Según nuestra experiencia, la seguridad de WordPress es una de las cosas más importantes en las que hay que pensar a la hora de gestionar un sitio web. Y las claves de seguridad de WordPress son una parte esencial de esto.
WordPress utiliza claves de seguridad para proteger su sitio web contra intentos de pirateo. Puedes utilizarlas de forma más eficiente para mejorar la seguridad de WordPress.
En este artículo, discutiremos qué son las claves de seguridad y las sales de WordPress y por qué deberías usarlas.
¿Qué son las claves de seguridad y SALT de WordPress?
Las claves de seguridad de WordPress son una herramienta de cifrado que protege la información de acceso dificultando su descifrado.
Estas claves actúan como claves reales y se utilizan para bloquear y desbloquear información cifrada como contraseñas, manteniendo seguro su sitio WordPress.
He aquí cómo funciona.
Básicamente, cuando accede a un sitio web de WordPress, su información se almacena en las cookies de su ordenador. Esto le permite seguir trabajando en su sitio web sin necesidad de acceder cada vez que se carga una página.
Toda la información se almacena cifrada convirtiéndola en una cadena de caracteres alfanuméricos y especiales. Estos datos cifrados pueden traducirse utilizando las claves de seguridad de WordPress. Sin las claves, estos datos son casi imposibles de descifrar.
Su sitio WordPress genera automáticamente estas claves de seguridad y las almacena en su archivo de configuración de WordPress (wp-config.php).
Hay un total de cuatro claves de seguridad:
- AUTH_KEY
- SECURE_AUTH_KEY
- LOGGED_IN_KEY
- NONCE_KEY
Además de las claves de seguridad de WordPress, también encontrarás las siguientes SALT.
- AUTH_SALT
- SECURE_AUTH_SALT
- LOGGED_IN_SALT
- NONCE_SALT
Las sales añaden información adicional a la información cifrada, lo que proporciona otra capa de seguridad a los datos cifrados.
¿Por qué utilizar las claves de seguridad de WordPress?
Las claves de seguridad de WordPress protegen su sitio web contra los intentos de piratería haciendo que sus contraseñas sean seguras.
Por ejemplo, una contraseña normal con un nivel de dificultad medio puede descifrarse fácilmente mediante ataques de fuerza bruta.
En cambio, una cadena de contraseñas como ‘7C17bd5b44d6c9c37c01468b20d89c35e576914c289f98685941accddf67bf32b49’ tarda años en descifrarse sin conocer las claves de seguridad.
Por eso, nunca debe compartir las claves de seguridad de WordPress con nadie y protéjalas como suele proteger la información confidencial en Internet.
Teniendo esto en cuenta, veamos cómo utilizar las claves de seguridad de WordPress para mantener su sitio protegido.
¿Cómo utilizar las claves de seguridad de WordPress?
Generalmente, no necesita hacer nada extra ya que, en la mayoría de los casos, WordPress generará y utilizará automáticamente claves de seguridad + sales en cada nueva instalación de WordPress.
Puede ver sus claves y sales de seguridad de WordPress utilizando un cliente FTP o la aplicación Administrador de archivos del panel de control de su cuenta de alojamiento de WordPress.
Simplemente conéctese a su sitio web y abra el archivo wp-config.php. Dentro de él, verás definidas tus claves de seguridad de WordPress.
Sin embargo, dependiendo de cómo instaló WordPress inicialmente, es posible que su sitio web no tenga claves de seguridad definidas en absoluto.
Si tus claves de seguridad están vacías, no te preocupes. Puede añadirlas manualmente en la página Generador de claves de seguridad de WordPress para establecer un nuevo conjunto de claves.
A continuación, copie y pegue estas claves dentro de su archivo wp-config.php, y ya está.
Puede utilizar el mismo método para borrar sus claves de seguridad actuales de WordPress y sustituirlas por nuevas claves.
Nota: Al reemplazar las claves de seguridad, todos los usuarios se verán obligados a volver a acceder, lo cual es muy bueno para la seguridad.
Regenerar las claves de seguridad de WordPress usando un plugin
Si sospecha que su sitio web ha sido pirateado, debe regenerar las claves de seguridad de WordPress y cambiar las contraseñas.
Usted puede copiar y pegar manualmente nuevas claves de seguridad, como se mencionó anteriormente. Sin embargo, también puede un plugin. De esta manera usted puede establecer un horario para regenerar automáticamente las claves de seguridad con regularidad, también.
Consejo de experto: ¿Cree que su sitio web ha sido pirateado? Recupere su tranquilidad con nuestro servicio experto de reparación de sitios pirateados. Confía en nuestro experimentado equipo para gestionar las complejidades técnicas y conseguir que tu sitio vuelva a funcionar.
1. Actualización de las claves de seguridad de WordPress con Sucuri
La forma más fácil de regenerar automáticamente las claves de seguridad de WordPress es utilizando Sucuri. Es uno de los mejores plugins de seguridad de WordPress en el mercado que protege su sitio web de WordPress contra las amenazas comunes.
Para empezar, lo primero que tienes que hacer es instalar y activar el plugin Sucuri Security. Para más detalles, consulta nuestra guía paso a paso sobre cómo instalar un plugin de WordPress.
Una vez activado, deberá visitar la página “Ajustes” de Sucuri Security y cambiar a la pestaña “Post-Hack”.
Desde aquí, sólo tiene que hacer clic en el botón “Generar nuevas claves de seguridad” situado en la sección “Actualizar claves secretas”.
Nota: Al regenerar las nuevas claves de seguridad, saldrá del área de administrador de WordPress y tendrá que volver a conectarse.
