Seguridad de contraseñas en WordPress: por qué tu contraseña es el mayor riesgo

Cuando hackean un sitio WordPress, la sospecha recae por reflejo en la técnica que falta: ningún plugin de seguridad, ningún cortafuegos, ningún escáner de malware. La verdad incómoda es otra. En la práctica, el mayor punto débil de casi cualquier sitio WordPress es mucho más banal: contraseñas de usuario débiles, reutilizadas o adivinables. Un atacante que entra con credenciales válidas no dispara ninguna alarma del cortafuegos. Simplemente está dentro.

Este artículo explica por qué las contraseñas son la puerta de entrada n.º 1, desmonta los mitos más persistentes y te muestra un método para construir contraseñas realmente fuertes que aun así puedas recordar. Y como el tema importa tanto, hemos construido una herramienta gratuita que te quita el trabajo.

Por qué las contraseñas son la puerta de entrada n.º 1

Los accesos de WordPress no los atacan individuos aburridos, sino redes de bots que trabajan de forma automatizada las 24 horas. Dominan dos patrones de ataque:

Fuerza bruta y ataques de diccionario: los bots prueban de forma sistemática millones de combinaciones, empezando por los clásicos como 123456, contrasena o el nombre del sitio con un año. Las contraseñas cortas o evidentes no caen en semanas, sino en segundos o minutos. Los objetivos preferidos son wp-login.php y la interfaz a menudo olvidada xmlrpc.php: con su función system.multicall se pueden empaquetar cientos de intentos de contraseña en una sola petición, lo que esquiva con elegancia los límites clásicos de inicio de sesión. Quien no necesite XML-RPC, por ejemplo para la conexión con Jetpack o para aplicaciones antiguas, debería desactivar esa interfaz.

Credential stuffing: más eficiente todavía es no adivinar nada. De las filtraciones en otros servicios circulan miles de millones de combinaciones reales de correo y contraseña. Los bots prueban esas listas directamente en los accesos de WordPress. Quien usa la misma contraseña para la tienda online, la cuenta de correo y el panel de WordPress queda comprometido en todas partes a la vez tras la siguiente filtración en cualquiera de esos servicios. Reutilizar contraseñas no es un defecto estético, es el cable directo entre la filtración de un tercero y tu área de administración.

Un plugin de seguridad puede interceptar y frenar muchos de esos intentos, y eso vale. Pero contra una contraseña válida, robada o adivinada no ayuda ningún cortafuegos del mundo. Por eso la higiene de contraseñas viene antes que cualquier decisión sobre plugins.

Los tres mayores mitos sobre las contraseñas

Alrededor de las contraseñas sobreviven reglas que hace veinte años tenían buena intención y que hoy demuestran hacer más daño que bien. El propio NIST estadounidense y el BSI alemán han cambiado sus recomendaciones en ese sentido.

Mito 1: el lío de símbolos gana a la longitud

El corto P@ssw0rd! parece seguro, pero no lo es: justamente esas sustituciones (a por @, o por 0, signo de exclamación al final) llevan mucho tiempo en cualquier ataque de diccionario. Una contraseña con ocho caracteres crípticos es en el cálculo bastante más débil que una con veinte caracteres sencillos. La longitud gana a la complejidad, y no por poco, sino por órdenes de magnitud. Cada carácter adicional multiplica el esfuerzo del atacante en lugar de solo sumarlo.

Mito 2: hay que cambiar las contraseñas con regularidad

Los cambios forzados cada 90 días llevan en la práctica a un patrón previsible: de Verano2025! se pasa a Otono2025!. Esas rotaciones bajan la seguridad real, porque las personas se construyen sistemas memorizables que los atacantes conocen igual de bien. La recomendación moderna dice: una contraseña fuerte se queda hasta que haya un motivo concreto, por ejemplo una filtración en el servicio o la sospecha de que alguien ha estado leyendo. Entonces se cambia de inmediato, no por calendario.

Mito 3: «mi blog es demasiado pequeño para que lo ataquen»

Los bots no conocen el alcance. Recorren rangos de IP y listas de dominios enteros, y un pequeño blog de jardinería les resulta tan interesante como una gran revista: como lanzadera de spam, alojamiento de phishing, granja de enlaces para SEO o trampolín para más ataques. La pregunta no es si tu página de acceso está siendo atacada de forma automatizada. Ya lo está, probablemente varias veces al día. La única pregunta es si los intentos se quedan en nada.

Lo que sí ayuda: longitud, azar, unicidad

La fuerza de una contraseña se resume en un solo término: entropía, es decir, la cantidad de azar real que contiene. Dicho de forma sencilla: ¿cuántas posibilidades tiene que probar un atacante hasta dar con tu contraseña con seguridad? Cada carácter aleatorio adicional multiplica esa cifra. Una contraseña aleatoria de 12 caracteres con letras, cifras y símbolos ya ofrece más combinaciones de las que todos los ordenadores del mundo podrían probar en siglos, y una de 16 a 20 caracteres es, a plazo previsible, prácticamente indescifrable.

