Hacer que tu sitio de WordPress sea más seguro siempre es una buena idea.
Una forma eficaz de hacerlo es exigir a los usuarios que cambien sus contraseñas regularmente. Este simple paso puede dificultar mucho que los hackers accedan.
Los cambios regulares de contraseña protegen tus datos y la información de tus usuarios. También añaden una capa adicional de seguridad a tu sitio. Al hacer que las contraseñas expiren después de un cierto período, ayudas a mantener a todos más seguros.
En esta guía, te mostraremos cómo forzar a los usuarios a cambiar contraseñas en WordPress.
¿Cuándo y Por Qué Forzar a los Usuarios de WordPress a Cambiar Contraseñas?
80% de las violaciones de datos implican contraseñas débiles o robadas. Afortunadamente, los cambios regulares de contraseña interrumpen los intentos de los hackers.
Los hackers intentarán acceder repetidamente a tu cuenta durante un período de tiempo. En este caso, evitarás ataques de fuerza bruta realizados por personas con intenciones maliciosas.
La mayoría de los usuarios nuevos tienden a usar contraseñas débiles o la misma contraseña que en sus otras cuentas, ya que son fáciles de recordar. Si un hacker accede a tu sitio de WordPress, puede comprometer la seguridad de todos los demás usuarios.
Pero forzar cambios de contraseña no solo debe aplicarse a los usuarios administradores. También debe aplicarse a los usuarios miembros y clientes recurrentes. Por ejemplo, cuando los clientes se registran en tu tienda WooCommerce o sitio de membresía, reciben la contraseña por correo electrónico. Forzar cambios regulares de contraseña puede ayudar a reducir el riesgo de intentos de phishing realizados por correo electrónico.
Además, si administras un sitio de WordPress multiusuario, deberías pedir a los usuarios que actualicen sus contraseñas después de un período de tiempo específico.
Por otro lado, si recientemente notaste actividad sospechosa en tu sitio de WordPress, deberías expirar inmediatamente todas las contraseñas de usuario existentes y pedir a todos que actualicen sus contraseñas.
Teniendo esto en cuenta, veamos cómo puedes expirar contraseñas y forzar a los usuarios a cambiarlas en WordPress.
Forzar a los usuarios a cambiar contraseñas en WordPress
La mejor manera de forzar a los usuarios a cambiar contraseñas en WordPress es usando el plugin Password Policy Manager. Te permite crear y aplicar fácilmente políticas de contraseñas seguras y robustas.
Para empezar, necesitarás instalar y activar el plugin Password Policy Manager. Para más detalles, consulta nuestro tutorial sobre cómo instalar un plugin de WordPress.
Desde aquí, deberás dirigirte a la página Password Policy Manager » Password Policy Manager. Luego, en la pestaña Policy Settings » For All Users, verás varias configuraciones de política de contraseñas que puedes establecer.
Primero, asegúrate de activar el gran botón de alternancia que dice 'Enable all settings'. Debajo, puedes marcar todas las reglas de política de contraseñas que deseas aplicar cada vez que un nuevo usuario necesite crear una nueva contraseña.
Las opciones incluyen:
- Debe contener letras minúsculas y mayúsculas
- Debe contener dígitos numéricos
- Debe contener caracteres especiales
- Longitud de la contraseña entre 8 y 25
Recomendamos mantener estas casillas marcadas, ya que son las mejores prácticas para tener una contraseña segura. También puedes consultar nuestra guía sobre cómo agregar un generador de contraseñas de usuario simple en WordPress.
Debajo, deberás marcar la casilla que dice 'Force Reset Password on first login'. Esto ayuda a evitar que los nuevos usuarios utilicen la misma contraseña que en sus otras cuentas en línea y asegura que establezcan una contraseña segura desde el principio.
Luego, deberás activar la opción 'Enable Password Expiry' para establecer un tiempo de expiración específico que obligue a todos los usuarios del sitio a cambiar su contraseña. Al lado, puedes establecer el número de semanas que deseas forzar el cambio.
Una vez hecho esto, puedes hacer clic en el botón 'Save Settings'.
Debajo de la configuración de guardado, verás una opción para restablecer tu contraseña con un solo clic. Si tú o tus usuarios no han restablecido su contraseña en un tiempo, es una buena idea hacer clic en el botón ‘Restablecer contraseña’.
Esto terminará automáticamente todas las sesiones iniciadas por los usuarios y los obligará a restablecer sus contraseñas.
Luego, todos los usuarios recibirán un correo electrónico con un enlace para restablecer sus contraseñas.
Todo lo que tienen que hacer es hacer clic en el enlace del correo electrónico.
Esto abrirá la pantalla de inicio de sesión de WordPress, donde ingresas tu contraseña actual y la nueva.
Recomendamos usar un generador de contraseñas seguras en lugar de intentar crear una que puedas memorizar. Luego puedes usar un gestor de contraseñas como 1Password para guardarla.
Desde aquí, puedes hacer clic en ‘Cambiar contraseña’.
Esto te llevará de regreso a tu página de inicio de sesión de WordPress, donde puedes ingresar tus nuevas credenciales.
