Passkeys para WordPress: acceso resistente al phishing con WebAuthn
Con ReportedIP Hive, el acceso a WordPress con passkey se confirma con Face ID, Touch ID, Windows Hello o la huella del móvil, y solo funciona en tu dominio real. Una página de acceso falsa no puede capturar nada útil, por eso la passkey es el segundo factor más sólido que puedes dar a tus editores y administradores.
Esta guía explica qué es una passkey, cómo añadirla en el perfil de WordPress, cómo es el acceso y cómo resolver los problemas habituales. Para llaves físicas como la YubiKey hay una guía de configuración de la YubiKey aparte. La interfaz de Hive está en inglés, así que los textos aparecen tal como se ven en pantalla.
¿Qué es una passkey?
Una passkey es un par de claves que tu dispositivo crea para un único sitio web. La clave privada se queda en el dispositivo, protegida por su bloqueo de pantalla; el sitio solo guarda la clave pública. Para acceder, el sitio envía un reto aleatorio, el dispositivo lo firma después de que mires a la cámara o toques el sensor, y el sitio comprueba la firma. El estándar que hay detrás es W3C Web Authentication (WebAuthn), parte de FIDO2, y todos los navegadores actuales lo admiten.
¿Por qué no se puede robar una passkey con phishing?
Un código de app o un código SMS es solo un número. Una página de acceso falsa y convincente puede pedirlo y pasarlo al sitio real en cuestión de segundos. Una passkey está ligada al dominio para el que se creó: el navegador le dice al dispositivo qué sitio la pide, y el dispositivo se niega a firmar para un dominio parecido. No hay ningún secreto compartido que robar ni ningún código que reenviar, así que un kit de phishing se va con las manos vacías.
¿Passkey o llave de seguridad? Cuál usar
| Opción | Ideal para | Ten en cuenta |
|---|---|---|
| This device (Face ID / Windows Hello) | El acceso diario en tu propio portátil o móvil | Ligada a ese dispositivo o a su gestor de contraseñas sincronizado |
| Security key (USB / NFC) | Ordenadores compartidos y cuentas con los permisos más altos | Una llave física que llevas contigo, como una YubiKey |
Las dos opciones usan el mismo estándar y el mismo lugar del perfil. Las passkeys que se sincronizan con el llavero de iCloud o el gestor de contraseñas de Google son compatibles y funcionan en todos los dispositivos conectados a esa cuenta. Una passkey o llave por cuenta es gratuita en todos los planes; varias llaves por cuenta, por ejemplo una de repuesto, forman parte del plan Business.
Qué necesita tu sitio para las passkeys
- HTTPS. Los navegadores solo ofrecen passkeys en páginas seguras. Un sitio de pruebas sin HTTPS muestra el mensaje de que el navegador no admite llaves de seguridad.
- OpenSSL en PHP. Está disponible en prácticamente cualquier hosting y verifica las firmas.
- La autenticación en dos pasos activada en Protection, tarjeta Two-Factor Authentication. Las passkeys están entre los Allowed 2FA methods por defecto.
- Un dominio fijo. En redes multisitio con mapeo de dominios, define el filtro
reportedip_hive_webauthn_rp_idantes de que los usuarios registren llaves, porque una llave creada para un dominio no funciona en otro.
Cómo añadir una passkey en WordPress
- Abre tu perfil de WordPress y baja hasta Your sign-in methods.
- En Passkey or security key, pulsa Add security key.
- Ponle en el campo Key name un nombre que reconozcas después, por ejemplo el dispositivo en el que está.
- Pulsa This device (Face ID / Windows Hello) para una passkey en el ordenador o móvil que estás usando, o Security key (USB / NFC) para una llave física.
- Confirma con tu cara, tu huella o tu PIN cuando el navegador lo pida. La passkey aparece en la lista con su tipo, la fecha en que se añadió y la fecha del último uso.
Rename cambia el nombre de una llave y Remove la elimina. Tras el registro, guarda tus códigos de recuperación si aún no lo has hecho: son la forma de volver a entrar si pierdes el dispositivo. Make default en el método passkey lo convierte en lo primero que pide el acceso.
