Autenticación en dos pasos para WooCommerce con el estilo de tu tienda
Con ReportedIP Hive, la autenticación en dos pasos para WooCommerce pide a los clientes su segundo factor en una página con el estilo de tu tienda, no en la pantalla de acceso desnuda de WordPress. Cubre el acceso de Mi cuenta, el checkout clásico y el checkout de bloques, y devuelve a los clientes justo donde estaban.
Esta guía explica qué accesos quedan protegidos, qué ven los clientes, cómo se registran y cómo activar la función. Forma parte del plan Professional. La interfaz de Hive está en inglés, así que los textos aparecen tal como se ven en pantalla.
¿Por qué la 2FA estándar de WordPress perjudica a una tienda WooCommerce?
La mayoría de los plugins de 2FA hacen pasar cada acceso por wp-login.php. En una tienda eso significa que un cliente que inicia sesión en el checkout aterriza de repente en una pantalla gris de WordPress con otro logotipo y luego tiene que encontrar el camino de vuelta al carrito. Merece la pena proteger las cuentas de clientes, porque guardan direcciones, historiales de pedidos y a menudo referencias de pago, pero un segundo factor que parece otra web hace que la gente abandone la compra o desconfíe de la tienda.
¿Qué accesos de WooCommerce quedan protegidos?
| Acceso | Segundo factor |
|---|---|
| Acceso de Mi cuenta | Página de verificación con el estilo de la tienda |
| Acceso en el checkout clásico | Página de verificación con el estilo de la tienda y vuelta al checkout |
| Acceso en el checkout de bloques | Página de verificación con el estilo de la tienda y vuelta al checkout |
| wp-login.php, por ejemplo para el personal | La verificación estándar de WordPress |
Solo los accesos que empiezan en WooCommerce van a la página con el estilo de la tienda. El personal que accede por wp-admin mantiene la verificación normal, así que un mismo sitio atiende a los dos grupos sin configuración adicional.
Qué ven los clientes al iniciar sesión
Tras la contraseña correcta, el cliente llega a una página de verificación propia que carga la hoja de estilos de tu tema, así que las fuentes y los colores encajan con la tienda. Muestra los métodos que el cliente ha configurado, la opción de confiar en el dispositivo y un enlace para volver al acceso. Con un código por correo no se envía nada hasta que el cliente pulsa Send code by email.
Tras la verificación, el cliente vuelve a Mi cuenta o, si el acceso se produjo durante el checkout, al checkout. El carrito se queda como estaba, porque la verificación no toca la sesión de WooCommerce.
Cómo configuran los clientes su segundo factor
Los clientes y suscriptores que deben usar un segundo factor pasan a una página de configuración dentro de la tienda, en lugar de ir a wp-admin. La página les guía por la elección del método, el escaneo del código QR o el registro de una passkey, y el guardado de los códigos de recuperación. Cuando hay un método activo, la página devuelve al cliente a Mi cuenta.
Los clientes pueden usar los mismos métodos que el personal: una app de autenticación, una passkey o llave de seguridad y un código por correo en todos los planes, además de códigos SMS a través del relay de la UE a partir del plan Professional en modo Community Network. Los códigos de recuperación y los dispositivos de confianza funcionan igual que en wp-login.php, y un dispositivo de confianza en el checkout también lo es en el siguiente acceso por wp-login.php.
Cómo activar la 2FA de WooCommerce
- Abre Protection, tarjeta Two-Factor Authentication.
- Activa Two-factor authentication enabled si aún no lo está.
- Activa Themed second factor on the storefront.
- En Roles required to use 2FA, marca Customer si todos los clientes deben usar un segundo factor. Sin esa marca, los clientes pueden registrarse pero no están obligados.
- Guarda y prueba el flujo con una cuenta de cliente de prueba.
El modo experto, en la cabecera de la página, muestra más opciones para tiendas: si los clientes pueden rechazar la 2FA, si los usuarios de la tienda van a la página de configuración con el estilo de la tienda y las direcciones de las páginas de verificación y de configuración, por si quieres las tuyas.
Implantar la 2FA con los clientes actuales
- Empieza de forma opcional: activa la opción de la tienda pero deja el rol Customer sin marcar, para que los clientes se registren sin presión.
- Anúncialo en tu newsletter o en la confirmación del pedido con una frase sobre por qué protege sus direcciones y pedidos guardados.
- Revisa la página 2FA Status con el filtro de rol en Customer para ver cuántos han configurado un método.
- Cuando la mayoría de los clientes habituales estén registrados, marca el rol Customer. El periodo de gracia da al resto tiempo para configurar un método antes de que el acceso lo exija.
Protege primero a los gestores de la tienda
Los gestores de la tienda ven todos los pedidos y clientes, así que sus cuentas son el objetivo más valioso. Marca el rol Shop manager en Roles required to use 2FA antes de ocuparte de las cuentas de clientes. El personal accede por wp-admin y recibe la verificación estándar, y para ellos el método adecuado es una passkey o una app de autenticación.
Qué pasa si se baja de plan
Las páginas con el estilo de la tienda son una función del plan Professional. Si el sitio pasa a un plan inferior, los accesos de WooCommerce vuelven a la verificación estándar de WordPress. Los clientes que ya configuraron un segundo factor lo conservan y pueden seguir accediendo; nadie se queda fuera porque terminó una suscripción.
Ayudar a clientes que han perdido el móvil
Un cliente que ha perdido el móvil accede con uno de los códigos de recuperación que guardó durante la configuración. Si también los ha perdido, un administrador de la tienda restablece el segundo factor de esa cuenta, por ejemplo con wp reportedip 2fa reset <user_id>, y el cliente configura un método nuevo en el siguiente acceso. Menciona los códigos de recuperación en tu correo de bienvenida; esa sola frase ahorra la mayoría de las consultas de soporte.
Preguntas sobre la autenticación en dos pasos para WooCommerce
¿Cuesta ventas la 2FA en el checkout?
La verificación solo aparece cuando un cliente inicia sesión, no en la compra como invitado, y la página mantiene el aspecto de la tienda. Tras el código, el cliente vuelve al checkout con el carrito sin cambios. Gracias a los dispositivos de confianza, los clientes habituales solo ven el segundo paso de vez en cuando en sus propios dispositivos.
¿Pueden los clientes usar una passkey en lugar de un código?
Los clientes pueden registrar durante la configuración una passkey como Face ID, Touch ID o Windows Hello y confirmar con ella el acceso en Mi cuenta y en el checkout. Es la opción más rápida para los clientes y no se puede suplantar con phishing, porque la passkey solo funciona en el dominio real de tu tienda.
¿Está disponible la 2FA de WooCommerce en el plan gratuito?
La verificación con el estilo de la tienda forma parte del plan Professional. En el plan gratuito, los clientes pueden usar igualmente la 2FA, pero la verificación aparece en la página estándar wp-login.php. La detección de ataques contra los accesos de WooCommerce está incluida en todos los planes.
¿Tengo que obligar a todos los clientes a usar la 2FA?
No, la obligación es una decisión tuya. Marca el rol Customer en Roles required to use 2FA para hacerla obligatoria, o déjalo sin marcar para que los clientes se registren si quieren. Muchas tiendas empiezan de forma opcional y la hacen obligatoria más adelante, cuando los clientes ya conocen la función.
Sigue leyendo
- Todos los métodos 2FA de Hive
- Las passkeys para WordPress
- El relay de correo y SMS para la 2FA
- El Hardening Mode bajo ataque
La documentación de Hive detalla el acceso de WooCommerce en el frontend y la autenticación en dos pasos.