2FA en WordPress: qué método elegir y cómo evitar el bypass

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Dentro de la seguridad y hardening de WordPress, hay pocas medidas con tanto impacto por tan poco esfuerzo como la autenticación de dos factores en WordPress. La razón es simple: la mayoría de los accesos no autorizados que investigamos no explotan un fallo de código, sino una contraseña reutilizada, filtrada en otra brecha o adivinada por fuerza bruta. Un segundo factor rompe esa cadena: aunque el atacante tenga la contraseña correcta, le falta el elemento físico o efímero para entrar. Pero «activar 2FA» y «tener 2FA que resista» no son lo mismo. Este artículo trata de la diferencia.

Qué método de autenticación de dos factores en WordPress elegir

No todos los segundos factores ofrecen la misma protección. Ordenados de más robusto a más frágil:

• Llaves de seguridad físicas (FIDO2/WebAuthn). Una llave hardware o el equivalente en el dispositivo. Es el estándar más resistente porque está ligado criptográficamente al dominio: no funciona en una página de phishing aunque el usuario caiga. Si administras un sitio crítico, es la opción recomendable.
• Aplicación de autenticación (TOTP). Códigos de un solo uso generados en el móvil por apps de autenticación. Excelente equilibrio entre seguridad y comodidad. No depende de la red móvil ni del correo. Es la opción por defecto sensata para casi todo el mundo.
• Correo electrónico. Aceptable como respaldo, pero hereda la seguridad de tu buzón: si comprometen el email, comprometen el segundo factor.
• SMS. Mejor que nada, pero el más débil. Es vulnerable al SIM swapping (duplicado fraudulento de la tarjeta) y a la interceptación. Evítalo como método principal en cuentas con privilegios.

La recomendación práctica: TOTP como base para todo el equipo, llaves físicas para las cuentas de administrador y para cualquier sitio que maneje pagos.

Los bypass reales que hay que cerrar

Un atacante que sabe que hay 2FA no ataca el segundo factor de frente: busca el camino que lo rodea. Estos son los huecos que encontramos una y otra vez:

• XML-RPC y la API REST. Muchos plugins de 2FA protegen el formulario wp-login.php pero olvidan que xmlrpc.php acepta autenticación por credenciales sin pasar por el segundo factor. Un atacante autentica ahí y el 2FA queda irrelevante. Deshabilita XML-RPC si no lo usas, o asegúrate de que tu solución lo cubre.
• Contraseñas de aplicación. WordPress permite generar application passwords que saltan el 2FA por diseño. Si un atacante entra una vez y crea una, mantiene acceso persistente. Auditalas y revócalas.
• Roles sin obligar. Un 2FA opcional que solo activan los concienzudos no protege a la cuenta descuidada. Debe ser obligatorio por rol, empezando por administradores y editores.
• Códigos de recuperación mal guardados. Los códigos de respaldo son válidos como el segundo factor. Guardados en un correo o un post-it digital, son la llave maestra.
• Phishing en tiempo real. Un proxy de phishing puede capturar contraseña y código TOTP y usarlos al instante. Solo las llaves FIDO2/WebAuthn son inmunes a esto, porque validan el dominio real.

Conviene entender el 2FA como una capa dentro de un modelo de roles y permisos con mínimo privilegio real: si una cuenta con segundo factor cae, el daño depende de lo que esa cuenta pueda hacer. Menos privilegio, menos superficie que proteger.

2FA y fuerza bruta: complementos, no sustitutos

El doble factor no exime de defender el formulario de acceso. Sin límites, un atacante puede seguir probando contraseñas contra cuentas hasta acertar y solo entonces topar con el 2FA —desperdiciando tus recursos y revelando qué usuarios existen. Combinar 2FA con las medidas contra los ataques de fuerza bruta con rate limiting y bloqueo eficaz cierra el ciclo: uno impide el acceso, el otro impide que lo intenten en masa.

Cómo desplegarlo sin bloquearte a ti mismo

El miedo número uno a activar 2FA es quedarse fuera. Se evita con método:

• Configura y prueba tu propia cuenta de administrador antes de forzarlo al resto.
• Guarda los códigos de recuperación en un gestor de contraseñas, no en el correo.
• Registra un segundo factor de respaldo (una app y una llave, por ejemplo) para no depender de un único dispositivo.
• Ten a mano el procedimiento para desactivar el plugin por acceso al servidor, por si necesitas recuperar el control.

Las guías de referencia de WordPress.org y el material del Wordfence Learning Center insisten en que el control de acceso es la primera línea; la NVD del NIST está llena de vulnerabilidades que un atacante solo puede explotar tras autenticarse —justo lo que el 2FA le niega.

En resumen: elige TOTP como base, llaves físicas para lo crítico, hazlo obligatorio por rol y cierra los caminos laterales (XML-RPC, application passwords, códigos de recuperación). Un 2FA bien montado no es una casilla marcada, es una puerta que aguanta.