Cómo agregar preguntas de seguridad a la pantalla de inicio de sesión de WordPress

Una contraseña débil es todo lo que se necesita para que un hacker secuestre tu sitio web. Sin seguridad adicional, todo lo que has construido está en riesgo.

¿Una solución simple? Preguntas de seguridad. Y configurarlas es más fácil de lo que piensas.

He probado varios métodos de autenticación en sitios web de WordPress y he descubierto que agregar preguntas de seguridad es una forma sencilla de ayudar a prevenir el acceso no autorizado. 🔑

Al requerir respuestas únicas que solo tú conoces, agregas una capa de seguridad a tu sitio web. Esto hace que sea mucho más difícil para los hackers obtener acceso, incluso si roban tu contraseña.

En esta guía, te mostraré cómo agregar preguntas de seguridad a tu pantalla de inicio de sesión de WordPress. No necesitas ser un experto en tecnología; solo sigue las instrucciones y tendrás una capa de seguridad adicional en minutos.

¿Por qué agregar preguntas de seguridad en WordPress?

Tu página de inicio de sesión de WordPress es como la puerta principal de tu sitio web. Una contraseña es una buena cerradura, pero agregar preguntas de seguridad es como agregar un cerrojo; hace que sea mucho más difícil para alguien entrar.

Las preguntas de seguridad agregan una capa adicional de protección a tu área de administración de WordPress, lo que dificulta que los atacantes se infiltren. Cuando esta función está habilitada, los usuarios deben responder una o más preguntas personales antes de poder iniciar sesión.

Así es como las preguntas de seguridad pueden ayudar:

• Un obstáculo adicional para los hackers: Incluso si alguien adivina tu contraseña, las preguntas de seguridad dificultan que puedan acceder.
• Evita ataques automatizados: Los hackers a menudo usan bots para adivinar contraseñas. Pero las preguntas de seguridad requieren respuestas personales que los bots no pueden descifrar fácilmente, lo que hace que los ataques automatizados sean menos efectivos.
• Ayuda a recuperar cuentas de forma más segura: ¿Olvidaste tu contraseña? En lugar de esperar un correo electrónico de restablecimiento (que puede ser interceptado), las preguntas de seguridad proporcionan una forma rápida y segura de recuperar el acceso.
• Configuración rápida y sencilla: Las preguntas de seguridad son más fáciles de configurar que la autenticación de dos factores (2FA), que requiere una aplicación o un dispositivo separado. Si bien es conveniente, las preguntas de seguridad ofrecen un nivel de protección menor que la 2FA, que generalmente recomiendo para una seguridad máxima.

Si bien son útiles, las preguntas de seguridad no son infalibles. Hackers astutos podrían intentar adivinar tus respuestas o incluso engañarte para que las reveles (esto se llama 'ingeniería social').

Por lo tanto, es importante elegir preguntas cuyas respuestas no sean fáciles de adivinar o que no estén disponibles públicamente en línea.

Dicho esto, veamos cómo puedes añadir preguntas de seguridad a tu pantalla de inicio de sesión de WordPress. En este tutorial, te mostraré dos métodos, cada uno diseñado para un tipo diferente de sitio web.

Puedes usar los enlaces de abajo para saltar al método que prefieras:

• Método 1: Añadir una única pregunta de seguridad para todo el sitio con código
• Método 2: Permitir que cada usuario establezca sus propias preguntas de seguridad
• Preguntas frecuentes sobre preguntas de seguridad para el inicio de sesión
• Guías adicionales para la seguridad de la pantalla de inicio de sesión

Método 1: Añadir una única pregunta de seguridad para todo el sitio con código

Este método es ideal si eres el único usuario de tu sitio web y quieres añadir una única pregunta de seguridad codificada en tu pantalla de inicio de sesión.

Es una forma rápida de añadir una capa extra de protección para un blog de un solo autor o un sitio personal.

He visto muchos otros sitios web usar esta táctica junto con la autenticación de dos factores y otra protección de inicio de sesión, y les ha funcionado muy bien como otro obstáculo para posibles intrusos.

Para hacer esto, necesitarás agregar código personalizado a tu archivo functions.php. Esto puede ser un poco abrumador, ya que el más mínimo error puede romper tu sitio web. Es por eso que recomiendo WPCode, que es el mejor plugin de fragmentos de código de WordPress del mercado.

Después de pruebas exhaustivas, mis compañeros de equipo y yo hemos concluido que es la forma más fácil y segura de agregar código personalizado a tu sitio web. Para obtener más información, consulta nuestra reseña completa de WPCode.

Importante: Este código añade una pregunta de seguridad para un solo usuario. Es más adecuado para blogs de un solo autor. Si tienes varios usuarios en tu sitio web (como un sitio de membresía o una tienda en línea), te recomendamos encarecidamente que utilices el Método 2.

