El doble factor de autenticación añade una segunda comprobación al acceso al panel de WordPress, más allá de la contraseña del administrador. Para un despacho de abogados, ese panel guarda expedientes, formularios de clientes y el contenido que sostiene su posicionamiento: perderlo por una contraseña reutilizada sale más caro que activarlo. Este artículo explica qué cambia con el doble factor, qué plugins lo implementan sin tocar código y qué política de contraseñas conviene fijar para todo el equipo, no solo para quien administra la web.
El doble factor de autenticación exige dos pruebas de identidad distintas para entrar en una cuenta: algo que el usuario sabe, como la contraseña, y algo que tiene, como una aplicación generadora de códigos o una llave física. Con las dos activas, una contraseña filtrada ya no basta para acceder al panel.
El WordPress del despacho, objetivo de contraseñas débiles
El ecosistema WordPress sumó 11.334 vulnerabilidades nuevas en 2025, un 42% más que el año anterior, y el 91% aparecieron en plugins, según el informe State of WordPress Security de Patchstack. De ellas, 1.966 tenían severidad alta, con muchas probabilidades de acabar en un ataque automatizado a gran escala: el propio informe señala que en 2025 se descubrieron más vulnerabilidades muy explotables que en los dos años anteriores juntos.
Un despacho no necesita ser un objetivo elegido a mano para sufrirlo. La mayoría de estos ataques son bots que recorren miles de dominios buscando el mismo plugin desactualizado o la misma contraseña de diccionario, sin distinguir el tamaño del cliente. El panel de acceso, wp-login.php, es el punto que más veces prueban antes de tocar cualquier otra cosa.
Cuánto tarda un ataque de fuerza bruta en entrar
Según INCIBE, casi el 80% de los ciberataques se apoyan en el uso de contraseñas poco seguras, y una parte relevante de ellas se descifra en un margen que va de los pocos segundos a unas dos horas. Ese es el tiempo real que separa una contraseña reutilizada de un acceso completo al panel de administración.
La cifra explica por qué exigir solo una contraseña larga no basta: los bots no adivinan letra a letra, prueban listas completas de credenciales filtradas en otras brechas, y un despacho que reutiliza contraseñas entre su correo, su banca y su WordPress ofrece la misma llave para las tres puertas.
Doble factor de autenticación, la capa que falta
Añadir el doble factor de autenticación corta ese camino aunque la contraseña ya esté comprometida: el atacante necesitaría además el segundo factor, que no viaja en ninguna lista de credenciales filtradas. INCIBE recomienda activarlo siempre en los servicios que gestionan información sensible, y sitúa los paneles de administración en la misma categoría que la banca online o el correo corporativo.
En un despacho, eso significa activarlo no solo para quien lleva la web, sino para cualquier abogado o colaborador que tenga acceso de editor o administrador, aunque publique poco.
Verificación por SMS, la opción que INCIBE desaconseja
No todos los segundos factores pesan igual. INCIBE distingue entre la autenticación de doble factor real, basada en algo que se posee o en un dato biométrico, y la simple verificación en dos pasos por SMS, que considera menos segura porque el código puede interceptarse mediante duplicado de tarjeta SIM o malware en el propio teléfono.
La alternativa recomendada es una aplicación generadora de códigos temporales o, para las cuentas con más privilegios, una llave física de seguridad. Ninguna de las dos depende de la cobertura del móvil ni puede clonarse llamando al operador haciéndose pasar por el titular.
Cómo activar el doble factor en WordPress
Activarlo no exige tocar una sola línea de código. Los plugins de seguridad más usados en WordPress lo integran como una pantalla adicional tras la contraseña, configurable por rol de usuario:
- Wordfence Login Security: gratuito, se apoya en aplicaciones como Google Authenticator o Authy y permite exigirlo solo a administradores y editores.
- WP 2FA: guía paso a paso a cada usuario la primera vez que entra, sin que el administrador tenga que configurar cuenta por cuenta.
