YubiKey 5C NFC para la 2FA de WordPress: elección, configuración y errores
La YubiKey 5C NFC convierte el inicio de sesión de WordPress en un toque sobre una pequeña llave: enchufada por USB-C en el ordenador, apoyada en el móvil por NFC cuando estás fuera. Esta guía muestra cómo registrarla como segundo factor con ReportedIP Hive, qué deben activar los propietarios del sitio, qué hacer si pierdes una llave y qué significan los mensajes de error.
Nosotros iniciamos sesión cada día en nuestros propios sitios WordPress con esta misma llave, así que los pasos y mensajes de abajo son los que verás en una instalación actual de Hive. La interfaz de Hive está en inglés, así que las etiquetas y los mensajes citados también lo están.
¿Se puede usar una YubiKey con WordPress?
Sí. WordPress no trae un segundo factor propio, pero un plugin de seguridad compatible con WebAuthn convierte cualquier llave de la serie YubiKey 5 o de la serie Security Key, más barata, en el segundo paso tras la contraseña. La llave firma un acceso solo para el dominio en el que se registró, así que una página de phishing no tiene nada que reutilizar. Con ReportedIP Hive una llave por cuenta es gratuita, y una sola llave sirve para todos los sitios que quieras.
¿Qué es la YubiKey 5C NFC?
La YubiKey 5C NFC es una llave de seguridad física fabricada por Yubico. Guarda sus claves privadas en un chip seguro, firma una solicitud de inicio de sesión cuando la tocas y nunca entrega un secreto al ordenador. No tiene batería, ni pantalla, ni conexión de red, así que no hay nada que cargar, actualizar o robar con phishing.
| Característica | YubiKey 5C NFC |
|---|---|
| Conectores | USB-C y NFC |
| Estándares de inicio de sesión | FIDO2 / WebAuthn y FIDO U2F |
| Otras funciones | Tarjeta inteligente (PIV), OpenPGP, códigos OATH, Yubico OTP |
| Almacenamiento de passkeys | Hasta 100 desde el firmware 5.7, menos en llaves más antiguas |
| Construcción | Resistente al agua y al polvo (IP68), sin batería |
La ficha completa está en la página del producto de Yubico. Para WordPress solo importa una línea: la llave habla WebAuthn, el estándar del W3C que usan los navegadores para passkeys y llaves de seguridad.
¿Qué YubiKey necesitas para WordPress?
El acceso a WordPress solo usa la parte FIDO de la llave, así que también sirven modelos más baratos que la 5C NFC. Precios de la tienda de Yubico para Alemania a 29 de octubre de 2026, IVA incluido:
| Modelo | Conectores | Estándares | Precio |
|---|---|---|---|
| Security Key C NFC | USB-C y NFC | FIDO2, U2F | 34,51 € |
| Security Key NFC | USB-A y NFC | FIDO2, U2F | 34,51 € |
| YubiKey 5C NFC | USB-C y NFC | FIDO2, U2F, OTP, PIV, OpenPGP | 69,02 € |
| YubiKey 5 NFC | USB-A y NFC | FIDO2, U2F, OTP, PIV, OpenPGP | 69,02 € |
| YubiKey 5Ci | USB-C y Lightning | FIDO2, U2F, OTP, PIV, OpenPGP | 101,15 € |
| YubiKey C Bio (FIDO Edition) | USB-C | FIDO2, U2F, huella dactilar | 116,62 € |
- Solo para WordPress, la Security Key C NFC hace lo mismo que la 5C NFC por la mitad de precio.
- La serie YubiKey 5 compensa si también quieres usar la llave para SSH o commits firmados con OpenPGP, para acceder con tarjeta inteligente mediante PIV o para códigos de un solo uso.
- La 5Ci añade un conector Lightning para iPhone sin USB-C y no tiene NFC.
- Los modelos Bio leen la huella dactilar. Como segundo factor tras la contraseña basta con un toque, así que el sensor aporta poco en WordPress.
Elijas el modelo que elijas, compra dos: una para el día a día y otra de reserva. Lo que cuesta para un equipo se explica más abajo.
Por qué una llave física para los administradores de WordPress
Una cuenta de administrador de WordPress puede instalar plugins, y un plugin puede ejecutar cualquier código en el servidor. Perder esa cuenta es perder el sitio. Los códigos de un solo uso de una app o por correo protegen frente al robo de contraseñas, pero una página de phishing bien hecha también puede pedir el código y reenviarlo en segundos.
| Segundo factor | Protege del robo de contraseñas | Protege de páginas de phishing | Necesita móvil |
|---|---|---|---|
| Código por correo | Sí | No | No |
| App de autenticación | Sí | No | Sí |
| YubiKey 5C NFC | Sí | Sí | No |
La llave solo firma para el dominio real de tu sitio. En un dominio imitado simplemente no tiene ningún inicio de sesión que coincida, así que un atacante no tiene nada que reenviar. La guía de passkeys explica ese mecanismo y cuándo una passkey en el móvil o el portátil es mejor opción que una llave aparte.