Primero, necesitas instalar y activar el plugin WPCode. Para obtener instrucciones paso a paso, te recomendamos ver nuestra guía sobre cómo instalar un plugin de WordPress.

Una vez que actives el plugin, visita la página Fragmentos de código » + Agregar fragmento desde el panel de WordPress.

Aquí, haz clic en el botón ‘Usar fragmento’ debajo de la opción ‘Agregar tu código personalizado (Nuevo fragmento)’.

Esto te llevará a una nueva pantalla, donde puedes agregar un nombre para tu fragmento de código.

Ten en cuenta que este nombre no se mostrará a ningún usuario. Simplemente te ayuda a identificar fácilmente el fragmento de código que estás creando.

A continuación, elige ‘Fragmento de PHP’ como el ‘Tipo de código’ del menú desplegable.

Ahora, agrega el siguiente código personalizado en el cuadro ‘Vista previa del código’:

add_action( 'login_form', function () {
	?>
	<p><label for="security_question">What is your favorite color?<br/>
			<input type="text" name="security_question" id="security_question" class="input" autocomplete="off"/></label>
	</p>
	<?php
} );

add_filter( 'wp_authenticate_user', function( $user, $password ) {
	$answer = isset( $_POST['security_question'] ) ? sanitize_text_field( wp_unslash( $_POST['security_question'] ) ) : '';
	if ( 'blue' !== strtolower( $answer ) ) { // Replace 'blue' with your expected answer
		return new WP_Error( 'security_question_error', '<strong>ERROR</strong>: Incorrect answer to the security question.' );
	}

	return $user;

}, 10, 2 );

Por defecto, el código personalizado establece “¿Cuál es tu color favorito?” como la pregunta de seguridad.

Sin embargo, te recomiendo encarecidamente que la cambies por algo que no sea fácil de adivinar. Lo mejor es elegir algo personal para ti que poca gente sepa.

Por ejemplo, algunas preguntas de seguridad comunes son:

• 🐶 “¿Cuál era el nombre de tu primera mascota de la infancia?”
• 🏡 “¿Cuál era el nombre de la primera calle en la que viviste?”
• 👩 “¿Cuál es el apellido de soltera de tu madre?”

Al elegir una pregunta, selecciona una cuya respuesta no esté disponible públicamente. Evita respuestas que puedan encontrarse en tus perfiles de redes sociales o en registros públicos.

Las mejores preguntas de seguridad son personales y memorables para ti, pero no fáciles de adivinar para otros. Simplemente localiza esta línea en el código y reemplázala con tu pregunta deseada.

<p><label for="security_question">What was the name of your first childhood pet?<br/>

Una vez que lo hagas, desplázate hacia abajo hasta esta línea en el código:

if ( 'spike' !== strtolower( $answer ) ) { // Replace 'spike' with your expected answer

Ahora puedes cambiar la respuesta a la pregunta de seguridad desde aquí.

Una vez que hayas verificado que tu pregunta y respuesta son como deseas, simplemente cambia el interruptor de 'Inactivo' a 'Activo'.

Finalmente, haz clic en el botón ‘Save Snippet’ para guardar tu configuración.

Ahora puedes visitar tu pantalla de inicio de sesión de WordPress para ver la pregunta de seguridad.

Método 2: Permitir que cada usuario establezca sus propias preguntas de seguridad

Este método es la solución más segura y recomendada para cualquier sitio web con más de un usuario. Esto incluye sitios de membresía, blogs de varios autores, tiendas de comercio electrónico con cuentas de clientes o cualquier sitio donde diferentes personas necesiten iniciar sesión.

A diferencia del primer método, que utiliza una pregunta para un solo usuario, este enfoque permite que cada individuo en tu sitio establezca sus propias preguntas de seguridad privadas. Proporciona una capa de protección mucho más sólida para cada cuenta.

He visto que esto funciona bien en varios sitios web que ofrecen suscripciones de pago, cursos en línea y comunidades privadas.

MelaPress Login Security te permite exigir a los usuarios que respondan preguntas de seguridad antes de realizar acciones sensibles, como restablecer una contraseña o reactivar una cuenta deshabilitada.

Esto asegura que solo el propietario legítimo de la cuenta pueda completar estas acciones.

Primero, necesitas instalar y activar el plugin MelaPress Login Security. Para más detalles, consulta el tutorial de mi equipo sobre cómo instalar un plugin de WordPress.

Después de activar el plugin, dirígete a la página Login Security » Login Security Policies desde el panel de administración de WordPress y marca la opción ‘Enable login security policies’.

Una vez que hagas eso, aparecerán nuevas configuraciones en la pantalla. Desde aquí, desplázate hacia abajo hasta la sección ‘Security Questions’ y marca la casilla ‘Activate Security questions’.

