Activar 2FA en WordPress con Wordfence 2026

Actualizado el 25/08/2026: sumamos la sección con todos los cambios del 2FA de Wordfence en 2026 (descarte definitivo del SMS, retiro del plugin Login Security y consolidación en TOTP), una tabla antes/después del ecosistema, dos preguntas nuevas en el FAQ sobre la migración y la sección de fuentes oficiales.

Para activar 2FA en WordPress con Wordfence, instalás o actualizás el plugin a la versión 7.11 o superior, entrás a Wordfence > Login Security, escaneás el código QR con Google Authenticator o Authy, ingresás el código de 6 dígitos para confirmar la sincronización y guardás los códigos de recuperación. El proceso tarda menos de 10 minutos y no requiere licencia premium. Esta guía actualizada cubre además los cambios de 2026, la instalación de WP 2FA y el plan de emergencia si perdés el dispositivo.

¿Qué es la autenticación de dos factores (2FA) en WordPress?

La autenticación de dos factores (2FA) es un método de seguridad que combina algo que sabés (tu contraseña) con algo que tenés (un código temporal de 6 dígitos que cambia cada 30 segundos). Wordfence implementa 2FA usando el estándar TOTP definido en el RFC 6238, lo que significa que funciona con cualquier app compatible sin depender de SMS ni de servidores propios.

El beneficio concreto: si alguien obtiene tu usuario y contraseña de una filtración de datos, con 2FA activo igual no puede entrar. Necesita el código que genera tu teléfono en ese momento. Y ese código cambia cada 30 segundos.

No requiere licencia premium. Está en el plugin gratuito.

Requisitos técnicos para activar 2FA con Wordfence

Antes de arrancar, verificá que tenés todo esto en orden:

• Plugin Wordfence versión 7.11 o superior. Las versiones anteriores no tienen el módulo 2FA integrado en el plugin principal. Verificalo en Plugins > Plugins instalados.
• Acceso de administrador a wp-admin. Necesitás permisos de admin para activar y configurar 2FA por usuario.
• Una app de autenticación instalada en el teléfono. Google Authenticator, Authy, Microsoft Authenticator o FreeOTP. Todas implementan TOTP RFC 6238 y funcionan igual a nivel técnico.
• Sincronización horaria correcta en el dispositivo. Es el requisito que más se ignora. Si el reloj del teléfono está desfasado más de 30 o 60 segundos, el código de la app no coincide con el que espera el servidor. Resultado: «código inválido» sin explicación aparente.

Un detalle que pocas guías mencionan: Google Authenticator no hacía backup en la nube por defecto, aunque en versiones recientes agregó esa opción. Authy sincroniza automáticamente. Si usás Google Authenticator sin backup habilitado y perdés el teléfono, perdés el acceso a todos los sitios configurados. Conviene decidir esto antes de empezar, no después.

Paso a paso: cómo activar 2FA en WordPress con Wordfence

Desde principios de 2026, Wordfence migró todas las funciones de login al plugin principal. No necesitás instalar «Wordfence Login Security» por separado. De hecho, según su página oficial en WordPress.org, ese plugin se discontinúa alrededor del 1 de julio de 2026. Si lo tenías instalado por separado, migrá al plugin principal y desinstalá el secundario.

Con el plugin principal de Wordfence activo y actualizado, el proceso es este (la documentación oficial de Wordfence detalla cada pantalla):

• Entrá a Wordfence > Login Security. En el menú lateral de WordPress, desplegá la sección Wordfence y buscá «Login Security». Ahí encontrás el módulo de autenticación.
• Abrí la pestaña de Two-Factor Authentication. Wordfence genera automáticamente un código QR específico para tu usuario.
• Abrí la app en tu teléfono y escaneá el QR. En Google Authenticator o Authy, tocá el «+» o «Agregar cuenta» y elegí «Escanear código QR». La app agrega la cuenta y empieza a generar códigos de 6 dígitos que cambian cada 30 segundos.
• Ingresá el código actual para verificar la sincronización. Wordfence te pide el código que muestra la app en ese momento. Esto confirma que todo está bien configurado antes de activar el 2FA.
• Guardá los códigos de recuperación. Wordfence genera 5 o más códigos de 16 dígitos. Bajalos o copialos ahora. No van a aparecer de nuevo a menos que los regeneres manualmente.

La próxima vez que inicies sesión en WordPress, después de ingresar usuario y contraseña, Wordfence pide el código de 6 dígitos de la app. Eso es todo. Si evaluás alternativas, tenemos una comparación con Jetpack Security.

