English¿Por qué proteger wp-login.php en el servidor?
Cada intento de acceso a wp-login.php carga WordPress completo y consulta la base de datos, aunque venga de un bot que prueba miles de contraseñas. Protect WP Login agrega una segunda contraseña que pide el propio servidor web (Apache o LiteSpeed, mediante .htaccess): los bots quedan fuera antes de que WordPress arranque.
| Limitar intentos / CAPTCHA | Protect WP Login | |
|---|---|---|
| Cuándo actúa | Después de cargar WordPress | Antes de cargar WordPress |
| Consumo por cada intento de un bot | PHP + base de datos | Prácticamente nulo |
| ¿El atacante ve el formulario de acceso? | Sí | No |
No reemplaza a tu plugin de seguridad: funciona junto con Wordfence, Limit Login Attempts o la autenticación en dos pasos, como una capa más delante de ellos.
Características
- Protege
wp-login.phpcon autenticación HTTP básica a nivel del servidor. - Opcionalmente protege también
xmlrpc.php, otro objetivo habitual de los ataques de fuerza bruta. - Crea un usuario y una contraseña aleatorios al activarse y los mantiene visibles hasta que confirmes que los guardaste.
- Comprueba la protección después de escribir las reglas: si tu hosting no las admite, las quita solo y tu sitio sigue funcionando.
- Panel de estado que muestra si la protección está realmente activa.
- Las entradas protegidas con contraseña siguen funcionando para tus visitantes.
- Usuarios ilimitados, administrados desde el escritorio de WordPress.
- Traducido al español, inglés, alemán, francés, italiano y portugués.
Cómo funciona
- Un visitante o un bot abre
wp-login.php. - El servidor web pide el usuario y la contraseña adicionales que administra el plugin.
- Solo con las credenciales correctas aparece el formulario de acceso habitual de WordPress. Las incorrectas las rechaza el servidor.
Capturas
Haz clic en una imagen para verla en tamaño completo.
Requisitos
- WordPress 6.0 o superior (probado hasta la versión 7.1) y PHP 7.4 o superior.
- Servidor Apache o LiteSpeed con soporte para
.htaccess(la mayoría de los hostings compartidos). En Nginx, el plugin muestra la configuración que hay que agregar al servidor. - Instalaciones de un solo sitio. WordPress Multisite todavía no es compatible.
Instalación
- En tu WordPress, ve a Plugins > Añadir nuevo plugin y busca Protect WP Login.
- Haz clic en Instalar ahora y después en Activar.
- Se abre la página del plugin con el usuario y la contraseña generados. Guárdalos antes de cerrar sesión, o crea tus propios usuarios en la misma página.
Preguntas frecuentes
¿En qué se diferencia de otros plugins de seguridad?
Plugins como Wordfence o Limit Login Attempts comprueban cada intento de acceso dentro de WordPress, después de que se cargó. Protect WP Login bloquea la petición en el servidor web, antes de que cargue WordPress, así que los bots no usan los recursos de tu servidor. Puedes usar ambos: Protect WP Login es una capa adicional delante de tu plugin de seguridad.
Me quedé sin acceso. ¿Cómo vuelvo a entrar?
Conéctate a tu sitio por FTP o con el administrador de archivos de tu hosting, abre el archivo .htaccess de la carpeta de WordPress y elimina las líneas entre # BEGIN Protect WP Login y # END Protect WP Login. También puedes cambiar el nombre de la carpeta wp-content/plugins/protect-wp-login para desactivar el plugin.
¿Funcionará en mi hosting?
Funciona en servidores Apache y LiteSpeed que permiten archivos .htaccess, lo que incluye a la mayoría de los hostings compartidos. Después de escribir las reglas, el plugin comprueba tu sitio: si el servidor responde con un error, las reglas se eliminan automáticamente y el panel de estado explica lo que ocurrió.
¿Funciona en Nginx?
Nginx no lee archivos .htaccess. La página del plugin muestra la configuración que tú (o tu proveedor de hosting) debes agregar al servidor Nginx para proteger wp-login.php con los mismos usuarios.
¿Siguen funcionando las entradas protegidas con contraseña?
Sí. Los visitantes pueden seguir desbloqueando las entradas y páginas protegidas con contraseña sin conocer las credenciales adicionales.
¿Debería proteger también xmlrpc.php?
Si no usas Jetpack, la aplicación móvil de WordPress ni otro servicio que publique mediante XML-RPC, activarlo bloquea otra vía de entrada habitual de los ataques de fuerza bruta.
¿Tengo que escribir la contraseña adicional cada vez?
Los navegadores recuerdan las credenciales de la autenticación básica durante la sesión, y la mayoría (Chrome, Firefox, Edge, Safari) ofrece guardarlas como cualquier otra contraseña, así que no tendrás que volver a escribirlas.
¿Cómo agrego o elimino usuarios?
Ve a la página "Protect WP Login" del menú de administración. Escribe un usuario y una contraseña y haz clic en "Guardar" para agregar un usuario, o haz clic en "Eliminar" junto a un usuario existente. Siempre hay al menos un usuario.
¿Necesito un usuario y una contraseña complejos?
Una combinación simple alcanza para detener a los bots, porque se bloquean antes de llegar a WordPress. La contraseña no puede ser igual al nombre de usuario.
¿Es seguro sin HTTPS?
La autenticación básica envía las credenciales en cada petición a wp-login.php, igual que el formulario de acceso de WordPress. Usa HTTPS (gratis con Let's Encrypt en la mayoría de los hostings) para mantenerlas privadas.
Datos del plugin
| Versión | 1.1.2 |
|---|---|
| Requiere WordPress | 6.0 o superior |
| Probado hasta | WordPress 7.1 |
| Requiere PHP | 7.4 o superior |
| Idiomas | Español, inglés, alemán, francés, italiano y portugués |
| Licencia | GPLv2 o posterior |
¿Tienes una consulta o encontraste un error? Escríbenos en el foro de soporte.
Si te resulta útil, deja una reseña en WordPress.org: ayuda a que más gente lo encuentre.