- Solid Security (antes iThemes Security): combina el doble factor con el bloqueo de intentos repetidos de acceso, útil frente a los bots que prueban contraseñas de forma automática.
Conviene exigirlo primero a quien tiene permisos de administrador y de editor, y extenderlo después al resto: un colaborador con perfil de autor también puede ser la puerta de entrada si su cuenta se ve comprometida.
Política de contraseñas para todo el equipo del despacho
El doble factor de autenticación reduce el riesgo, pero no sustituye una contraseña razonable detrás. Un gestor de contraseñas, con opciones gratuitas y de pago, genera y guarda una distinta para cada servicio, así que ningún abogado del despacho necesita memorizar ni reutilizar la misma clave entre el correo, la banca y el WordPress.
La norma práctica es simple: contraseña única por servicio, generada al azar y con al menos doce caracteres, y doble factor activo en cualquier cuenta que pueda publicar, editar formularios o ver datos de clientes.
Cuentas de antiguos colaboradores, el acceso que nadie revoca
Un despacho cambia de personal con más frecuencia de la que cambia de proveedor web, y el acceso al WordPress rara vez figura en la lista de cosas que se revisan cuando alguien se va. La cuenta de un exempleado con perfil de editor sigue siendo una vía de entrada válida meses después de que haya dejado de trabajar allí, tenga o no motivos para usarla.
Revisar la lista de usuarios del panel cada pocos meses y eliminar o degradar las cuentas que ya no corresponden a nadie del equipo actual cuesta diez minutos y cierra un hueco que ninguna contraseña, por fuerte que sea, tapa por sí sola.
Reaccionar ante un acceso ya comprometido
Si hay indicios de que alguien ha entrado sin permiso, usuarios nuevos que nadie creó, cambios en el contenido que nadie hizo, correos de aviso de inicio de sesión desconocidos, lo primero es cambiar todas las contraseñas con acceso al panel y revisar la lista de usuarios y de claves API activas. Si en el proceso aparecen indicios de que se han filtrado datos de clientes, el plazo para notificarlo a la AEPD es de 72 horas, como se explica en brecha de seguridad en la web del despacho.
Activar el doble factor de autenticación en ese momento ya no protege el acceso que se ha filtrado, pero sí impide que la misma contraseña reutilizada sirva para volver a entrar en cuanto se cambie. Es la diferencia entre cerrar una puerta y cerrar todas las que se abrieron con la misma llave, algo especialmente relevante si el WordPress del despacho lleva tiempo sin una revisión de seguridad completa.
Preguntas frecuentes sobre el doble factor de autenticación
¿El doble factor de autenticación ralentiza el trabajo diario?
Añade unos segundos al iniciar sesión, no a publicar ni a editar. La aplicación genera el código al abrir el panel y, en la mayoría de plugins, el navegador recuerda el dispositivo durante varios días, así que la comprobación extra no se repite en cada visita.
¿Qué pasa si se pierde el móvil con la aplicación de códigos?
Los plugins de doble factor entregan códigos de recuperación de un solo uso al activarlo, pensados justo para este caso. Conviene guardarlos impresos o en un gestor de contraseñas, no en el propio móvil, y usarlos para entrar y generar un nuevo segundo factor desde otro dispositivo.
¿Es obligatorio por la normativa de protección de datos?
El RGPD no cita el doble factor por su nombre, pero exige medidas técnicas proporcionadas al riesgo de los datos que se tratan. Un despacho que gestiona expedientes de clientes difícilmente puede alegar que una sola contraseña era una medida proporcionada si sufre una brecha evitable con 2FA.
¿Sirve el doble factor si ya se usa una contraseña segura?
Sí, y es precisamente entonces cuando más protege: una contraseña robusta puede filtrarse igualmente en una brecha de un servicio ajeno si se reutiliza, y el doble factor es lo único que sigue frenando el acceso cuando la contraseña ya no es un secreto.
Fuente: INCIBE — Asegura tus cuentas de usuario con la autenticación de doble factor