Autenticación en dos pasos para WordPress con app, passkey o YubiKey
La autenticación en dos pasos para WordPress de ReportedIP Hive ofrece cuatro métodos integrados en el propio plugin: una app de autenticación, una passkey o llave de seguridad, un código por correo y un código por SMS. La app, la passkey y el correo son gratuitos en todos los planes, así que ninguna cuenta de administrador tiene que depender solo de una contraseña.
Esta guía muestra cómo activar la 2FA en tu sitio, cómo se registran los usuarios, cómo es el inicio de sesión y cómo controlar quién está protegido. Otras guías profundizan en las passkeys y en la configuración de una YubiKey. La interfaz de Hive está en inglés, así que los textos aparecen tal como se ven en pantalla.
¿Por qué necesita WordPress la autenticación en dos pasos?
Las contraseñas se filtran, se reutilizan y se adivinan. En cuanto un atacante tiene la contraseña de un administrador, WordPress le entrega todo: plugins, usuarios, contenidos y a menudo el servidor que hay detrás. Un segundo factor cierra esa puerta, porque la contraseña robada ya no basta para entrar. Las NIST Digital Identity Guidelines (SP 800-63B) presentan la autenticación multifactor como la base de cualquier cuenta con permisos elevados.
¿Qué métodos de 2FA admite ReportedIP Hive?
| Método | Cómo funciona | Plan |
|---|---|---|
| Authenticator app | Una app como Google Authenticator, Microsoft Authenticator o 1Password muestra un código nuevo de 6 dígitos cada 30 segundos, incluso sin cobertura móvil | Free |
| Passkey or security key | La huella, la cara o una llave física como una YubiKey confirma el acceso, y solo funciona en la página de acceso auténtica | Free, una llave por cuenta |
| Email code | Un código de 6 dígitos llega a la dirección de correo de la cuenta | Free |
| Text message (SMS) | Un código de 6 dígitos llega al móvil, entregado a través del relay de la UE | Professional |
Los usuarios pueden configurar más de un método. El que está marcado como predeterminado se pide primero; cualquier otro método activo sigue disponible como alternativa en la pantalla de acceso. Varias llaves de seguridad por cuenta, por ejemplo una llave de repuesto en una caja fuerte, forman parte del plan Business.
Los códigos de recuperación y los dispositivos de confianza respaldan cada método
Cada usuario recibe 10 códigos de recuperación de un solo uso para el día en que pierda el móvil o se deje la llave en casa. El perfil avisa cuando quedan pocos y ofrece otros nuevos con Generate new recovery codes. En la pantalla de acceso, Trust this device omite el segundo factor en ese navegador durante un número de días fijado, y Revoke all devices en el perfil anula de golpe toda la confianza.
Cómo activar la 2FA en tu sitio WordPress
Abre Protection, tarjeta Two-Factor Authentication. La vista normal tiene tres ajustes:
- Two-factor authentication enabled es el interruptor principal. Desactivado, a nadie se le pide un segundo factor.
- Roles required to use 2FA indica los roles que deben registrarse. El resto puede hacerlo y recibe la invitación.
- Themed second factor on the storefront pide el segundo factor a los clientes de WooCommerce dentro de tu tema en lugar de en wp-login.php, con el plan Professional.
El modo experto, en la cabecera de la página, añade los controles finos: Allowed 2FA methods, el 2FA grace period (days) del que dispone un usuario obligado antes de que se exija, el Maximum onboarding skips, la vigencia de los dispositivos de confianza y si la 2FA también se pide al restablecer la contraseña. El inicio rápido ya activa la 2FA para administradores con un periodo de gracia de 7 días, así que en una instalación nueva normalmente solo añades más roles.
Cómo configuran los usuarios su segundo factor
Un usuario que debe registrarse llega, tras su siguiente acceso, a una configuración guiada que le lleva por la elección del método, el escaneo del código QR o el registro de la llave, y el guardado de los códigos de recuperación. Lo mismo se puede hacer en cualquier momento en el perfil de WordPress, sección Your sign-in methods: cada método tiene un botón Set up, el gestor de llaves está en Security keys & passkeys y Make default elige el método que se pide primero al acceder.
Cómo es el inicio de sesión con 2FA
Tras la contraseña correcta, WordPress muestra la página Verification required con una pestaña por cada método activo. Con la app, el usuario teclea el código del momento. Con una passkey o una llave, el navegador abre su propio diálogo. Con correo y SMS, el usuario pulsa primero Send code by email o Send code by SMS, así que no se envía ningún código hasta que alguien lo pide. La pestaña de recuperación acepta uno de los códigos guardados.
