Proteger el login de WordPress: las medidas que funcionan
Blindar el acceso por impacto real: 2FA, límite de intentos y claves con cabeza primero, el segundo anillo para objetivos serios y los espejismos.
La pantalla de acceso es la puerta más golpeada de cualquier WordPress: los bots prueban usuarios y contraseñas contra millones de webs cada hora, a coste cero para ellos: blindar el login convierte ese bombardeo en ruido inofensivo: las medidas que funcionan, ordenadas por impacto, y las que solo dan sensación de seguridad.
Las tres medidas que deciden
- Verificación en dos pasos (2FA): la medida reina: aunque roben la contraseña, sin el segundo factor no entran: obligatoria para administradores, recomendable para todos: cualquier plugin de seguridad serio la incluye con apps de códigos estándar.
- Límite de intentos: la fuerza bruta vive de probar infinito: limitar intentos por IP con bloqueos crecientes la mata: la medida más rentable por minuto de configuración.
- Contraseñas de gestor y usuarios con cabeza: claves largas generadas, únicas por servicio, y nada de usuario «admin» ni el nombre del dominio como usuario: los bots prueban exactamente esos: y cada cuenta con el rol mínimo: el colaborador que solo escribe no necesita las llaves del edificio.
El segundo anillo: para webs que ya son objetivo
Protección extra del acceso: una capa adicional delante del formulario (autenticación básica del servidor o regla del cortafuegos) deja el login invisible para bots genéricos: la medida favorita de carteras y webs serias. Restricción por IP cuando trabajas desde ubicaciones fijas: el candado definitivo con la incomodidad de los viajes. El registro de actividad: saber quién entró, cuándo y desde dónde: la auditoría que convierte el «creo que algo pasa» en datos: y captcha o desafío en el formulario si el spam de registros te toca: con moderación: la fricción también la paga el legítimo.
Lo que aporta menos de lo que se cree
Ocultar la URL del login (el clásico /wp-login renombrado): frena al bot tonto y a ninguno serio: como capa extra tras lo importante, aceptable: como medida principal, espejismo: y rompe integraciones de vez en cuando. La prioridad correcta es la de arriba: 2FA + límites + claves: con eso hecho, el login deja de ser tu superficie débil: el resto del perímetro se cubre en el checklist completo.
Preguntas frecuentes
¿Qué plugin uso para el 2FA y los límites?
¿Qué pasa si pierdo el segundo factor?
¿Los bloqueos de intentos pueden dejarme fuera a mí?
Por dónde seguir
El login es una puerta del perímetro: el resto, en el checklist de seguridad por capas: y el peor escenario con procedimiento, en WordPress hackeado.