La palabra decisiva es aleatoria. El comienzo de la letra de una canción de 20 caracteres no es aleatorio, está en las mismas listas que los diccionarios. De ahí salen tres reglas sencillas:

1. Longitud: al menos 16 caracteres, mejor más. 2. Azar: las piezas tienen que sortearse, no inventarse, porque las personas somos pésimos generadores de azar. 3. Unicidad: cada servicio recibe su propia contraseña, para que una filtración en el servicio A no abra el servicio B. Quien cumple las tres reglas ha resuelto el problema de las contraseñas en su núcleo. Queda solo una pregunta: ¿cómo se recuerda algo así?

El método de la historia: contraseñas a partir de imágenes

Nuestro cerebro es malo con el revoltijo de caracteres y excelente con imágenes e historias. Justo eso aprovecha el método de la historia: en lugar de memorizar Un1c0rn10!Id34#Duch4-4711 como cadena, memorizas una imagen absurda: «El unicornio tiene una idea en la ducha» 🦄💡🚿. De esa frase se deriva la contraseña con reglas fijas y sencillas: tomar las palabras marcadas, sustituir algunas letras por cifras, añadir separadores y un número. La imagen es tan rara que se queda, y la contraseña derivada es larga, mezclada y no aparece en ningún diccionario.

El punto flaco de las frases inventadas por uno mismo: las personas piensan frases previsibles. Por eso la historia debería sortearse, no elegirse. Para eso hemos construido una pequeña herramienta.

Importante para situarlo bien: el método de la historia está pensado para las pocas contraseñas que de verdad tienes que llevar en la cabeza. Para las demás hay una solución mejor, sobre eso volvemos enseguida. Una guía más extensa del método, con ejemplo de cálculo incluido, está en nuestro artículo Crear una contraseña segura.

Medidas concretas para quien administra un WordPress

Una contraseña propia y fuerte es la mitad del trabajo. La otra mitad: procurar que ninguna de las demás cuentas de tu sitio sea una puerta de entrada. Estas cinco medidas cubren la práctica:

1. Política de contraseñas fuerte para todos los roles

La contraseña de administrador más fuerte sirve de poco si una cuenta de redacción está protegida con verano123. También las cuentas con menos permisos son botín valioso, por ejemplo para contenidos de spam o como punto de partida para escalar privilegios. WordPress muestra un indicador de fuerza al elegir la contraseña, pero permite contraseñas débiles con solo confirmar. Una fuerza mínima obligatoria para todos los roles, por plugin o por política del equipo, cierra ese hueco. Tiene una responsabilidad especial quien gestiona un área de miembros: ahí cuelgan de tu sitio en poco tiempo cientos o miles de cuentas de usuario cuyas credenciales proteges también tú. Quien planee o gestione algo así debería apostar por una solución que piense en la seguridad desde el principio, como nuestro MemberJet con seguridad por diseño. Lo que cuestan las versiones de pago está en la página de precios, y la versión gratuita sigue siendo gratuita.

2. Activar la autenticación en dos pasos

Un segundo factor (aplicación de autenticación o llave de seguridad) deja sin valor una contraseña robada. Para las cuentas de administración y de redacción, la autenticación en dos pasos debería ser obligatoria y no opcional. El esfuerzo de configuración es de pocos minutos por cuenta y es, con diferencia, el complemento más eficaz a una contraseña fuerte.

3. Limitar los intentos de acceso

Por defecto WordPress permite intentos de acceso ilimitados, un regalo para cualquier bot de fuerza bruta. Un límite con bloqueo o tiempo de espera posterior frena drásticamente los ataques automatizados. Muchos de los plugins de seguridad habituales traen esa función, y como se ha descrito arriba xmlrpc.php tiene que entrar en el límite, porque si no el ataque sigue por la puerta trasera.

4. Contraseñas de aplicación en lugar de la contraseña principal para las API

Cuando servicios externos, aplicaciones o scripts acceden a tu sitio por la API REST, tu contraseña principal no pinta nada ahí. WordPress incluye desde la versión 5.6 las contraseñas de aplicación: códigos de acceso propios y generados al azar por aplicación, que puedes revocar de uno en uno sin cambiar tu contraseña real. Si un servicio compromete uno de esos códigos, retiras justo ese y el resto queda intacto.

5. Ningún nombre de usuario «admin»

El nombre de usuario es la mitad de la combinación de acceso, y admin es la primera mitad que prueba cualquier bot. Un nombre de usuario propio no es una protección fuerte por sí solo, pero descarta de antemano el 90 por ciento más tonto de los intentos automatizados. Si tu cuenta de administración sigue funcionando con admin: crea una cuenta nueva con nombre propio, transfiere los permisos y borra la antigua.

Para todo lo demás: el gestor de contraseñas

El método de la historia está pensado a propósito para pocas contraseñas: las dos o tres que no puedes consultar en ningún sitio, es decir, la contraseña maestra de tu gestor de contraseñas y el acceso a tus dispositivos. Para las demás cuentas, el gestor de contraseñas es la recomendación estándar, sin peros: genera para cada servicio una contraseña larga, aleatoria y única y la recuerda por ti. Con eso la regla de unicidad se cumple sola y el credential stuffing se queda en nada en tu caso.

El reparto es por tanto sencillo: una contraseña maestra fuerte, construida con el método de la historia, protege el gestor de contraseñas; el gestor protege todo lo demás; y la autenticación en dos pasos asegura además las cuentas más importantes. Quien combina esos tres bloques ha hecho más por la seguridad de su sitio WordPress que con cualquier plugin de seguridad, por bien configurado que esté.

Preguntas frecuentes