Los mejores plugins de autenticación de dos factores (2FA) para WordPress

Los mejores plugins de autenticación de dos factores para WordPress Imagen principal

La autenticación de dos factores (2FA) evita que el robo de una contraseña comprometa la seguridad de tu sitio web. Hay cinco WordPress que destacan en esta categoría, y se diferencian en aspectos que cobran importancia cuando se trata de usuarios reales. En esta comparativa te contamos qué hace cada uno, qué métodos de autenticación vale la pena exigir, cómo recuperar el acceso si pierdes tu autenticador y cómo elegir el plugin que mejor se adapte al funcionamiento real de tu sitio web.

¿Qué plugin de WordPress deberías instalar?

Para una web con uno o dos administradores, «Two Factor» es suficiente. Lo mantienen WordPress , apenas añade peso y admite códigos temporales y códigos de respaldo.

Los equipos que necesiten exigir la autenticación de dos factores (2FA) según el rol de cada usuario deberían usar WP 2FA de Melapress. Los sitios que ya tengan instalado Wordfence deberían activar la 2FA que viene integrada en él, en lugar de añadir un segundo plugin. Los sitios que necesiten códigos por SMS, WhatsApp o Telegram deberían echar un vistazo a miniOrange 2FA.

Si ahora mismo usas Wordfence Login Security, la migración no es opcional. Ese plugin ya no recibe actualizaciones.

Wordfence dejó de ofrecer el plugin independiente «Login Security» alrededor del 1 de julio de 2026. Todas las funciones que ofrecía, como la autenticación de dos factores, la protección XML-RPC y el CAPTCHA en la página de inicio de sesión, ya están incluidas en el plugin principal de Wordfence, que es gratis. Wordfence recomienda a los usuarios actuales que instalen el plugin completo para seguir recibiendo actualizaciones de seguridad.

Esto afecta más a un grupo que a otros: las agencias y los desarrolladores que eligieron Login Security precisamente para mantener la lista de plugins al mínimo en las páginas de los clientes. Cambiar un plugin ligero de autenticación de dos factores por un cortafuegos completo y un escáner de malware supone un cambio mayor de lo que parece, y significa tener que hacer pruebas en páginas en las que nadie lo tenía previsto.

Wordfence también va a dejar de usar los códigos de autenticación de dos factores antiguos basados en SMS más o menos en el mismo plazo. Los sitios que aún utilicen el envío por SMS a través de Wordfence tienen que hacer que esos usuarios pasen a usar una app de autenticación.

Usar una autenticación de dos factores (2FA) que ya no recibe actualizaciones es peor que no usarla en absoluto, porque da la impresión de que estás protegido, aunque el código ya no reciba parches.

Comparativa de los cinco plugins de 2FA más populares

Plugin	Lo mejor para	Configuración guiada	Métodos de autenticación	Límites del plan gratuito	Versión de pago
Autenticación de dos factores (WordPress.org)	Sitios web empresariales con un único administrador	No	TOTP, correo electrónico, códigos de seguridad	Sin límite de usuarios	Ninguno
WP 2FA (Melapress)	Equipos y organismos que se encargan de hacer cumplir la política según su función	Sí	TOTP, claves de acceso, correo electrónico, códigos de seguridad	La póliza y el periodo de carencia están incluidos de forma gratuita	Sí
Wordfence	Sitios web que ya tienen instalado Wordfence	No	TOTP, códigos de seguridad, CAPTCHA de inicio de sesión	Autenticación de dos factores (2FA) gratis, sin límite de usuarios	Sí, para los niveles de cortafuegos y escáneres
miniOrange 2FA	Sitios web que necesitan enviar mensajes por SMS, WhatsApp o Telegram	Sí	TOTP, OTP por correo electrónico, SMS, WhatsApp, Telegram Te lo envío por correo electrónico, SMS, WhatsApp o Telegram	Limitado a un número reducido de usuarios que hayan completado la configuración	Sí
Autenticación de dos factores (David Anderson)	Usuarios de UpdraftPlus y sitios de suscripción	No	TOTP, HOTP	Los códigos de seguridad y la aplicación de normas están restringidos a los usuarios de la versión premium	Sí

La tabla te muestra qué ofrece cada plugin. Las secciones siguientes te explican qué implicaciones tienen esas diferencias en la práctica.

Por qué la facilidad de configuración es más importante que el número de funciones

Un plugin que se configura al 100 % protege más cuentas que uno con el doble de funciones que la mitad de tus usuarios dejó a medias.

Tanto WP 2FA como miniOrange incluyen un asistente paso a paso. Esto es importante cuando quienes activan la autenticación de dos factores son colaboradores, responsables de tienda o clientes, en lugar de desarrolladores. A alguien que nunca haya escaneado un código QR en una app de autenticación hay que explicarle qué es una app de autenticación, y el asistente se encarga de eso por ti.