Métodos de autenticación en WordPress: TOTP, email, SMS y códigos de respaldo

TOTP es el método que conviene como base cuando activás 2FA en WordPress: genera códigos de 6 dígitos en una app del teléfono, cada 30 segundos, sin depender de internet ni del operador móvil. El email funciona bien como segundo método, el SMS queda descartado por su exposición al SIM swapping, y los códigos de respaldo son el seguro obligatorio para cuando perdés el dispositivo.

No todos los métodos protegen igual, y elegir mal te da una falsa sensación de seguridad. Esta es la diferencia real entre cada uno. Si comparás suites completas de seguridad, también tenemos una comparativa entre Wordfence y Sucuri.

• TOTP (contraseñas de un solo uso basadas en tiempo). La app calcula el código localmente con una clave secreta y el reloj del dispositivo, según el RFC 6238. No manda ni recibe nada por la red, así que funciona en modo avión y no hay mensaje que interceptar. Es el sistema que usan Google Authenticator, Authy, Microsoft Authenticator y FreeOTP.
• Email. Wordfence y WP 2FA pueden enviarte un código temporal a la casilla registrada. Comodísimo como red de respaldo, pero hereda la seguridad de tu correo: si alguien entra a tu casilla, entra a tu WordPress. Usalo como segundo método, nunca como único.
• SMS. Ninguno de los dos plugins lo ofrece por defecto y hay una razón técnica: el código viaja por la red del operador y un atacante puede clonar tu SIM (SIM swapping) para recibirlo. Si alguna herramienta te propone 2FA por SMS, tomalo como último recurso, no como opción.
• Códigos de respaldo. No son una vía de login alternativa sino el plan de emergencia cuando perdés el teléfono. Son de un solo uso y tienen sección propia más abajo, con dónde guardarlos y cuándo regenerarlos.

La combinación que recomendamos: TOTP como método principal, email habilitado como secundario y códigos de respaldo guardados fuera del teléfono. Con eso cubrís a la vez la pérdida del dispositivo, la rotura de la app y el compromiso de la contraseña.

¿Qué cambió en el 2FA de Wordfence durante 2026?

Durante 2026 Wordfence consolidó su doble factor en un solo estándar y un solo plugin: el SMS quedó descartado de forma definitiva, Wordfence Login Security se retiró del repositorio y todo el módulo de autenticación vive ahora en el plugin principal, sin costo. Si vas a activar 2FA en WordPress con Wordfence desde cero, el proceso de la guía no cambia. Lo que cambia es el contexto alrededor. En cuál firewall bloquea más ataques profundizamos sobre esto.

• Adiós definitivo al SMS. Wordfence nunca lo implementó de forma nativa y este año lo sacó explícitamente de su hoja de ruta: la autenticación se apoya exclusivamente en apps TOTP compatibles con el RFC 6238, como detalla la documentación oficial del módulo. El fundamento es técnico, no comercial: el SMS es vulnerable a SIM swapping y las directrices de seguridad (incluido el marco de NIST) vienen desaconsejándolo como factor único hace años.
• Consecuencia práctica del retiro de Login Security. Ya contamos que el plugin separado se discontinúa alrededor de julio de 2026. Lo que no dijimos es qué implica para quienes administran sitios de terceros: cualquier instalación que siga con la versión standalone queda sin parches futuros. Una pasada por Plugins > Plugins instalados en cada cliente cierra el tema en minutos.
• El 2FA sigue siendo gratuito. No hubo movimiento hacia premium ni funciones secuestradas detrás de una licencia: QR, códigos de recuperación y verificación por email permanecen en la versión free del plugin principal. Quienes administran varios sitios pueden seguir gestionando el 2FA centralizadamente desde Wordfence Central.

Si venís de una instalación previa, el orden de migración es corto: actualizá el plugin principal a la última versión, comprobá que Login Security no siga activo, y regenerá el vínculo con tu app solo si cambiaste de teléfono. Los códigos de recuperación viejos deberían seguir funcionando mientras no los regeneres manualmente, aunque por precaución conviene descargar un set nuevo después de cualquier migración.

Para equipos y agencias de Latinoamérica que manejan decenas de instalaciones de clientes, el cierre del plugin separado funciona como fecha de auditoría: vale revisar quién sigue con la configuración vieja antes de que un incidente la ponga a prueba. Y si necesitás pasarle instrucciones a alguien no técnico, el artículo de soporte de Donweb sobre autenticación de dos factores en WordPress resume el proceso en español, pensado justamente para compartir con el equipo.