Los códigos incorrectos se frenan con un retraso creciente y, si siguen llegando, provocan el bloqueo de la dirección. Adivinar un código de 6 dígitos no es, por tanto, una vía de entrada práctica.
Controla quién está protegido
La página 2FA Status muestra de un vistazo cuántos usuarios tienen 2FA, cuántos no, quién sigue en el periodo de gracia, quién ha agotado sus omisiones y a quién le quedan pocos códigos de recuperación. La tabla de debajo lista a cada usuario con su rol, sus métodos, los códigos de recuperación que le quedan y su estado, y filtra por estado, método y rol.
User status CSV exporta esa tabla en todos los planes, para una auditoría o un informe de cliente. El CSV del registro de auditoría con cada evento de 2FA forma parte del plan Business.
El control al restablecer la contraseña cierra la puerta trasera del correo
El enlace de «contraseña olvidada» es la vía clásica para saltarse la 2FA: quien controla el buzón recibe el enlace de restablecimiento y, con la 2FA por correo, también el código. Por eso Hive pide un segundo factor que no sea el correo antes de aceptar una contraseña nueva: un código de la app, un código SMS, una llave de seguridad o un código de recuperación. Si un usuario no tiene ninguno, el restablecimiento se rechaza y el administrador recibe un correo, en lugar de que el usuario acabe en un bucle infinito de códigos no válidos.
Passkeys y llaves físicas en resumen
Una passkey o llave de seguridad es el único segundo factor que no se puede suplantar con phishing, porque la llave se niega a firmar para un dominio falso. Hive admite passkeys de plataforma como Face ID, Touch ID y Windows Hello, además de llaves físicas FIDO2 como la serie YubiKey 5, por USB y NFC, en wp-login, en la tienda WooCommerce y en el control de restablecimiento. Una llave de seguridad copiada fuera de su hardware se detecta y el acceso se rechaza. Las guías sobre passkeys para WordPress y sobre la YubiKey 5C NFC cubren la configuración y la resolución de problemas.
WP-CLI y REST para agencias y accesos personalizados
Los administradores con acceso a la shell gestionan la 2FA con wp reportedip 2fa: status, enforce --role=editor, reset <user_id> para una cuenta bloqueada y audit para una visión general. Los flujos de acceso headless y personalizados usan el espacio de nombres REST reportedip-hive/v1 con las rutas /2fa/challenge, /2fa/verify y /2fa/methods para los métodos basados en códigos; las passkeys necesitan el navegador y se quedan en la página de acceso normal.
Preguntas sobre la autenticación en dos pasos en WordPress
¿Qué método de 2FA deberían usar los administradores?
Una passkey o una llave de seguridad física ofrece la protección más fuerte, porque no se puede suplantar con phishing ni leer en una pantalla. Una app de autenticación es la siguiente mejor opción y funciona sin conexión. Los códigos por correo son cómodos, pero comparten canal con el restablecimiento de la contraseña, así que conviene mantenerlos como respaldo y no como único método.
¿Qué pasa si un usuario pierde el móvil?
El usuario accede con uno de los 10 códigos de recuperación y configura el móvil nuevo en su perfil. Si también ha perdido los códigos, un administrador restablece el segundo factor de ese usuario con el comando de WP-CLI, y el usuario vuelve a registrarse en el siguiente acceso.
¿Puedo exigir la 2FA solo a administradores y editores?
Marca exactamente esos roles en Roles required to use 2FA. Los usuarios con otros roles reciben la invitación, pero no están obligados. El periodo de gracia da a los usuarios obligados tiempo para configurar un método antes de que el acceso lo exija, y la página 2FA Status muestra quién falta todavía.
¿Funciona la 2FA con las cuentas de clientes de WooCommerce?
Con el plan Professional, Themed second factor on the storefront pide a los clientes su segundo factor en Mi cuenta y en el checkout, dentro de tu tema. Los clientes nunca ven wp-login.php, y se aplican los mismos métodos, códigos de recuperación y dispositivos de confianza que en las cuentas del personal.
Sigue leyendo
- La 2FA de WooCommerce en tu tema
- El relay de correo y SMS para la 2FA
- El inicio rápido de Hive
- El bloqueo progresivo de IP
La documentación de Hive detalla la autenticación en dos pasos, las llaves de seguridad físicas y las rutas REST de la 2FA headless.