Cada vez es más habitual que se filtren contraseñas, y muchos seguimos usando la misma clave en varios servicios. Si alguien consigue la tuya y tu web no tiene doble factor de autenticación, puede entrar en tu WordPress sin problema… y con ello acceder a los datos de tus clientes, usuarios y pedidos.
En este vídeo te explico qué es el doble factor (2FA) y cómo activarlo en WordPress paso a paso con un plugin gratuito y una aplicación como Google Authenticator. En unos minutos tendrás tu web mucho más protegida.
En el vídeo verás:
- Qué es el doble factor y por qué es imprescindible hoy en día.
- Cómo instalar y configurar un plugin 2FA gratuito en WordPress.
- A qué roles conviene obligar a usarlo: administradores y gestores de tienda.
- Por qué es mejor el código por aplicación que por correo electrónico.
- Cómo generar y guardar los códigos de respaldo para no quedarte fuera de tu web.
Resumen del vídeo
Qué es el doble factor de autenticación
El doble factor de autenticación (2FA) añade un paso más al inicio de sesión. Además del nombre de usuario y la contraseña, el sistema te pide un código temporal que genera una aplicación en tu móvil, como Google Authenticator o Authy. Ese código cambia cada 30 segundos, así que solo puede usarlo quien tiene el dispositivo en la mano.
Por qué es tan importante activarlo
Las filtraciones de contraseñas son cada vez más frecuentes y es muy habitual reutilizar la misma clave en varios servicios. Con el doble factor activado, aunque alguien consiga copiar tu contraseña, no podrá entrar en tu web sin el código. Y si tu WordPress guarda datos de usuarios, clientes o pedidos, protegerlo es todavía más importante.
Cómo instalar un plugin de doble factor en WordPress
En el vídeo partimos de un WordPress de pruebas prácticamente vacío. Basta con ir a Plugins > Añadir nuevo y buscar «2FA»: aparecen más de 440 plugins gratuitos que ofrecen esta función. Instalamos y activamos uno gratuito que nos gusta especialmente. Antes de empezar, ten a mano el móvil con tu aplicación de autenticación.
A qué usuarios conviene obligar a usar el doble factor
Desde la configuración del plugin se eligen los roles a los que se exige el 2FA. Nuestra recomendación es clara: obligatorio para administradores y gestores de tienda (shop manager), porque son quienes acceden a datos personales: clientes, cuentas de usuario y pedidos. Para los clientes no hace falta obligarlo; puede quedar como opción voluntaria.
Correo electrónico o aplicación: qué método elegir
El plugin permite recibir el código por correo electrónico o generarlo con una aplicación. La opción de aplicación no viene marcada por defecto y te recomendamos activarla: si el correo falla o no llega, te quedas sin poder entrar en tu web.
Cómo configurar el doble factor en tu perfil de usuario
- Guarda la configuración del plugin y entra en tu perfil de usuario.
- Baja hasta la sección del doble factor y pulsa Configurar doble factor.
- Selecciona el método Aplicación.
- Abre Google Authenticator (o la app que uses) y escanea el código QR. Si usas un gestor de contraseñas de escritorio como 1Password, puedes copiar la clave que muestra el plugin en lugar de escanear el QR.
- Pulsa Continuar, escribe el código que muestra la aplicación y pulsa Validar y guardar.
Desde esta misma sección también se puede quitar la configuración del doble factor, aunque lo normal es que, una vez puesta, no la quites.
Genera y guarda los códigos de respaldo
Después de validar, es muy importante pulsar Generar lista de códigos de respaldo y guardarlos: descárgalos, imprímelos o envíatelos por correo, pero no los pierdas. Si un día no tienes el móvil a mano, lo pierdes o no tenías activada la sincronización de Google Authenticator con la nube, estos códigos te permitirán entrar. Sin ellos tendrías que acceder por FTP o desde el panel del hosting (cPanel o similar) para desactivar el plugin.
Cómo es el inicio de sesión con doble factor
Al cerrar sesión y volver a entrar con usuario y contraseña, WordPress ya no te deja pasar directamente: te pide el código de doble factor, que es distinto cada vez. Aunque alguien te hubiera robado la contraseña, sin ese código no podría acceder.
¿Y si tu web no tiene tienda online?
También te conviene. Casi todos los formularios de contacto guardan los mensajes que recibes, y con ellos los datos de quienes te escriben. Eso ya supone una responsabilidad en materia de protección de datos personales. Activar el doble factor es sencillo, gratuito y te puede ahorrar muchos quebraderos de cabeza.
Preguntas frecuentes
¿Qué aplicación necesito para el doble factor en WordPress?
Sirve cualquier aplicación de autenticación, como Google Authenticator o Authy. También puedes usar gestores de contraseñas como 1Password copiando la clave en lugar de escanear el QR.
¿Tengo que obligar a todos los usuarios a usar el 2FA?
No. Lo recomendable es que sea obligatorio para administradores y gestores de tienda, que acceden a datos personales, y opcional para los clientes.
¿Es mejor recibir el código por correo o por aplicación?
Por aplicación. Si el correo falla o no llega, no podrás entrar en tu web.
¿Qué pasa si pierdo el móvil?
Podrás entrar con uno de los códigos de respaldo que generaste al configurar el doble factor. Si no los tienes, habrá que desactivar el plugin por FTP o desde el panel del hosting.