Después de eso, vuelve a visitar la página Sucuri Security ” Ajustes y cambia de nuevo a la pestaña ‘Post-Hack’.
En la sección de claves de seguridad, activa el “Actualizador automático de claves secretas” eligiendo una frecuencia (diaria, semanal, mensual, anual). A continuación, haz clic en el botón “Enviar”.
Sucuri ahora restablecerá automáticamente sus claves de seguridad de WordPress en función de la frecuencia elegida.
2. Actualización de las claves de seguridad de WordPress con Salt Shaker
Este método es para usuarios que no utilizan Sucuri y necesitan automatizar la regeneración de la clave de seguridad.
En primer lugar, debe instalar y activar el plugin Salt Shaker. Para más detalles, consulte nuestra guía paso a paso sobre cómo instalar un plugin de WordPress.
Una vez activado, deberá visitar la página Herramientas ” Salero para establecer los ajustes del plugin.
Desde aquí, puede establecer un calendario para generar claves de seguridad automáticamente. También puede hacer clic en el botón “Cambiar ahora” para regenerar las claves de seguridad inmediatamente.
Esperamos que este artículo te haya ayudado a entender las claves de seguridad de WordPress y cómo utilizarlas. Puede que también quieras ver nuestra guía sobre cómo corregir el error de conexión segura en WordPress o nuestra selección experta de los mejores plugins de cortafuegos para WordPress.
If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.
Jiří Vaněk
Regarding security keys, I encountered an issue when migrating the website to a new database. Even after changing the connection in the wp-config.php file, WordPress refused to connect to the new DB, reporting an ‘establishing error.’ Eventually, I had to delete the old wp-config.php, upload a new one from the installation package, re-enter the connection to the new database, and then everything worked fine. It seems that the keys in the wp-config.php file were the culprit.
Josh
How often do you recommend changing the keys? Quarterly as shown in the screenshot?
WPBeginner Support
We do not have a specific recommended refresh time at the moment other than after a hack on your site at a minimum.
Administrador
Bjornen Nilsson
Hi,
QUESTION »
Will it affect anything besides “extreme” increased security if one has the web browser set to delete all history, temp, cookies etc. every time it is shut down AND if one changes the SALT in wp-config after logging out each time?
Thanks!
shanderman
Hi,
I have 2 url product,for 1 product.like this:
example.com/?product=product-name
example.com/product/product-name/
why? how should i fix it? please help me.
WPBeginner Support
Hi shanderman,
Please visit Settings » Permalinks page to make sure that your WordPress site is using SEO friendly URLs.
After that view your website’s source code and make sure that it is showing the URL format that you like.
The ugly URL structure will still work in WordPress if you typed it in the browser. However, your product’s canonical URL will be the one you choose on the permalinks settings page. This is the URLs that search engines will follow and index.
Administrador
sam
I am a beginner to Wordpress , i have a doubt how those keys make the Wordpress secure ? i want to know the actual role and working of the keys ?
Kishan Dalsania
What is the actual benefit of these using the keys in config.php. Can you define how it will work to prevent the hackers?
sam
Hi , i have used this method and can not log onto my site at all. how do i fix it or remove the issues
WPBeginner Support
Please take a look at our tutorial on what to do when you are locked out of WordPress admin area.
Administrador
kOoLiNuS
Just a quick question… Why do you suggest to:
Instead of the latter? Have you got some links that dig this approach?
Thank you in advance!
Nick
In wordpress 3.1 these keys are automatically generated.
MichealKennedy
Was just gonna ask “why don’t they just automatically generate these for you?” but you answered it
Riese F
Appreciate this information and quickly updated my files. My concern is the same as Ricks’ from April in that if my wp-config.php file is hacked then these keys are available to whomever is looking at them correct? But then I thought that if my wp file is hacked and someone other than me is looking at them I am already in trouble…
Any precaution is better than just hoping for the best though! Thank you for your work and efforts.
Keith Davis
Hi
Thanks for a short and informative post.
I notice that in your example there are four secret keys.
There appear to be more secret keys in Wordpress 3.0 – can these be added to previous versions of Wordpress?
Editorial Staff
Those keys become available with WordPress 3.0
Administrador
Dave
You’ll need to use 3.0 to utilise all eight secret keys, rather than the former four. The new WordPress random key generator can be found at https://api.wordpress.org/secret-key/1.1/salt
Rick
Um, so does this change your admin password or what? I don’t understand what this does? Maybe that’s because I’m not a hacker. But, if this is just stored in your config.php file, wouldn’t it be way easier for a hacker just to hack into your ftp site and nab this security key out of the config file?
I want my WordPress sites to be more secure, but I just don’t understand what this is preventing?
Jack
Nicely said. The directions are pretty easy, but I think the security and safety is understated in the documentation. Thanks for spelling it out and making the web a safer place.
gabrielle
if you develop multiple wordpress sites do you create a security key for each one or use the same one on all of them?
Editorial Staff
Use a new one
Administrador
Konstantin
While you’re adt it:
Why not define the salt constants and save yourself some database queries?!
It should look like this:
define('AUTH_SALT', 'put your unique phrase here');
define('SECURE_AUTH_SALT', 'put your unique phrase here');
define('LOGGED_IN_SALT', 'put your unique phrase here');
define('NONCE_SALT', 'put your unique phrase here');
This article from Digging into Wordpress explains the advantages of this practice.
Tony
Thanks for sharing!
Editorial Staff
Good idea, didn’t even think of that.
Administrador
maged
very handy and important thanks for sharing