Asistente de configuración de la autenticación de dos factores (2FA) de WP

Two Factor y Wordfence dan por hecho que el usuario va a encontrar la configuración y va a entenderla. Si eres el único administrador, no hay problema. Pero si sois un equipo editorial de 20 personas, eso genera solicitudes de ayuda.

TOTP, claves de acceso o códigos por correo electrónico: ¿qué método deberías exigir?

Las contraseñas de un solo uso basadas en el tiempo (TOTP) son el estándar básico. El usuario escanea un código QR con Google Authenticator, Microsoft Authenticator, 1Password o cualquier otra app compatible, y la app genera un código de seis dígitos que cambia constantemente. Todos los plugins que aparecen aquí lo admiten.

Las claves de acceso son la mejora más importante. En lugar de un secreto compartido, el navegador guarda una clave criptográfica que se desbloquea con una huella dactilar, un escaneo facial o el PIN del dispositivo. Como la clave nunca sale del dispositivo y está vinculada a tu dominio específico, una página de phishing no puede capturar nada que se pueda reutilizar. WP 2FA incluye el soporte para claves de acceso y YubiKey entre sus métodos de autenticación.

Los códigos que se envían por correo electrónico son la opción menos segura, y el motivo es de carácter estructural. Tu dirección WordPress suele ser también el canal para restablecer la contraseña. Un atacante que controle esa bandeja de entrada puede solicitar un restablecimiento y recibir el segundo factor en la misma dirección. El segundo factor deja de ser independiente.

Los SMS están a medio camino. Son mejores que nada, pero peores que una app, porque los ataques de suplantación de SIM permiten que el número de teléfono pase a manos del atacante sin que este tenga que acceder a la cuenta.

¿Qué pasa cuando activas la autenticación de dos factores (2FA) en un equipo de la noche a la mañana?

Si activas la autenticación de dos factores (2FA) obligatoria para 40 colaboradores sin avisarles, el lunes por la mañana habrá 40 personas que no podrán acceder al panel de control, y la mayoría de ellas se pondrá en contacto con quien administre la web en lugar de leer la pantalla de configuración.

El periodo de gracia evita que eso pase. El administrador establece un plazo, en horas o días, durante el cual los usuarios pueden iniciar sesión como siempre mientras configuran su autenticador. Una vez que se acaba ese plazo, la autenticación de dos factores (2FA) pasa a ser obligatoria.

WP 2FA, Wordfence y miniOrange ofrecen esta función. El plugin Simba limita esta función a su versión premium, lo que significa que la versión gratuita te permite activar la autenticación de dos factores (2FA), pero no te permite exigirla. Para un blog personal, esa diferencia no importa. Para una agencia que aplica un estándar de seguridad en todas las páginas web de sus clientes, eso es lo más importante.

Acompaña el periodo de gracia con un anuncio en el que se indique la fecha límite y se incluyan enlaces a las instrucciones de configuración. El plugin se encarga de la aplicación técnica, pero no de la comunicación.

Cómo volver a acceder si pierdes tu autenticador

Este es el problema que suele ocurrir. Te cambian el móvil, te lo borran o se te cae a un lago, y la app de autenticación se pierde con él.

La solución son los códigos de seguridad, y solo funcionan si los generas durante la configuración. Todos los plugins que aparecen aquí los ofrecen, excepto la versión gratuita del plugin Simba. Guárdalos en algún sitio que no sea la web que estás protegiendo: en una entrada de tu gestor de contraseñas, en una copia impresa o en una nota cifrada.

Si nunca se generaron códigos de respaldo, hay una opción de último recurso que requiere acceso a nivel de archivos a tu cuenta de alojamiento. Cambia el nombre de la carpeta del plugin mediante SFTP o el gestor de archivos de tu panel de control; así lo desactivarás. Inicia sesión sin la autenticación de dos factores, vuelve a configurar la 2FA en tu nuevo dispositivo y, a continuación, vuelve a ponerle el nombre original a la carpeta.

Ese método de recuperación es un buen argumento a favor de un alojamiento en el que puedas acceder rápidamente al sistema de archivos y ponerte en contacto con alguien cuando no puedas hacerlo. Por eso también la autenticación de dos factores (2FA) a nivel de cuenta en el panel de control de tu alojamiento debería usar un dispositivo o método diferente al de tu WordPress . Si pierdes ambos a la vez, te quedas sin ninguna vía de acceso.

Hay un montón de sitios web que nunca redirigen a los usuarios a wp-login.php. WooCommerce tiene sus propias páginas de cuenta. Los plugins de membresía, como Ultimate Member y MemberPress, crean formularios de inicio de sesión en la interfaz de usuario. Algunos sitios ocultan por completo wp-admin.