Los datos de nuestra propia red muestran por qué una contraseña sola no basta. Entre el 29 de septiembre y el 28 de octubre de 2026, los sitios y honeypots de la red ReportedIP notificaron 26.179 ataques de contraseña contra accesos de WordPress (wp-login.php, wp-admin y XML-RPC) desde 8.795 direcciones IP.
- 4.700 de esas direcciones (53 %) lo intentaron exactamente una vez en los 30 días.
- 7.103 direcciones (81 %) lo intentaron tres veces o menos.
- La dirección más activa llegó a 211 intentos.
Un bloqueo tras cinco intentos fallidos nunca salta con una dirección que prueba una vez y sigue su camino. Repartidos entre miles de direcciones, los intentos parecen al sitio simples errores de escritura. Un segundo factor detiene el acceso aunque una de esas contraseñas sea correcta.
Qué dicen las agencias de seguridad sobre las llaves físicas
Las recomendaciones oficiales sitúan este tipo de acceso en lo más alto:
- NIST SP 800-63B-4 (2025): en el nivel AAL2 un servicio debe ofrecer al menos una opción resistente al phishing, y en el nivel AAL3 el autenticador necesita una clave privada no exportable y resistencia al phishing. Una llave física FIDO2 encaja en esa descripción. directriz del NIST
- La CISA, la agencia de ciberseguridad de EE. UU., llama al MFA resistente al phishing el estándar de oro y señala FIDO/WebAuthn como su única forma ampliamente disponible. ficha de la CISA
- El BSI, la oficina federal alemana de seguridad informática, considera los passkeys y las llaves FIDO2 vinculadas a un dispositivo resistentes al phishing habitual. En su comparativa, los códigos por correo, los SMS y las apps de autenticación no protegen contra el phishing en tiempo real, y para FIDO2 prevé dos tokens físicos por cuenta para la recuperación. comparativa del BSI
Qué pasa dentro de la llave durante un acceso a WordPress
WebAuthn, el estándar del W3C detrás de las llaves de seguridad, reparte el trabajo entre la llave y el sitio. Tres decisiones de diseño en Hive determinan cómo se comporta la YubiKey:
- El sitio guarda la credencial. Hive registra una credencial no detectable: la llave empaqueta todo lo que necesita en un ID que WordPress conserva y le devuelve en cada acceso. Por eso no se ocupa ningún hueco de passkey y una sola llave cubre todos los sitios que quieras.
- Basta con un toque. La contraseña ya es el primer factor, y el toque demuestra que hay una persona junto a la llave. Si además quieres el PIN FIDO2, un desarrollador puede configurar Hive para exigir la verificación del usuario; la llave pedirá entonces su PIN en cada acceso.
- Un contador detecta copias. La llave aumenta un contador de firmas en cada acceso. Si el valor que recibe Hive retrocede, se está usando una llave clonada: Hive rechaza el acceso y avisa al usuario.
Qué necesitas antes de empezar
- Una versión actual de ReportedIP Hive con la autenticación de dos factores activada en el sitio.
- HTTPS. Los navegadores solo permiten llaves de seguridad en páginas cifradas.
- Un navegador actual: Chrome, Edge, Firefox o Safari en el ordenador, Chrome en Android o Safari en iOS para NFC.
- Ningún PIN en la llave. Hive solo pide un toque, así que no tienes que configurar antes un PIN FIDO2.
Registrar la llave en un sitio WordPress no ocupa ninguno de los espacios para passkeys de la YubiKey. Los datos de acceso los guarda el sitio, así que una llave funciona en tantos sitios WordPress como quieras.
Configurar la YubiKey paso a paso
Paso 1: abrir tu perfil
Inicia sesión y abre Usuarios > Perfil. En la sección Two-Factor Authentication encontrarás la fila Passkey or security key con el área Security keys & passkeys.
Paso 2: ponerle nombre a la llave
Haz clic en Add security key y dale a la llave un nombre que reconozcas después, por ejemplo «YubiKey oficina». El nombre importa en cuanto gestionas más de una llave.
Paso 3: registrarla
Haz clic en Security key (USB / NFC). El navegador abre su diálogo para llaves de seguridad. Conecta la YubiKey al puerto USB-C y toca el contacto dorado cuando parpadee. En un móvil, sujeta la llave plana contra la parte trasera del dispositivo. Hive lo confirma con «Security key registered.» y la llave aparece en la lista con el tipo Security key.
