Cómo proteger el acceso a wp-admin: fuerza bruta, 2FA y usuarios
La pantalla de acceso de WordPress (/wp-login.php y /wp-admin/) recibe intentos de entrada todos los días, aunque su sitio sea chico. Son ataques de fuerza bruta automáticos: bots que prueban combinaciones de usuario y clave hasta acertar. Le explicamos cómo funcionan y cómo frenarlos, de lo más importante a lo complementario.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué es un ataque de fuerza bruta
Un ataque de fuerza bruta es probar claves una tras otra hasta encontrar la correcta. En WordPress, los bots no prueban al azar: usan listas de las claves más comunes y de claves filtradas en otros sitios, combinadas con los nombres de usuario que logran averiguar.
Hay variantes que conviene conocer:
Fuerza bruta clásica
Miles de intentos contra
wp-login.php.Relleno de credenciales
Usan usuario y clave filtrados de otro servicio. Si usted repite la clave, aciertan al primer intento.
Ataques por XML-RPC
El archivo
xmlrpc.phppermite probar cientos de claves en un solo pedido, esquivando los límites de intentos de algunos plugins.Ataques distribuidos
Los intentos llegan desde miles de direcciones IP distintas, así que bloquear por IP no alcanza.
Cómo averiguan su nombre de usuario
Antes de probar claves, el atacante necesita un usuario, y WordPress se lo puede dar sin querer:
Enumeración por autor
Visitar
/?author=1redirige a/author/nombre-de-usuario/.API REST
La dirección
/wp-json/wp/v2/userslista los usuarios que publicaron contenido.Usuarios obvios
«admin», el nombre de la empresa o el del dominio.
Cerrar estas vías no reemplaza una buena clave, pero obliga al atacante a adivinar dos cosas en lugar de una.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Las medidas, en orden de importancia
- 01
Claves largas y únicas
Una clave larga, generada por un gestor de contraseñas y que no se usa en ningún otro lado. Es la medida que más protege y la única que frena el relleno de credenciales.
- 02
Segunda clave (2FA) para administradores
Un código del celular además de la clave. Aunque roben la clave, no pueden entrar. Lo ofrecen Wordfence, Solid Security, AIOS y el plugin oficial «Two Factor». → Plugins de seguridad para WordPress
- 03
Límite de intentos de acceso
Bloquear temporalmente a quien falla varias veces seguidas. Cualquier plugin de seguridad lo trae; también existe «Limit Login Attempts Reloaded» como plugin aparte.
- 04
Cerrar o limitar XML-RPC
Si no usa la aplicación móvil de WordPress ni servicios que se conecten por XML-RPC, desactívelo. Si lo necesita, asegúrese de que su plugin de seguridad limite los intentos también por esa vía.
- 05
Menos administradores, menos permisos
Cada usuario con el rol que necesita: un redactor no necesita ser administrador. Dé de baja a ex empleados, agencias y proveedores que ya no trabajan con usted.
- 06
Cerrar la enumeración de usuarios
Bloquear
/?author=y el listado de usuarios de la API REST para quien no está conectado. Algunos plugins de seguridad lo hacen con un clic.
Roles de WordPress: quién necesita qué
Muchos sitios tienen a todos como administradores «para que no haya problemas». Es el problema. WordPress tiene roles pensados para dar solo los permisos necesarios:
| Rol | Qué puede hacer | A quién dárselo |
|---|---|---|
| Administrador | Todo: instalar plugins, crear usuarios, cambiar la configuración | Una o dos personas de confianza, con 2FA |
| Editor | Publicar y editar todo el contenido, de cualquier autor | Quien gestiona el contenido del sitio |
| Autor | Publicar y editar su propio contenido | Redactores con publicación directa |
| Colaborador | Escribir contenido que otro publica | Redactores externos |
| Gestor de tienda (WooCommerce) | Pedidos, productos y clientes, sin tocar plugins | Quien atiende la tienda → Seguridad en WooCommerce |
| Suscriptor o cliente | Solo su perfil | Clientes registrados |
A la agencia o al desarrollador, dele un usuario propio (no comparta el suyo) y bórrelo cuando termine el trabajo.
Cómo configurar la segunda clave (2FA), paso a paso
- 01
Elija el plugin
Si ya tiene un plugin de seguridad (Wordfence, Solid Security, AIOS), active su 2FA. Si no, el plugin «Two Factor» mantenido por colaboradores de WordPress es liviano y suficiente.
- 02
Instale una aplicación de autenticación en el celular
Google Authenticator, Microsoft Authenticator o una similar. Evite el SMS como segundo factor si puede: es el método más débil.
- 03
Escanee el código QR y guarde los códigos de respaldo
El plugin muestra un código QR para vincular el celular y una lista de códigos de un solo uso. Guárdelos fuera del sitio: si pierde el celular, son su forma de entrar.
