xxxx-xxxx, guardados como hash; aparece un aviso cuando quedan tres o menos. | Gratis |
| Dispositivo de confianza | Opcional: el dispositivo omite el segundo factor durante 30 días por defecto. Se guarda como hash SHA-256. | Gratis |
Los secretos se cifran en reposo con libsodium, con OpenSSL como alternativa. En la página de perfil cada usuario ve sus métodos como tarjetas, añade o elimina uno y elige el método que el inicio de sesión ofrece primero.
Obligación por rol
En Core protection → Two-Factor Authentication eliges los métodos que ofrece el sitio y los roles que deben usar uno; los administradores vienen preseleccionados. Un usuario obligado recibe un asistente de configuración en el siguiente inicio de sesión y un periodo de gracia de 7 días. Cuando se agotan el periodo de gracia y las omisiones, el usuario inicia sesión y pasa directamente a la configuración sin botón para omitirla. Existe la política más estricta Block sign-in, pero los administradores y superadministradores siempre siguen el camino de la configuración, así que un sitio nunca pierde a su último administrador.
Los usuarios no obligados ven un banner de recordatorio. Los administradores, editores y gestores de tienda que lo ignoran durante cinco inicios de sesión tienen que terminar la configuración antes de continuar. El restablecimiento de contraseña también pide el segundo factor, y allí no se aceptan códigos por correo, así que un buzón robado por sí solo no basta para hacerse con una cuenta.
Passkeys y YubiKeys
La serie YubiKey 5 (USB-A, USB-C, Lightning y NFC), la Security Key by Yubico y cualquier otro autenticador CTAP2 funcionan en el desafío de wp-login, en el restablecimiento de contraseña y en el desafío de la tienda. Las llaves antiguas que solo hablan U2F no son compatibles.
- Configuración: en Usuarios → Perfil → Two-Factor Authentication elige Add security key, ponle un nombre, inserta la llave y tócala cuando el navegador lo pida. En un móvil, acerca una llave NFC a la parte trasera. No hace falta PIN FIDO2.
- Una llave por cuenta es gratis. Business añade varias llaves por cuenta, para que una segunda YubiKey pueda esperar en un lugar seguro, junto con la detección del modelo («YubiKey 5 Series with NFC») y un correo cada vez que se añade o elimina una llave.
- Llave perdida: inicia sesión con un código de recuperación, o con la llave de reserva en Business, y elimina la llave perdida en la página de perfil.
- Llaves clonadas: cada inicio de sesión hace avanzar el contador de firmas de la llave. Un inicio de sesión cuyo contador no avanza se rechaza, se registra y se comunica por correo al titular de la cuenta, en todos los planes.
- Algoritmos: ES256 en todas las llaves, RS256, y Ed25519 en YubiKey con firmware 5.2.3 o posterior cuando el servidor tiene libsodium. WebAuthn necesita HTTPS.
Protección contra intentos de adivinar
Los códigos incorrectos ralentizan el siguiente intento: tras 3, durante 30 segundos; tras 5, durante 5 minutos;
tras 10, durante 30 minutos; tras 15, durante una hora. A partir de ahí la dirección se bloquea como con cualquier
otro sensor (evento 2fa_brute_force), con escalado y, en Community Network, un reporte.
2FA en la tienda para WooCommerce
Forma parte del complemento Pro a partir del plan Professional. Los clientes que inician sesión en Mi cuenta, en el
checkout clásico o en los bloques Carrito y Finalizar compra de WooCommerce confirman el segundo factor en una
página de tu tema en lugar de wp-login.php. El carrito y el checkout sobreviven al desvío, y la cookie
del dispositivo de confianza se comparte con el inicio de sesión de wp-admin.
- Direcciones: desafío
reportedip-hive-2fay configuraciónreportedip-hive-2fa-setuppor defecto, ambas modificables y comprobadas contra conflictos. En una red, cada sitio puede fijar su propia dirección. - Otros plugins de 2FA: cuando Solid Security, el plugin Two-Factor o Wordfence 2FA controlan el formulario de inicio de sesión, Hive lo indica y mantiene desactivado su desafío en la tienda, para que nadie tenga que responder dos veces.
- Cambio de plan: con un plan inferior, el desafío en la tienda se pausa; los ajustes y las configuraciones de los usuarios se conservan y vuelven con el plan.
Step-up adaptativo
Forma parte del complemento Pro a partir del plan Professional. La obligación pide el segundo factor en cada inicio de sesión; el step-up adaptativo solo se lo vuelve a pedir a un usuario que ya tiene un método cuando algo del inicio de sesión ha cambiado. La matriz en Advanced → Adaptive Step-Up tiene una fila por rol y una columna por disparador.
- Nuevo país, nueva dirección IP, nueva red (/24 o IPv6 /64) o nuevo dispositivo, siempre frente al historial propio del usuario. El país necesita Community Network.
- Cada N días desde el último desafío y cada N inicios de sesión.
- Más de N sesiones simultáneas de ese usuario.
Un desafío disparado ignora la cookie del dispositivo de confianza: el dispositivo es de confianza, las
circunstancias no. La lista de IP permitidas de la 2FA y el filtro reportedip_2fa_bypass siguen
aplicándose. Un usuario sin método nunca queda bloqueado; la omisión se registra y se le recuerda. El primer inicio
de sesión tras activar un disparador nunca pregunta, y la fila de administrador solo se puede activar después de
que un administrador haya superado un desafío en el sitio.
Cómo se entregan los códigos
Los correos salen por wp_mail() por defecto, así que se aplica tu plugin SMTP. Con el complemento Pro
a partir del plan Professional, los códigos 2FA, las alertas de seguridad y los demás correos del plugin pasan por
el relay gestionado de reportedip.com con SPF, DKIM y DMARC configurados, y los códigos SMS por el relay de SMS.
Cuando se agotan la asignación mensual y cualquier recarga, el correo vuelve a wp_mail(); los demás
métodos siguen funcionando. Las asignaciones y los paquetes están en Complemento Pro y planes.
Última actualización: · Mantenido por el equipo de ReportedIP