La primera vez que activas la autenticación de dos factores, Hive crea además diez códigos de recuperación. Imprímelos o guárdalos en un gestor de contraseñas ahora, no cuando la llave ya se haya perdido.
Cómo funciona el inicio de sesión con la llave
Después de la contraseña, Hive muestra la página Verification required con la pestaña Passkey. Haz clic en Use passkey or security key y toca la llave. En el ordenador es un toque en la llave enchufada. En el móvil, sujeta la llave plana contra la parte trasera; en la mayoría de los Android la antena NFC está en el tercio superior, en el iPhone en el borde superior. Si el NFC está desactivado en los ajustes rápidos del móvil, el navegador ofrece un código QR en lugar de NFC, y basta con activar el NFC.
Hive da a este paso dos minutos, suficiente para sacar la llave del bolsillo y acercarla al móvil. Con Trust this device for 30 days, un ordenador personal se salta la llave durante un tiempo.
Ajustes para los propietarios del sitio
Todos los ajustes de 2FA están en ReportedIP Hive > Protection, en la tarjeta Two-Factor Authentication. Lo más rápido es empezar por el Quickstart y su interruptor 2FA for administrators.
| Ajuste | Valor por defecto | Qué hace |
|---|---|---|
| Two-factor authentication enabled | Desactivado | Interruptor principal para todo el sitio. |
| Allowed 2FA methods | Llave de seguridad permitida | Qué métodos pueden elegir los usuarios. |
| Roles required to use 2FA | Administrador | Qué roles deben configurar un segundo factor. |
| 2FA grace period (days) | 7 | Tiempo que tienen los usuarios para configurar la 2FA. |
| Trusted device lifetime (days) | 30 | Cuánto dura «confiar en este dispositivo». |
La vista sencilla solo muestra el interruptor principal y los roles. Los demás campos, incluido Allowed 2FA methods, aparecen en cuanto activas el Expert mode en la página Protection.
Una llave de seguridad por cuenta es gratuita en todos los planes. Una segunda llave de reserva, la detección automática del modelo y los correos al añadir o quitar una llave forman parte del plan Business. El correo de aviso por un inicio de sesión sospechoso con llave está incluido en todos los planes: si el contador de firmas de una llave retrocede, lo que apunta a una llave copiada, Hive rechaza el acceso y avisa al usuario por correo.
En las tiendas WooCommerce, los clientes inician sesión con su llave a través del acceso normal de WordPress. El segundo paso con el diseño de la tienda forma parte del plan Professional, consulta la guía de 2FA para WooCommerce.
Qué hacer si pierdes una llave
Toda llave física acaba perdiéndose tarde o temprano. Tenlo en cuenta el mismo día que registres la primera:
- Códigos de recuperación. Cada uno de los diez códigos sustituye a la llave una sola vez. Elige Recovery en la página de inicio de sesión.
- Un segundo método. Una app de autenticación junto a la llave te mantiene dentro si no tienes la llave a mano.
- Una llave de reserva. Con el plan Business, registra una segunda YubiKey y guárdala en un lugar seguro.
- Restablecimiento por un administrador. Un administrador abre Usuarios, pasa el ratón por la cuenta y elige Reset 2FA. Hive pide confirmación, registra el restablecimiento y avisa al usuario por correo.
Cuando vuelvas a entrar, quita la llave perdida de tu perfil con Remove. Deja de funcionar al instante. Hive no te deja quitar tu última llave si es tu único método y tu rol exige 2FA, así que no puedes quedarte fuera por error.
Sitios de pruebas, subdominios y varios sitios
Una llave de seguridad está ligada al dominio en el que se registró. Eso es lo que la hace resistente al phishing, y tiene tres efectos prácticos:
- Copias de pruebas: una llave registrada en el sitio en producción no funciona en una copia de pruebas con otro dominio. Registra allí la llave por separado o usa otro método.
- Redes con subdominios: una llave de shop.example.com no funciona en blog.example.com. En redes multisitio con subdominios, un desarrollador puede ligar todas las llaves al dominio principal común. Hazlo antes del despliegue, porque las llaves registradas antes tendrán que añadirse de nuevo.
- Varios sitios independientes: registra la misma YubiKey en cada uno. Funciona en todos y no ocupa espacio en la llave.
Implantar YubiKeys en un equipo o en sitios de clientes
Para una agencia que gestiona varios sitios de clientes, la llave en sí es lo fácil. La planificación está en los detalles:
- Dos llaves por persona. Tres administradores con dos Security Key C NFC cada uno suman seis llaves por 207,06 € en total. Con el plan Business, registra las dos llaves en cada sitio; con los demás planes, una llave más una app de autenticación como segundo método.
