¿Cómo activo la autenticación de dos factores (2FA) en WordPress?

Por qué importa

Las contraseñas se filtran. Se reutilizan en otra web que sufre una brecha, se escriben en una página de acceso falsa o se adivinan. Cuando alguien tiene tu contraseña, WordPress no puede distinguirlo de ti.

La autenticación de dos factores (2FA) añade algo que solo tienes tú: un código de seis dígitos de una app de tu móvil que cambia cada 30 segundos. Para entrar, un atacante necesita tu contraseña y tu móvil a la vez. En una cuenta de administrador, ese único cambio elimina la forma más habitual de tomar el control de un sitio.

El estándar detrás de esos códigos es TOTP (contraseñas de un solo uso basadas en el tiempo). Es abierto, funciona sin conexión y lo admiten todas las apps de autenticación importantes, así que no dependes de un solo proveedor.

Errores habituales

• No guardar los códigos de recuperación. Perder el móvil sin códigos de recuperación es la forma más común de quedarse fuera después de activar la 2FA. Imprímelos o guárdalos en un gestor de contraseñas que no esté en el mismo móvil.
• Usar un solo móvil para todo. Si los códigos y los códigos de recuperación viven en el mismo dispositivo, al perderlo pierdes ambos.
• Creer que la 2FA cubre todas las puertas. Si xmlrpc.php sigue aceptando contraseñas, o los códigos fallidos no se cuentan, los atacantes pueden seguir probando. Cierra el acceso por XML-RPC y asegúrate de que los fallos de 2FA cuentan para tu límite de accesos.
• Códigos QR generados por un servicio externo. Algunas configuraciones dibujan el código QR con un servicio de imágenes externo, lo que significa que tu secreto viaja por internet. Mejor un código QR generado en tu propio servidor.
• Cambiar las sales de seguridad sin un plan. En algunas configuraciones, los secretos de 2FA están ligados a las sales de WordPress. Averigua qué hace tu plugin si las sales cambian.

Sin plugin

No hay una forma honesta de añadir 2FA con TOTP a WordPress sin código. Las opciones fuera de un plugin de WordPress son:

• La protección de acceso de tu hosting. Algunos hostings gestionados ponen una capa de 2FA delante de wp-admin. Es cómodo cuando está disponible, pero no te lo llevas si cambias de hosting.
• Inicio de sesión único (SSO). Los equipos más grandes pueden hacer pasar los accesos de WordPress por un proveedor de identidad que exija 2FA. Es sólido, pero requiere más configuración de la que necesita la mayoría de los sitios pequeños.
• Autenticación HTTP básica en wp-admin. Esto añade una segunda contraseña, no un segundo factor. Frena a los bots, pero una lista de contraseñas filtradas puede contener ambas.

Si lo programas tú, tendrás que guardar cifrado el secreto de cada usuario, verificar los códigos con un pequeño margen de desfase del reloj, limitar los intentos en el paso del código, generar códigos de recuperación y dar a los administradores una forma de restablecerlo. Es mucho código crítico para la seguridad que mantener tú solo.

Si algo sale mal

• El código siempre es «no válido». Comprueba la hora de tu móvil. TOTP depende del reloj; activa la hora automática en los ajustes del móvil.

• Has perdido el móvil. Usa un código de recuperación en la pantalla del código. Cada código sirve una sola vez.

• No te quedan códigos de recuperación. Añade esta línea a wp-config.php:

  define( 'GATEKEEPER_2FA_DISABLE', true );
  

  Accede, vuelve a configurar la 2FA en tu nuevo móvil, guarda los nuevos códigos y elimina la línea.

• Otro administrador puede ayudarte. Un administrador puede restablecer la 2FA de tu cuenta desde tu perfil de usuario.

La guía completa está en Sin acceso después de cambiar la URL de acceso.

Con Hushfort

La Autenticación de dos factores forma parte de Hushfort Pro, el complemento de pago que se instala sobre Hushfort Security, el plugin de seguridad gratuito para WordPress.

La capa de Autenticación de dos factores de Hushfort usa TOTP, así que funciona con cualquier app de autenticación.

• El código QR se genera localmente. Tu secreto nunca sale de tu servidor.
• Cada usuario configura la 2FA desde su propia pantalla de perfil; los administradores pueden restablecerla.
• Los códigos de recuperación se pueden descargar o imprimir.
• Los secretos se guardan cifrados (AES-256 con verificación HMAC).
• Si cambian las sales de seguridad de WordPress, la 2FA no se desactiva en silencio. Los usuarios afectados acceden con un código de recuperación y se les pide que vuelvan a configurar la 2FA. También puedes definir una clave aparte, GATEKEEPER_2FA_KEY (32 caracteres o más), en wp-config.php para que las sales no influyan.
• Los códigos fallidos cuentan para los Límites de acceso.