Queda un flanco abierto: Wordfence todavía no ofrece passkeys ni llaves FIDO2, y la consolidación en un solo estándar aumenta la dependencia de la app del teléfono. No es un problema hoy, pero habría que ver si en 2027 suman autenticación sin contraseñas. Por ahora, los códigos de recuperación son tu única red ante un dispositivo muerto.

Cómo instalar y configurar WP 2FA en WordPress paso a paso

WP 2FA se instala desde el repositorio oficial de WordPress como cualquier plugin gratuito, y su asistente completa la activación en cinco pasos. Lo desarrolla WP White Security y, a diferencia de Wordfence, nació exclusivamente para gestionar autenticación de dos factores, con políticas por rol incluidas según su ficha oficial en WordPress.org.

1. Instalá el plugin. En wp-admin andá a Plugins > Agregar nuevo, buscá «WP 2FA» y hacé clic en «Instalar ahora» y después en «Activar». La versión base es gratuita.
2. Arrancá el asistente de configuración. Al activarlo se abre el wizard automáticamente; también podés lanzarlo desde WP 2FA > Configure 2FA en el menú lateral.
3. Elegí a quién le exigís 2FA. El asistente pregunta si la política aplica a todos los usuarios, a roles específicos (administradores, editores, autores) o solo a tu cuenta. En un sitio con equipo, marcá administradores y editores como mínimo.
4. Escaneá el código QR con tu app. Abrí Google Authenticator o Authy, tocá «+» y elegí «Escanear código QR». Ingresá el código de 6 dígitos que aparece en pantalla para confirmar la vinculación.
5. Descargá los códigos de respaldo. WP 2FA los genera al final del wizard en formato imprimible. Guardalos en el gestor de contraseñas antes de cerrar el asistente.

Si preferís otra perspectiva del proceso con capturas, WPBeginner documenta cómo agregar autenticación de dos factores en WordPress con otros plugins.

¿Cómo configurar Google Authenticator en WordPress?

Descargá Google Authenticator desde Play Store o App Store, tocá el botón «+» y elegí «Escanear código QR» apuntando la cámara al código que muestra Wordfence o WP 2FA. La app agrega la cuenta y empieza a generar códigos de 6 dígitos que rotan cada 30 segundos. Ingresá uno en WordPress para confirmar que la vinculación funcionó, y recién ahí activá el 2FA definitivamente.

Si la cámara no lee el QR (pasa con pantallas muy brillantes o monitores curvos), usá la carga manual: en la app elegí «Ingresar una clave de configuración», poné un nombre para la cuenta y copiá la clave secreta que el plugin muestra debajo del QR, dejando seleccionada la opción «Basado en tiempo». El resultado es idéntico al escaneo.

Un detalle durante la configuración inicial: dejá la hora del teléfono en automático. Los códigos TOTP dependen del reloj del dispositivo, y un desfase de unos segundos ya genera rechazos. Si después del setup te aparece «código inválido», la corrección específica está en la sección de errores comunes.

Mejores prácticas: forzar 2FA en WordPress para todos los usuarios

Dejar el 2FA opcional equivale a no tenerlo: basta un solo administrador o editor sin segunda capa para que toda la política se caiga. La configuración que recomendamos en 2026 hace obligatoria la autenticación de dos factores en WordPress para cualquier rol con acceso a wp-admin, y usa las herramientas de cada plugin para sostenerla en el tiempo.

• Hacé obligatorio el 2FA para administradores y editores primero. Son los roles que pueden instalar plugins, modificar temas y publicar código ejecutable. Un editor comprometido alcanza para comprometer el sitio entero, así que la excusa de «después lo configuro» no aplica acá.
• Usá políticas por rol si trabajás con equipo. Wordfence gratuito maneja el 2FA usuario por usuario; WP 2FA permite aplicar la obligatoriedad por rol desde su asistente. En agencias y multisite, esa diferencia suele definir la elección.
• Definí períodos de gracia para usuarios nuevos. Con WP 2FA premium podés dar unos días para que cada persona configure su app antes de bloquearle el acceso, y evitás tickets de soporte el primer día.
• Sincronizá credenciales en más de un dispositivo. Authy mantiene copia cifrada en la nube y restaura sola en un teléfono nuevo; con Google Authenticator conviene activar el backup en la cuenta de Google antes de dar de alta el primer sitio.
• Auditá mensualmente quién tiene 2FA activo. Cinco minutos revisando la lista de usuarios detectan las cuentas que se saltaron la política o que quedaron sin segunda capa después de un cambio de equipo.
• Documentá el acceso fuera de WordPress. Una planilla simple con usuario, rol, método de 2FA y fecha de última revisión ahorra horas cuando alguien se va del equipo o pierde el teléfono.