- Una llave para todos los sitios de clientes. Registra la misma llave en cada sitio. No ocupa espacio en la llave, así que no hay límite.
- Nombres que dicen dónde está la llave. «YubiKey oficina» y «YubiKey caja fuerte» indican de un vistazo cuál quitar cuando falta una.
- Una lista de llaves. Apunta quién tiene cada llave y en qué sitios está registrada. Cuando alguien deja el equipo, quita sus llaves de cada uno de esos sitios o borra la cuenta.
- Probar primero en un sitio. Prueba la implantación en un sitio y su copia de pruebas antes de exigir la 2FA a todos los administradores.
Cómo exigir la 2FA a todo un equipo con un periodo de gracia se explica en la guía de passkeys.
Mensajes de error habituales y qué significan
| Mensaje | Causa | Solución |
|---|---|---|
| The request timed out or was cancelled. | La llave no se tocó a tiempo, se cerró el diálogo o se sujetó en un punto equivocado del móvil. | Vuelve a intentarlo y toca la llave cuando parpadee. |
| The domain of this page does not match the key registration. | La página funciona con otra dirección, por ejemplo con o sin www. | Inicia sesión en la dirección donde se registró la llave. |
| This key is already registered on this account. | La misma YubiKey se añadió por segunda vez. | No hay que hacer nada, la llave ya funciona. |
| Unknown security key. | La llave pertenece a otra cuenta o se quitó. | Usa la llave correcta u otro método. |
| Security keys are not available on this site. | El propietario no ha permitido el método. | Permítelo en Allowed 2FA methods en Expert mode. |
| Multiple security keys per account require the Business plan. | Una segunda llave en un plan inferior. | Quédate con una llave o cambia a Business. |
| Too many registration attempts. Please wait a few minutes. | Muchos intentos de registro seguidos. | Espera un poco y vuelve a intentarlo. |
Un síntoma no es ningún error: una cadena de caracteres que empieza por cccc en el campo de contraseña. Es un código Yubico OTP que la llave escribió porque la tocaste mientras un campo de texto estaba activo. Vacía el campo e inicia la sesión con el botón. Los problemas más generales, como la falta de HTTPS, se tratan en la guía de passkeys.
Preguntas sobre la YubiKey y WordPress
¿Funciona la YubiKey 5C NFC con un iPhone?
La YubiKey 5C NFC funciona con un iPhone de dos formas: por NFC, sujetando la llave contra el borde superior del teléfono, o enchufada al puerto USB-C de los modelos más recientes. Safari muestra entonces un diálogo del sistema. El inicio de sesión en WordPress con Hive funciona igual que en el ordenador.
¿Necesito un plan de pago para una YubiKey?
Una llave de seguridad por cuenta es gratuita en todos los planes de Hive, incluido el aviso de llaves copiadas. El plan Business añade una segunda llave de reserva, la detección del modelo y correos cuando cambian las llaves. El segundo factor con el diseño de la tienda WooCommerce forma parte del plan Professional.
¿Registrar un sitio ocupa espacio en la YubiKey?
Registrar un sitio WordPress con Hive no ocupa espacio de passkeys en la YubiKey, porque es el sitio quien guarda los datos de acceso. Por eso una llave puede proteger todos los sitios WordPress que quieras. El espacio de la llave solo lo usan los servicios que guardan una passkey directamente en ella.
¿Qué pasa si pierdo mi única YubiKey?
Inicia sesión con uno de los diez códigos de recuperación o con un segundo método como una app de autenticación, y después quita la llave perdida de tu perfil. Si no tienes ninguno de los dos, un administrador puede restablecer tu autenticación de dos factores en Usuarios. Hive registra ese restablecimiento y te avisa por correo.
¿Basta la Security Key, más barata, para WordPress?
Sí. La Security Key C NFC admite FIDO2 y U2F, y el acceso a WordPress con Hive no usa nada más. Cuesta 34,51 € en la tienda de Yubico para Alemania (29 de octubre de 2026), la mitad que la YubiKey 5C NFC. La serie 5 solo compensa si además necesitas OTP, PIV u OpenPGP.
¿Necesita la YubiKey un PIN para el acceso a WordPress?
No. Hive solo pide un toque, porque la contraseña ya es el primer factor. El PIN FIDO2 de la llave no se usa mientras un desarrollador no configure el sitio para exigir la verificación del usuario.
Sigue leyendo
La documentación de Hive explica en detalle las llaves físicas y la autenticación de dos factores. El resto de funciones está en las guías de ReportedIP Hive.