Luego, elige si deseas requerir preguntas de seguridad para iniciar un restablecimiento de contraseña o para activar una cuenta deshabilitada. También puedes seleccionar ambas opciones.

Ahora, procede a seleccionar el número de preguntas de seguridad preguardadas que cada usuario debe responder.

Después de eso, haz clic en el enlace ‘Habilitar’ junto a las preguntas de seguridad que deseas que tus usuarios respondan.

Si ninguna de las preguntas predeterminadas parece adecuada, simplemente puedes hacer clic en el botón ‘Agregar pregunta’ y añadir tu pregunta preferida en el campo.

También puedes configurar el resto de la configuración de seguridad según tu preferencia.

Una vez que hayas terminado, simplemente haz clic en el botón ‘Guardar Cambios’ para almacenar tus selecciones.

Ahora que la política de preguntas de seguridad ha sido habilitada, los usuarios en tu sitio web recibirán una notificación en su panel de control pidiéndoles que proporcionen respuestas a algunas preguntas de seguridad.

Una vez que los usuarios hagan clic en el botón ‘Visitar tu página de perfil’, serán dirigidos a su página de perfil de WordPress.

Aquí, pueden responder las preguntas que seleccionaste y hacer clic en el botón ‘Guardar Cambios’.

Ahora, cuando un usuario en tu sitio web intente restablecer su contraseña o activar una cuenta deshabilitada, primero deberá responder una pregunta de seguridad.

Aquí tienes una vista previa de cómo se verá en tu pantalla de inicio de sesión.

Preguntas frecuentes sobre preguntas de seguridad para el inicio de sesión

Aquí hay algunas preguntas que nuestros lectores hacen con frecuencia antes de agregar preguntas de seguridad de inicio de sesión en sus sitios web:

¿Qué sucede si olvido la respuesta a mi pregunta de seguridad?

Si olvidas tu respuesta, necesitarás usar las herramientas de acceso de emergencia de tu host.

Puedes iniciar sesión en tu cuenta de hosting de WordPress y usar el Administrador de Archivos o un cliente FTP para navegar a la carpeta wp-content/plugins. Desde allí, puedes desactivar el plugin de seguridad (como MelaPress o WPCode) renombrando su carpeta.

Esto desactivará temporalmente la función de preguntas de seguridad, permitiéndote iniciar sesión con tu contraseña y restablecer tus preguntas.

¿Las preguntas de seguridad son un reemplazo para la Autenticación de Dos Factores (2FA)?

No, no lo son. Las preguntas de seguridad son una forma de seguridad basada en el conocimiento (algo que sabes). La Autenticación de Dos Factores (2FA) es más fuerte porque requiere un dispositivo separado (algo que tienes), como tu teléfono.

Para máxima seguridad, recomiendo usar 2FA como tu defensa principal y agregar preguntas de seguridad como una capa secundaria útil.

¿Puedo requerir que los usuarios respondan más de una pregunta?

Esto depende del método que utilices. El fragmento de código personalizado en el Método 1 está diseñado para una sola pregunta y respuesta.

Sin embargo, un plugin con todas las funciones como MelaPress (Método 2) a menudo incluye configuraciones que te permiten requerir que los usuarios respondan varias preguntas antes de que puedan iniciar sesión o restablecer su contraseña.

¿Qué pasa si un usuario en mi sitio de múltiples autores no configura sus preguntas de seguridad?

En la mayoría de los casos, un plugin como MelaPress mostrará un aviso persistente en el panel de administración de WordPress del usuario, pidiéndole que configure sus preguntas de seguridad.

Por lo general, no los bloqueará fuera de su cuenta, pero continuará recordándoles hasta que se complete la configuración de seguridad.

Esto asegura que los usuarios existentes aún puedan acceder a sus cuentas mientras se les anima a mejorar su seguridad.

Guías adicionales para la seguridad de la pantalla de inicio de sesión

Espero que este tutorial te haya ayudado a aprender cómo agregar preguntas de seguridad a tu pantalla de inicio de sesión de WordPress. También te puede interesar ver algunas guías sobre otras formas en que puedes proteger tu pantalla de inicio de sesión:

• Cómo agregar CAPTCHA al formulario de inicio de sesión y registro de WordPress
• Cómo agregar inicio de sesión sin contraseña en WordPress con Magic Links
• Por qué y cómo deberías limitar los intentos de inicio de sesión en WordPress
• Cómo deshabilitar las pistas de inicio de sesión en los mensajes de error de inicio de sesión de WordPress
• Cómo agregar inicio de sesión social a WordPress (la forma fácil)
• Guía para principiantes para agregar una URL de inicio de sesión personalizada en WordPress (paso a paso)

Si te gustó este artículo, suscríbete a nuestro canal de YouTube para obtener tutoriales en video de WordPress. También puedes encontrarnos en Twitter y Facebook.