- 04
Hágala obligatoria para administradores
La mayoría de los plugins permite exigir 2FA según el rol. Si es opcional, nadie la activa.
- 05
Pruebe el acceso desde otro navegador
Antes de cerrar la sesión actual, confirme que puede entrar con el segundo factor. Así evita quedar afuera.
Medidas complementarias
Cambiar la dirección de acceso
Plugins como WPS Hide Login cambian
/wp-login.phppor otra dirección. No es una barrera real (la seguridad no puede depender de un secreto), pero elimina casi todo el ruido de los bots.Restringir wp-admin por IP
Si siempre trabaja desde la misma oficina, puede permitir el acceso solo desde esa IP en el
.htaccesso en el firewall.Un firewall delante del sitio
Un firewall en la nube bloquea los ataques distribuidos antes de que lleguen al servidor.
Qué es un WAFAvisos de acceso
Recibir un correo cada vez que entra un administrador ayuda a detectar un acceso indebido a tiempo.
Contraseñas de aplicación bajo control
Desde WordPress 5.6, los usuarios pueden crear contraseñas de aplicación para integraciones. Revise que no haya ninguna que no reconozca.
Señales de que alguien está intentando entrar (o ya entró)
| Señal | Qué puede significar |
|---|---|
| Correos de «su cuenta fue bloqueada» del plugin de seguridad | Un ataque de fuerza bruta en curso: el límite de intentos está funcionando |
| El servidor está lento sin más visitas que lo normal | Miles de intentos por minuto contra wp-login.php o xmlrpc.php |
| Usuarios administradores que nadie creó | Ya entraron. Hace falta revisar el sitio completo → Limpieza de sitio hackeado |
| Le cambiaron el correo o la clave de su usuario | Ya entraron |
Si sospecha que alguien entró, no alcanza con cambiar la clave: hay que buscar lo que dejaron. → Cómo escanear WordPress en busca de malware
El acceso protegido es una de las ocho capas de la guía de seguridad en WordPress.
Qué hacer si cree que alguien ya entró
- 01
No cierre su sesión todavía
Desde su sesión actual, cambie su clave y la de todos los administradores.
- 02
Cierre todas las sesiones abiertas
En el perfil de cada usuario, «Cerrar sesión en todas partes» desconecta al intruso aunque tenga la clave vieja.
- 03
Revise usuarios y contraseñas de aplicación
Borre los usuarios que no reconozca y las contraseñas de aplicación que nadie creó.
- 04
Busque lo que pudo haber dejado
Plugins nuevos, archivos modificados, tareas programadas. Un intruso con acceso de administrador puede instalar una puerta trasera en segundos. → Limpieza de sitio hackeado
¿No sabe si su acceso está bien protegido? En el diagnóstico gratis revisamos desde afuera si sus usuarios se pueden averiguar y si XML-RPC está abierto. Y en la auditoría de seguridad web revisamos usuarios, roles y configuración desde adentro.
Servicios relacionados
Preguntas frecuentes
¿Qué es un ataque de fuerza bruta?
Es probar claves de forma automática, una tras otra, hasta encontrar la correcta. En WordPress apunta a la pantalla de acceso y a XML-RPC.
¿Cambiar la URL de wp-admin es suficiente?
No. Reduce el ruido de los bots, pero no protege si la clave es débil o está filtrada. Úselo como complemento de la segunda clave y el límite de intentos.
¿Qué pasa si desactivo XML-RPC?
Dejan de funcionar la aplicación móvil de WordPress y algunas integraciones antiguas. La mayoría de los sitios no lo usa.
¿La segunda clave es obligatoria para todos los usuarios?
Para los administradores y quienes pueden publicar, conviene que sí. Para clientes de una tienda, alcanza con una clave fuerte.
¿Cómo sé si mi usuario está expuesto?
Pruebe /?author=1 en su sitio. Si lo redirige a una dirección con un nombre de usuario, está expuesto.
Más sobre seguridad wordpress
Seguridad en WooCommerce: cómo proteger pagos y datos de clientes
Una tienda WooCommerce tiene todo lo que tiene un sitio WordPress, y además clientes, pedidos y pagos. Eso la vuelve un blanco…
LeerSeguridad en WordPress: guía completa para dueños de sitios
¿WordPress es seguro? El núcleo, sí. Los sitios WordPress que se hackean caen casi siempre por lo que se les agrega encima:…
LeerCómo escanear WordPress en busca de malware
El malware en WordPress casi nunca se ve: el sitio carga bien, a usted no le redirige a ningún lado y el…
Leer¿Su acceso a WordPress está bien protegido?
Lo revisamos desde afuera, sin claves: si se pueden averiguar sus usuarios, si XML-RPC está abierto y qué conviene cerrar.
¿Consulta urgente? WhatsApp 095 283 123