La escena es siempre la misma. Entras a tu WordPress como todos los días, escribes el usuario y la contraseña de siempre, y la página se recarga y te devuelve al formulario. No dice «contraseña incorrecta». No dice nada. O peor: te pide un código de seis dígitos que nunca configuraste.
La reacción natural es pensar que te hackearon o que el hosting se cayó. Casi nunca es eso. En la gran mayoría de los casos que nos llegan, la causa es una función de seguridad que tú mismo activaste hace semanas y que recién ahora se puso estricta: el plazo de gracia de la verificación en dos pasos.
Por qué no parece un problema de 2FA
Porque el bloqueo no ocurre el día que activas la función. Ocurre después, cuando ya nadie se acuerda de haberla tocado.
Cuando marcas la verificación en dos pasos como obligatoria, el plugin no echa a nadie de inmediato: le da un plazo a cada usuario para que la configure. Durante ese plazo todo funciona igual que siempre, así que nadie la configura. Y cuando el plazo se vence, la cuenta deja de entrar de un día para otro, con la contraseña correcta, sin ningún mensaje que mencione la palabra 2FA.
De ahí sale el patrón que delata el caso: el sitio se ve perfecto para los visitantes, la contraseña es correcta y suele haber más de una persona que queda fuera casi al mismo tiempo.
Cómo funciona el plazo de gracia, con los números
Tomamos como referencia Wordfence, que es el plugin de seguridad más extendido en WordPress y el que más veces hemos encontrado detrás de este bloqueo. Los datos son de su propia documentación de seguridad de acceso:
- El plazo de gracia por omisión es de 10 días, y es configurable desde Wordfence → Login Security → Settings.
- Ese plazo se cuenta desde que se marcó la opción «Required» o desde la fecha de creación de la cuenta, lo que sea más reciente. Esto tiene una consecuencia que sorprende a mucha gente: dos usuarios del mismo sitio pueden tener fechas de vencimiento distintas, y un usuario creado después de activar la exigencia empieza su propio conteo.
- Los administradores no reciben plazo de gracia automáticamente. La propia pantalla de configuración lo advierte: el plazo no se aplica solo a los administradores y hay que habilitarlo a mano para cada uno.
- Al crear un usuario aparece la casilla «Allow a grace period for this user prior to requiring Wordfence 2FA». Si no la marcas, ese administrador no tiene plazo.
- Hay una protección poco conocida que evita el desastre completo: la exigencia de 2FA no se aplica hasta que al menos un administrador la tenga configurada.
Un detalle práctico: la opción para conceder el plazo de gracia a un usuario recién aparece cuando ya hay al menos una cuenta con 2FA activo. Si no la ves, es por eso.
Un caso real
En agosto de 2026 nos tocó un sitio institucional donde el plazo estaba configurado en 15 días. Se activó la exigencia en la fecha en que se hizo la puesta en marcha, el equipo siguió trabajando sin problemas durante dos semanas, y de un día para otro dejaron de entrar. La contraseña era correcta, el servidor respondía bien, el sitio cargaba perfecto para cualquier visitante y en los registros no había ni un intento de ataque. Se había vencido el plazo, sin más.
Lo interesante es lo que costó: no fue el arreglo, que tomó minutos, sino el rato que se perdió buscando el problema donde no estaba. Por eso vale la pena conocer el síntoma.
Cómo descartar las otras causas que se ven igual
| Lo que ves | Causa más probable | Cómo lo confirmas |
|---|---|---|
| Vuelve al formulario sin ningún mensaje | Plazo de gracia vencido, o cookies bloqueadas | Prueba en una ventana de incógnito y con otro usuario: si caen varios, es el plazo |
| Dice «contraseña incorrecta» con todas sus letras | Es la contraseña o el usuario | Recuperación por correo; si el correo no llega, el problema es otro |
| Te pide un código que nunca configuraste | 2FA obligatorio ya aplicado | Es este artículo: pasa a la sección siguiente |
| Mensaje de demasiados intentos o bloqueo temporal | Bloqueo por fuerza bruta del propio plugin | Espera el tiempo indicado o desbloquea tu IP desde el plugin |
| Error 500, 403 o pantalla en blanco | No es el acceso, es el servidor | Está en qué significa cada código de error |
| Contenido raro, usuarios que no creaste, redirecciones | Ahí sí conviene sospechar | Revisa las señales de que entraron a tu sitio |
Cómo recuperar el acceso, de lo menos invasivo a lo más
1. Desde otra cuenta de administrador
Si queda alguien que sí puede entrar, es lo más rápido: se va al perfil del usuario afectado o a su página de 2FA y se le vuelve a abrir el plazo de gracia. La persona entra, configura la aplicación de códigos y el tema se cierra ahí.
2. Con los códigos de recuperación
Cuando se configura la verificación en dos pasos, el plugin entrega una lista de códigos de un solo uso. Si alguien los guardó, sirven exactamente para esto. Vale la pena revisar el correo del día en que se activó.
3. Desactivando el plugin desde fuera de WordPress
Si ya no queda ninguna cuenta que entre, se puede desactivar el plugin sin pasar por el panel: entras por FTP o por el Administrador de archivos de cPanel, vas a /wp-content/plugins/ y le cambias el nombre a la carpeta del plugin de seguridad de acceso, por ejemplo agregándole -off al final. WordPress no lo encuentra, lo desactiva solo y el acceso vuelve a la normalidad.
Dos advertencias importantes. Primero, durante esos minutos el sitio queda sin esa capa de protección, así que se hace rápido, se entra, se configura el 2FA como corresponde y se devuelve el nombre original a la carpeta. Segundo, no hagas esto sin un respaldo reciente a mano: si te dejas llevar y empiezas a renombrar carpetas a ciegas, el problema pasa a ser otro. Si no tienes un respaldo al día, empieza por cómo hacer backup de tu sitio y por qué esperar sale caro.
4. Si nada de lo anterior funciona
Queda restaurar el respaldo anterior al momento en que se activó la exigencia. Es la salida más cara porque pierdes lo que hayas publicado desde entonces, y por eso es la última.
Cómo evitar que vuelva a pasar
La verificación en dos pasos es de las mejores decisiones de seguridad que puedes tomar en WordPress, y este artículo no es un argumento en contra. Es un argumento contra activarla y olvidarse. Cuatro cosas que cambian el resultado:
- Enrola a la gente el mismo día que la activas, en la misma sesión, con el teléfono en la mano. No confíes en el plazo de gracia: es justamente lo que hace que nadie la configure.
- Deja una segunda cuenta de administrador de emergencia, con su 2FA ya configurado y sus códigos guardados fuera del sitio.
- Guarda los códigos de recuperación en el gestor de contraseñas de la empresa, no en la bandeja de entrada de una sola persona.
- Avisa antes. La mitad del problema es que nadie sabía que había un reloj corriendo.
Y ya que estás en la configuración de seguridad, aprovecha de revisar qué versión de PHP está corriendo tu sitio, que es el otro dato que casi nadie mira y que decide bastante más de lo que parece.
Si quedaste fuera de tu propio sitio y no sabes por dónde partir, en AltaHosting revisamos el caso y te decimos qué está pasando antes de tocar nada. Escríbenos y lo vemos.
