WP 2FA - Two-factor authentication for WordPress (Premium)

El día delicado del doble factor es cuando vence el plazo

Decides que todo el equipo use doble factor. Activas la obligación, sale el aviso y parte de la gente lo deja para después. Llega la fecha límite y a media mañana alguien no puede entrar a publicar. El plugin ya estaba instalado: el problema empezó cuando la regla llegó a personas concretas.

Exigir doble factor funciona más como un cambio de hábitos que como un ajuste técnico. La pregunta útil no es qué método es más seguro, sino quién tiene que configurarlo, cuánto tiempo le das, qué le pasa si no lo hace y cómo vuelve a entrar si pierde el teléfono.

WP 2FA Premium, de Melapress, tiene un control para cada una de esas preguntas: políticas por rol, periodos de gracia, una consecuencia configurable al terminar el plazo y varias vías de recuperación.

Siete formas de confirmar el acceso

La edición Premium suma métodos a los de la versión gratuita, que cubre aplicación de autenticación y códigos por correo:

• Aplicación de autenticación (TOTP): Google Authenticator, Authy, Microsoft Authenticator y otras compatibles.
• Códigos por correo: de un solo uso.
• Llaves de acceso: sin contraseña, desbloqueadas con biometría o PIN, y varias por usuario.
• Llave física YubiKey: es la única llave de hardware admitida.
• SMS: códigos de un solo uso a través de Twilio o Clickatell.
• Enlace por correo: entrar con un clic, sin escribir código.
• Correo sin configuración: se aplica automáticamente, sin que el usuario haga nada.

Políticas por rol, con plazo y consecuencia

Desde WP 2FA, Sitewide 2FA Policies decides el alcance y las condiciones:

• A quién se exige: a todos, a usuarios o roles concretos, o a nadie, y entonces queda como opción.
• Por rol: obligación, métodos permitidos, plazo y dispositivos de confianza.
• Plazo: de inmediato o con un periodo de gracia, como 3 días, con correos de recordatorio.
• Al vencer: eliges qué ocurre, como restringir el acceso al escritorio o bloquear la cuenta.
• Otras reglas: doble factor al restablecer la contraseña, caducidad de los códigos e informes de uso.

Salidas para quien pierde el teléfono

Antes de obligar a nadie, deja resuelto cómo se recupera una cuenta. Estas son las vías:

• Códigos de respaldo: de un solo uso, para imprimir, guardar o enviar por correo.
• Otro administrador: puede restablecer el doble factor del usuario.
• Omisión puntual: permite el siguiente acceso sin doble factor, para soporte o recuperación.
• Último recurso: si no hay ningún otro administrador, desactivar el plugin manualmente, entrar y volver a configurarlo.

Desplegarlo por fases, también con clientes

SMS exige una cuenta en Twilio o Clickatell, y su coste depende de ese proveedor. Si usas correo, comprueba antes que tu sitio entrega los mensajes. Esta es una secuencia razonable, que conviene adaptar y probar en tu sitio:

1. Al activar el plugin arranca el asistente, que no se puede reabrir, aunque todos sus ajustes siguen en las políticas.
2. Configura tu propia cuenta y un método de respaldo.
3. Exige el doble factor a los administradores y a los editores, con un periodo de gracia.
4. Amplía la política al resto de roles.

Para una tienda, hay integración con las cuentas de cliente de WooCommerce con un clic, y los usuarios pueden gestionar su doble factor desde páginas del sitio, sin entrar en el escritorio. Admite páginas de acceso propias, direcciones de acceso personalizadas y multisitio.

Si buscas protección más allá del acceso

WP 2FA se ocupa de confirmar quién entra. Entre sus funciones no hay cortafuegos ni escáner de malware. Para esa parte, Wordfence Premium combina cortafuegos y escáner con doble factor TOTP y llaves de acceso, y Solid Security Pro une protección contra fuerza bruta, escáner de vulnerabilidades y gestión de versiones.

Loginizer Pro se centra en limitar intentos y cerrar accesos como XML-RPC, además de pedir un segundo factor.

Consultas habituales antes de exigirlo

¿Puedo exigirlo solo a algunos roles?

Sí. Las políticas se configuran por rol, y también puedes dirigirte a usuarios concretos.

¿Funciona con páginas de acceso personalizadas?

Sí, incluidas las de WooCommerce, y también con direcciones de acceso personalizadas.

¿Qué llaves físicas admite?

Solo YubiKey entre las llaves de hardware. Las llaves de acceso de tus dispositivos son un método aparte.