La escena es siempre la misma. Entras a tu WordPress como todos los d\u00edas, escribes el usuario y la contrase\u00f1a de siempre, y la p\u00e1gina se recarga y te devuelve al formulario. No dice \u00abcontrase\u00f1a incorrecta\u00bb. No dice nada. O peor: te pide un c\u00f3digo de seis d\u00edgitos que nunca configuraste.<\/p>\n
La reacci\u00f3n natural es pensar que te hackearon o que el hosting se cay\u00f3. Casi nunca es eso. En la gran mayor\u00eda de los casos que nos llegan, la causa es una funci\u00f3n de seguridad que t\u00fa mismo activaste hace semanas y que reci\u00e9n ahora se puso estricta: el plazo de gracia de la verificaci\u00f3n en dos pasos<\/strong>.<\/p>\n Porque el bloqueo no ocurre el d\u00eda que activas la funci\u00f3n. Ocurre despu\u00e9s, cuando ya nadie se acuerda de haberla tocado.<\/p>\n Cuando marcas la verificaci\u00f3n en dos pasos como obligatoria, el plugin no echa a nadie de inmediato: le da un plazo a cada usuario para que la configure. Durante ese plazo todo funciona igual que siempre, as\u00ed que nadie la configura. Y cuando el plazo se vence, la cuenta deja de entrar de un d\u00eda para otro, con la contrase\u00f1a correcta, sin ning\u00fan mensaje que mencione la palabra 2FA.<\/p>\n De ah\u00ed sale el patr\u00f3n que delata el caso: el sitio se ve perfecto para los visitantes, la contrase\u00f1a es correcta y suele haber m\u00e1s de una persona que queda fuera casi al mismo tiempo<\/strong>.<\/p>\n Tomamos como referencia Wordfence, que es el plugin de seguridad m\u00e1s extendido en WordPress y el que m\u00e1s veces hemos encontrado detr\u00e1s de este bloqueo. Los datos son de su propia documentaci\u00f3n de seguridad de acceso:<\/p>\n Un detalle pr\u00e1ctico: la opci\u00f3n para conceder el plazo de gracia a un usuario reci\u00e9n aparece cuando ya hay al menos una cuenta con 2FA activo. Si no la ves, es por eso.<\/p>\n En agosto de 2026 nos toc\u00f3 un sitio institucional donde el plazo estaba configurado en 15 d\u00edas. Se activ\u00f3 la exigencia en la fecha en que se hizo la puesta en marcha, el equipo sigui\u00f3 trabajando sin problemas durante dos semanas, y de un d\u00eda para otro dejaron de entrar. La contrase\u00f1a era correcta, el servidor respond\u00eda bien, el sitio cargaba perfecto para cualquier visitante y en los registros no hab\u00eda ni un intento de ataque. Se hab\u00eda vencido el plazo, sin m\u00e1s.<\/p>\n Lo interesante es lo que cost\u00f3: no fue el arreglo, que tom\u00f3 minutos, sino el rato que se perdi\u00f3 buscando el problema donde no estaba. Por eso vale la pena conocer el s\u00edntoma.<\/p>\nPor qu\u00e9 no parece un problema de 2FA<\/h2>\n
C\u00f3mo funciona el plazo de gracia, con los n\u00fameros<\/h2>\n
\n
Un caso real<\/h2>\n
C\u00f3mo descartar las otras causas que se ven igual<\/h2>\n