Cómo es el acceso con una passkey
Escribes tu usuario y tu contraseña como siempre. Después Hive muestra Verification required con la pestaña Passkey abierta. Pulsa Use passkey or security key y el navegador abre su propio diálogo para Face ID, Touch ID, Windows Hello o la llave. Un toque después ya estás dentro.
En Hive, una passkey es un segundo factor y no sustituye a la contraseña: primero se comprueba la contraseña y después la passkey. Trust this device omite el segundo paso en ese navegador durante un número de días fijado. El mismo paso con passkey aparece en el acceso de la tienda WooCommerce con el plan Professional y en el control al restablecer la contraseña, donde una passkey cuenta como un factor distinto del correo.
Las llaves copiadas se detectan
Cada firma lleva un contador que una llave auténtica aumenta con cada uso. Si el contador retrocede, lo más probable es que la llave se haya copiado fuera de su hardware. Hive rechaza entonces el acceso, registra un evento de seguridad y avisa al titular de la cuenta. Las passkeys que legítimamente no envían contador, como muchas passkeys sincronizadas, siguen funcionando.
Implantar passkeys en todo un equipo
Marca en Roles required to use 2FA los roles que deben usar un segundo factor, y a cada miembro de esos roles se le pedirá configurarlo en su siguiente acceso, con un periodo de gracia para hacerlo. Recomienda la passkey en el aviso al equipo: se añade en un minuto y después nadie tiene que teclear códigos. La página 2FA Status muestra quién falta todavía, y su filtro por método indica exactamente quién accede con passkey. Para los administradores con el plan Business, una segunda llave por cuenta guardada en un lugar seguro elimina el último punto único de fallo.
Resolver problemas con passkeys
| Mensaje o síntoma | Causa y solución |
|---|---|
| This browser does not support security keys | La página no se sirve por HTTPS. Pasa el sitio a HTTPS. |
| The request timed out or was cancelled | El diálogo del navegador se cerró o no se confirmó a tiempo. Vuelve a pulsar el botón. |
| The domain of this page does not match the key registration | La llave se creó en otro dominio, por ejemplo en el de pruebas. Vuelve a registrarla en el dominio de producción. |
| This key is already registered on this account | El mismo dispositivo o la misma llave ya está en la lista. No hay que hacer nada. |
| Se abre Windows Hello en lugar de la YubiKey | Usa el botón Security key (USB / NFC) en lugar de This device. |
Los sitios que quieran que el dispositivo pida siempre la cara, la huella o el PIN pueden subir la verificación del usuario con el filtro reportedip_hive_webauthn_user_verification. Por defecto basta con un toque, porque la contraseña ya cubre el primer factor.
Preguntas sobre las passkeys en WordPress
¿Puedo acceder a WordPress solo con una passkey, sin contraseña?
ReportedIP Hive usa la passkey exclusivamente como segundo factor: primero se comprueba la contraseña y después la passkey. El acceso sin contraseña es otro modelo de seguridad con otras cuestiones de recuperación, y tratar un segundo factor como sustituto de la contraseña debilitaría la cuenta en lugar de reforzarla.
¿Qué pasa si pierdo el dispositivo con mi passkey?
Accede con uno de los 10 códigos de recuperación que guardaste durante la configuración, elimina después la passkey perdida de la lista de tu perfil y añade una en el dispositivo nuevo. Si también has perdido los códigos, un administrador puede restablecer tu segundo factor con el comando de WP-CLI del plugin.
¿Funcionan las passkeys sincronizadas de iCloud o Google?
Las passkeys del llavero de iCloud o del gestor de contraseñas de Google son compatibles y se registran con el botón This device. Después están disponibles en todos los dispositivos conectados a la misma cuenta de Apple o Google, lo que también te protege si pierdes un solo móvil.
¿Puedo usar la passkey de mi móvil para acceder desde un ordenador?
Los navegadores actuales ofrecen usar un móvil cercano: el ordenador muestra un código QR, lo escaneas y confirmas en el móvil. Para ello, la passkey del móvil tiene que estar registrada en el sitio y ambos dispositivos necesitan el Bluetooth activado para la comprobación de proximidad.
Sigue leyendo
La documentación de Hive describe ajuste por ajuste la autenticación en dos pasos y las llaves de seguridad físicas.