Puedes ir a la página Gestor de políticas de contraseñas » Informes para rastrear todos los intentos de inicio de sesión realizados por los usuarios. Recomendamos revisarla periódicamente para ver si se han realizado intentos sospechosos en tu sitio de WordPress. Si es así, puedes realizar fácilmente el restablecimiento con un clic que acabamos de mencionar.
Para ver los datos, necesitarás activar la pestaña ‘Habilitar entrada de informes’.
¡Y eso es todo! Ahora has configurado con éxito tu sitio de WordPress para que obligue a todos los usuarios a cambiar sus contraseñas después de la fecha de vencimiento.
Consejos para la solución de problemas
A veces, las cosas no salen tan bien como se planean. Aquí tienes algunos consejos para la solución de problemas que te ayudarán a navegar cualquier inconveniente que pueda surgir.
¿Qué pasa si mis usuarios nunca reciben sus correos electrónicos?
En caso de que tus usuarios no estén recibiendo las notificaciones por correo electrónico para restablecer sus contraseñas, entonces pueden estar sucediendo varias cosas. Por favor, consulta nuestra guía sobre cómo solucionar el problema de que WordPress no envía correos electrónicos.
¿Qué pasa si no puedo acceder al área de administración de WordPress para restablecer mi contraseña?
Si de alguna manera no puedes acceder al área de administración de WordPress, consulta nuestra guía sobre qué hacer cuando estás bloqueado fuera del área de administración de WordPress.
Esperamos que este artículo te haya ayudado a aprender cómo obligar a los usuarios a cambiar contraseñas en WordPress. También puedes consultar nuestra guía definitiva de seguridad de WordPress para ayudar a mejorar la seguridad de tu sitio web o nuestra lista de los errores más comunes de WordPress y cómo solucionarlos.
Si te gustó este artículo, suscríbete a nuestro Canal de YouTube para ver tutoriales en video de WordPress. También puedes encontrarnos en Twitter y Facebook.
Dennis Muthomi
¡Buen artículo sobre cambios de contraseña en WordPress!
Soy administrador de sitios y gestiono algunos sitios de clientes y tengo configurados los cambios de contraseña desde hace un tiempo, pero no sabía que podías forzar un restablecimiento en el primer inicio de sesión.
Esta es una gran característica de seguridad que añadiré a los sitios de mis clientes (¡y a mi propio sitio también!).
¡Gracias por la guía completa!
He aprendido algo nuevo hoy
Dayo Olobayo
Estoy impresionado por la facilidad de uso del plugin Password Policy Manager. En su experiencia, ¿ha encontrado alguna resistencia por parte de los usuarios al aplicar directrices de contraseñas más estrictas? Si es así, ¿cómo pueden los administradores de sitios web abordar eficazmente estas preocupaciones? Gracias.
Soporte de WPBeginner
La mayoría de los usuarios tienden a estar de acuerdo con un requisito de contraseña más estricto, siempre y cuando no sea excesivo en cuanto a los requisitos.
Administrador
Dayo Olobayo
Gracias por tu comentario. Estoy de acuerdo, equilibrar la seguridad con la conveniencia del usuario es clave para minimizar la resistencia.
Marko
El artículo necesita actualización.
Soporte de WPBeginner
Thank you for letting us know, we will look into updating the article when we are able
Administrador
Shallum Vohr
¿Cómo forzar al usuario a actualizar la contraseña solo en el primer inicio de sesión?
Millie Aveyard
¡Es muy difícil para las personas mayores como yo, recordar todas las diferentes contraseñas de sus vidas! ¡Todo en estos días parece tener contraseñas de una forma u otra!
Incluso si anotas las contraseñas en tu libretita, en el momento en que necesitas la nueva contraseña, has dejado la libretita en el coche, ¡y la rotonda comienza una vez más!
¡No puedo ser el único que tiene que detenerse y pensar en todas las contraseñas diferentes que uso cada día!
Soporte de WPBeginner
Por favor, consulta nuestra guía sobre cómo administrar contraseñas para principiantes de WordPress. Usamos LastPass para almacenar y administrar todas nuestras contraseñas. Es una extensión del navegador que se integra en tu navegador web. Puede guardar y completar automáticamente tus contraseñas por ti. También puede generar contraseñas seguras para ti cuando creas una cuenta nueva.
Administrador
Remi
¡Muy buena idea! ¡Es genial para dar más seguridad a la administración!
Daniel
Buen post. He configurado el plugin en mi sitio de blog. También recomendaría encarecidamente lo siguiente:
1) Elimina por completo el usuario administrador: aquí creas otro usuario que tenga el rol de administrador, inicia sesión con él y elimina al usuario administrador existente; asegúrate de hacer clic en la opción para transferirle las publicaciones anteriores del administrador.
2) La contraseña del usuario 'admin' (rol) es compleja: usa generador de contraseñas en línea.com o similar.
3) Finalmente, debes, debes, debes instalar el plugin "Limitar intentos de inicio de sesión"... Esto es una obra de genialidad y está bloqueando regularmente los aproximadamente 10 intentos por día para iniciar sesión en mi blog. Establece tiempos de bloqueo largos y haz que el plugin te envíe un correo electrónico (nuevo usuario administrador) después de 2 bloqueos.
Navneet
Este es un muy buen post...