¿Cómo cambio la URL de login (acceso) de WordPress y oculto wp-admin?

Por qué importa

Todos los sitios WordPress del mundo responden en las mismas dos direcciones: /wp-login.php y /wp-admin. Los bots lo saben. No necesitan encontrar tu página de acceso; simplemente la piden en cada sitio al que llegan y empiezan a probar contraseñas.

Trasladar el acceso a una ruta que solo conoces tú saca a tu sitio de esa multitud. Los scripts automáticos que adivinan contraseñas se topan con un 404 y pasan de largo. Tus registros se vuelven más tranquilos, tu servidor trabaja menos y los intentos que quedan son más fáciles de interpretar.

Lo que esto no hace. Ocultar el acceso es una capa de ocultación. Elimina el objetivo fácil, pero no cierra nada con llave. WordPress tiene otras puertas; la más importante, xmlrpc.php, que acepta nombres de usuario y contraseñas por su cuenta. Una página de acceso oculta con la puerta de XML-RPC abierta es como esconder la puerta principal y dejar abierta la lateral. Considera este paso como el primero de varios:

• limita los intentos de acceso fallidos,
• añade la autenticación de dos factores para los administradores,
• cierra el acceso por XML-RPC y las filtraciones de nombres de usuario,
• usa contraseñas seguras y únicas, y mantén WordPress actualizado.

Errores habituales

• Cerrar sesión antes de probar. Prueba siempre la nueva ruta en una ventana privada mientras tu pestaña principal sigue con la sesión iniciada. Si algo falla, aún puedes arreglarlo.
• No guardar la URL. «Ya me acordaré» es la causa más común de quedarse fuera. Guárdala en tu gestor de contraseñas.
• Elegir una ruta obvia. /login, /admin y /secure son lo primero que prueban los bots. Usa algo que no sea una palabra común por sí sola.
• Olvidar las otras puertas. Si el acceso por XML-RPC sigue abierto, los intentos de contraseña simplemente se trasladan allí. Consulta cómo desactivar XML-RPC de forma segura.
• Guardar en caché la nueva ruta. Si una CDN o una caché de página almacena la página de acceso, el formulario puede dejar de funcionar. Excluye la ruta de la caché, igual que harías con wp-login.php.

Sin plugin

WordPress no tiene ningún ajuste para cambiar la URL de acceso. Los métodos manuales son:

Renombrar wp-login.php. Algunas guías proponen copiar wp-login.php con otro nombre de archivo y sustituir todas las referencias que contiene. Esto se rompe en cuanto WordPress se actualiza, porque la actualización restaura el archivo original y tu copia se queda desfasada. No lo recomendamos.

Restringir el archivo en el servidor. En Apache puedes limitar wp-login.php a tu propia dirección IP en .htaccess:

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

Es sólido si siempre trabajas desde una única dirección fija. Te deja fuera el día que cambia tu IP, y no sirve en configuraciones con Nginx o LiteSpeed sin una regla equivalente. Tampoco oculta las redirecciones de wp-admin.

Usar la autenticación HTTP básica. Muchos hostings te permiten poner una contraseña a wp-login.php desde su panel de control. Funciona, pero añade un segundo cuadro de acceso para todo el mundo y, si se aplica de forma demasiado amplia, puede romper las llamadas a admin-ajax.php desde la parte pública.

El resumen honesto: los métodos manuales o se rompen con las actualizaciones o dependen de una IP fija. Un plugin que intercepta la petición es más sencillo y sobrevive a las actualizaciones.

Si algo sale mal

• La nueva ruta muestra un 404. Revisa que la ruta no tenga erratas, vacía la caché de página y la de la CDN y vuelve a probar en una ventana privada nueva.

• Te has quedado fuera. Añade esta línea a wp-config.php, encima de «That's all, stop editing!» (en las instalaciones en español, «¡Eso es todo, deja de editar!»):

  define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
  

  El formulario de acceso se abre al momento en tusitio.com/new-path.

• ¿No tienes acceso al archivo wp-config.php? Borra la carpeta hushfort-security de /wp-content/plugins/ por FTP o con el administrador de archivos de tu hosting. WordPress vuelve a su acceso predeterminado.

La guía de recuperación completa está en Sin acceso después de cambiar la URL de acceso.

Con Hushfort

La capa Ocultar acceso de Hushfort Security, el plugin de seguridad gratuito para WordPress, no hace nada hasta que eliges una ruta, así que activarla no puede dejarte fuera por accidente. Cuando defines una ruta:

• wp-login.php y wp-admin devuelven un 404 (o, si lo prefieres, redirigen a tu página de inicio o a una URL que elijas).
• admin-ajax.php, la API REST, WP-Cron y XML-RPC siguen funcionando, así que tu tema y tus plugins se comportan como antes.
• El escritorio mantiene una tarjeta «Si pierdes el acceso» con tu URL de acceso actual y la línea de emergencia.
• Al desactivar el plugin, WordPress vuelve a su acceso normal.

Ocultar acceso está en el plugin gratuito. Hushfort Pro añade Límites de acceso, Autenticación de dos factores y Cierre de la puerta trasera para XML-RPC, así que el acceso oculto es una muralla entre varias, no la única.