Ninguna de estas prácticas cuesta dinero ni requiere servidores adicionales. Eso sí: el 2FA es una capa, no el blindaje completo. Para el resto (limitar intentos de login, cambiar la URL de acceso, endurecer permisos) tenemos una guía de hardening de WordPress.

¿Qué app de autenticación usar con Wordfence?

Ponele que abrís Wordfence y ves el código QR. La pregunta natural es si cualquier app funciona. La respuesta es sí, siempre que implemente TOTP según el RFC 6238. Estas son las opciones reales: Sobre eso hablamos en Wordfence frente a Sucuri.

• Google Authenticator. La más conocida. Sin cuenta necesaria. El contra: el backup en la nube es opcional y en versiones antiguas no existía, así que si perdés el teléfono sin haberlo activado, perdés todo (un problema serio si tenés 15 sitios configurados).
• Authy. Backup automático en la nube, encriptado. Podés restaurar en un teléfono nuevo sin perder nada. Requiere número de teléfono para la cuenta.
• Microsoft Authenticator. Buena integración con el ecosistema Microsoft. Hace backup en la nube.
• FreeOTP. Open source, sin cuenta, sin backup automático. Para los que prefieren no depender de servicios de terceros.

Authy es la recomendación práctica si cambiás de teléfono seguido o querés tranquilidad ante una pérdida. Google Authenticator funciona bien si ya habilitaste el backup en tu cuenta de Google. Lo que elijas, no dejes los códigos de recuperación como única red de seguridad. Cubrimos ese tema en detalle en qué solución limpia mejor el malware.

Códigos de recuperación: cómo guardarlos y qué hacer cuando los usás

Wordfence genera 5 o más códigos de recuperación de 16 dígitos al activar el 2FA. Son de uso único: cada código se quema después de usarlo. Si necesitás uno para entrar porque no tenés acceso a la app, ese código deja de funcionar y te queda uno menos en el banco.

¿Dónde guardarlos? Por orden de preferencia:

• Gestor de contraseñas (Bitwarden, 1Password). La mejor opción. Encriptado, accesible desde cualquier dispositivo y no desaparece si se rompe el teléfono.
• Papel físico guardado en un lugar seguro. No se hackea. Sí se puede quemar o mojar, así que no como única copia.
• Archivo encriptado en backup externo. Un archivo de texto protegido con VeraCrypt o similar, guardado en un disco externo o nube encriptada.

Lo que nunca hay que hacer: guardarlos en el mismo teléfono donde tenés la app de autenticación. Si perdés el teléfono, perdés ambas cosas a la vez. Eso es exactamente el escenario de emergencia para el que existen los códigos de recuperación.

Cada vez que uses uno, generá nuevos de inmediato desde Wordfence > Login Security. No esperes hasta el próximo problema. Lo desarrollamos a fondo en la comparación con Solid Security.

Errores comunes en la configuración 2FA y cómo solucionarlos

«Código inválido» aunque lo ingresés bien

El 99% de las veces es un problema de sincronización horaria. Los códigos TOTP son válidos durante una ventana de 30 segundos. Si el reloj de tu teléfono está desfasado, el código que genera la app no coincide con el que calcula el servidor en ese momento exacto.

Solución en Google Authenticator: Menú > Configuración > Corrección de hora para los códigos > Sincronizar ahora. En Authy, la sincronización es automática. Si el problema persiste después de sincronizar, revisá que la hora en el dispositivo esté configurada como automática (no manual).

El campo de código 2FA no aparece en la pantalla de login

Esto pasa por conflicto con un plugin de caché. El plugin sirve una versión guardada de la página de login que no incluye el campo extra que agrega Wordfence.

Solución: limpiá el caché del plugin que uses (LiteSpeed Cache, W3 Total Cache, WP Super Cache) e intentá de nuevo. Si el problema es recurrente, excluí la URL de login del caché. Revisá también los logs de Wordfence para verificar que el WAF no esté bloqueando algo en el flujo de autenticación.

El 2FA no se activa para otros usuarios del sitio

Wordfence permite configurar 2FA por usuario, pero cada usuario tiene que habilitarlo individualmente desde su perfil. No existe en la versión gratuita una opción para forzar el 2FA a todos los roles automáticamente. Cubrimos ese tema en detalle en nuestra comparativa con Patchstack.

¿Necesitás obligar a todos los editores o colaboradores a usar 2FA? Ahí es donde entra WP 2FA, que sí permite políticas por rol. Ya lo cubrimos antes en cómo parchear las últimas vulnerabilidades.

¿Qué hacer si perdés acceso a tu 2FA en Wordfence?