Si el plugin de 2FA solo se integra con el WordPress predeterminado WordPress , los usuarios que accedan a través de un formulario personalizado se saltan el segundo factor. La protección, sin que te des cuenta, no se aplica.

miniOrange es compatible con los flujos de inicio de sesión de WooCommerce y con varios plugins de suscripciones. El plugin Simba ofrece un shortcode para la interfaz de usuario, que es la herramienta ideal cuando el panel de administración (wp-admin) está oculto para los miembros. WP 2FA lo describe como «compatibilidad con plugins de terceros». Antes de ponerlo en marcha, inicia sesión por todas las rutas que seguiría un usuario real, incluida la página de la cuenta durante el proceso de pago, y comprueba que aparece el mensaje de solicitud.

¿Qué es lo que realmente te ofrecen los planes de pago?

Los planes gratuitos incluyen TOTP y códigos de seguridad en todos los casos. Con el pago obtienes cuatro cosas: compatibilidad con llaves de hardware, memoria para dispositivos de confianza, pasarelas de SMS o mensajería, y asistencia directa.

La edición premium de WP 2FA incluye claves de hardware, envío de SMS a través de proveedores como Twilio, personalización de marca blanca y asistencia por correo electrónico personalizada. La asistencia para la edición gratuita solo está disponible a través de los foros WordPress.org. El precio actual empieza en unos 79 $ al año, con una garantía de devolución del dinero de 30 días, y las redes multisitio requieren una licencia que cubra todos los sitios de la red.

miniOrange limita el número de usuarios en su plan gratuito y, en el plan premium, te ofrece usuarios ilimitados, dispositivos de confianza, personalización de la marca y multisitio. Un pequeño inconveniente: miniOrange no publica los precios de los planes en ninguna página pública, así que para calcular el presupuesto normalmente tienes que instalar primero el plugin y crear una cuenta.

Wordfence es la excepción. Su autenticación de dos factores (2FA) es gratis y no tiene límite de usuarios, y los planes de pago te permiten comprar actualizaciones de reglas de cortafuegos y firmas de malware, en lugar de funciones de autenticación.

¿Qué plugin se adapta mejor a tu página web?

Sitio web empresarial con un solo administrador. Instala la autenticación de dos factores. Genera códigos de respaldo. Lo tendrás listo en cinco minutos y no habrás añadido nada que suponga una carga significativa para el sitio.

Tienda de WooCommerce con cuentas de personal. Nivel gratuito de WP 2FA, aplicado a los roles de administrador y gestor de la tienda, con un periodo de gracia. Prueba a iniciar sesión desde la página de cuentas de WooCommerce.

Sitio web de miembros o comunidad con inicios de sesión de usuarios. Usa miniOrange si los miembros necesitan recibir mensajes por SMS o a través de aplicaciones de mensajería, o el plugin Simba si necesitas un shortcode para la interfaz pública porque wp-admin está oculto.

Agencia que gestiona las páginas web de varios clientes. WP 2FA Premium, para garantizar la coherencia en las políticas, un diseño de marca blanca y un servicio de asistencia al que puedes recurrir cuando un cliente se queda sin acceso a su cuenta a las 23:00.

La web ya tiene instalado Wordfence. Usa la autenticación de dos factores (2FA) integrada. Añadir un segundo plugin de autenticación crea conflictos en los hooks de inicio de sesión sin aportar ningún beneficio.

Dónde acaba la autenticación de dos factores y empieza la seguridad del servidor

La autenticación de dos factores protege una puerta. No sirve de nada ante una versión de PHP desactualizada, un plugin vulnerable con un exploit conocido, un panel de control comprometido o malware que ya esté en tu sistema de archivos.

Vale la pena señalar esa laguna, porque una pantalla de inicio de sesión bloqueada en un servidor sin parches te da una falsa sensación de seguridad. La protección a nivel de servidor cubre lo que el complemento no puede: gestión de parches, detección de malware que analiza el comportamiento de los archivos en lugar de solo sus nombres, aislamiento entre cuentas y respuesta en el perímetro de la red cuando se da a conocer una vulnerabilidad que afecta a toda la plataforma.

Combina el plugin con un servicio de alojamiento que se encargue de la infraestructura. El alojamiento para WordPress de InMotion Hosting almacenamiento en caché a nivel de servidor, actualizaciones automáticas y medidas de seguridad WordPress, todo ello respaldado por un servicio de asistencia 24/7 a cargo de ingenieros que han resuelto casos reales de vulnerabilidades. Para los equipos que gestionan varias páginas de clientes, el alojamiento gestionado añade la aplicación de parches y la supervisión, para que las actualizaciones de seguridad no dependan de que alguien se acuerde de ellas.

Configura la autenticación de dos factores esta semana. Después, echa un vistazo a lo que hay detrás.