Perdiste el teléfono, desinstalaste la app sin hacer backup, o cambiás de número y no activaste la nube. Ahora no podés entrar a tu WordPress. Hay cuatro opciones, de menor a mayor invasividad técnica: Para más detalles técnicos, mirá qué plugin limpia mejor el malware.

• Plan A: códigos de recuperación. En la pantalla de login donde Wordfence pide el código 2FA, buscá la opción «Use a recovery code». Ingresá uno de los códigos de 16 dígitos que guardaste. Después de usarlo, generá nuevos de inmediato.
• Plan B: email de respaldo. Si configuraste el método de respaldo por email cuando activaste el 2FA, Wordfence puede enviarte un código por correo. Revisá si esa opción aparece en la pantalla de login.
• Plan C: phpMyAdmin. Accedé a phpMyAdmin desde el panel de hosting, abrí la base de datos de WordPress, filtrá la tabla wp_usermeta por el ID de tu usuario y buscá las filas con meta_key igual a wordfence_2fa. Borrálas. La próxima vez que entres, Wordfence no va a pedir 2FA (y podés reconfigurar desde cero).
• Plan D: deshabilitar el plugin por FTP. Accedé al servidor por FTP o desde el administrador de archivos del panel de hosting, navegá a /wp-content/plugins/ y renombrá la carpeta wordfence a wordfence.bak. WordPress lo marca como desactivado automáticamente y podés entrar sin 2FA. Reactivalo desde el panel una vez adentro.

Si usás hosting en donweb.com, accedés a phpMyAdmin y al administrador de archivos directamente desde el panel de control, sin configuración adicional.

Grabate el orden del plan D: subís por FTP, renombrás la carpeta wordfence, entrás al panel sin 2FA y recién ahí reactivás el plugin. Si lo reactivás antes de entrar, volvés a quedar afuera. Después reconfigurás el 2FA con la app nueva y generás un set fresco de códigos de recuperación.

Wordfence vs WP 2FA: ¿cuál elegir para tu WordPress?

Wordfence incluye 2FA funcional y gratuito, pero WP 2FA (de WP White Security) existe específicamente para manejar autenticación de dos factores con más granularidad. Esta es la comparativa:

La recomendación práctica: si tu sitio ya usa Wordfence y vos sos el único administrador (o hay muy pocos), usá el 2FA de Wordfence. No tiene sentido agregar otro plugin para algo que ya tenés. Si gestionás un sitio con autores, editores y clientes, o si necesitás controlar por rol quién debe usar 2FA y cuándo, WP 2FA da más herramientas.

¿Y las passkeys, esa apuesta por la autenticación sin contraseñas? Por ahora solo en la versión premium de WP 2FA. Wordfence todavía no las soporta.

Qué está confirmado y qué no

• Confirmado: Wordfence 2FA es gratuito y funciona con cualquier app TOTP compatible con RFC 6238, sin configuración de servidor adicional.
• Confirmado: Wordfence Login Security (plugin separado) se discontinúa alrededor del 1 de julio de 2026 según WordPress.org. Las funciones se integran en el plugin principal.
• Confirmado: Los códigos de recuperación son de uso único. Wordfence genera un mínimo de 5 al activar el 2FA.
• Sin verificación independiente: Los porcentajes de reducción de ataques que Wordfence atribuye al 2FA son datos del propio fabricante. Tomálos como orientación, no como benchmark certificado.
• Por confirmar: La fecha exacta de discontinuación del plugin separado puede sufrir cambios. Revisá la página oficial antes de julio de 2026.

Preguntas Frecuentes

¿Cómo activar 2FA en WordPress con Wordfence paso a paso?

Actualizás Wordfence a la versión 7.11 o superior, vas a Wordfence > Login Security en el panel, escaneás el código QR con Google Authenticator o Authy, ingresás el código de 6 dígitos para confirmar la sincronización y guardás los códigos de recuperación. El proceso completo no lleva más de 10 minutos y no requiere ninguna licencia de pago.

¿Cómo se instala WP 2FA en WordPress desde cero?

Desde Plugins > Agregar nuevo buscás «WP 2FA», instalás y activás el plugin de WP White Security. Al activarse arranca un asistente donde elegís si el 2FA será obligatorio para todos los usuarios o solo para ciertos roles, escaneás el código QR con tu app de autenticación y descargás los códigos de respaldo. Todo toma menos de diez minutos y la versión gratuita cubre TOTP y 2FA por email. Lo explicamos a fondo junto con cómo filtrar ataques antes de llegar al servidor.

¿Se puede forzar el 2FA para todos los usuarios de WordPress gratis?

Sí, con WP 2FA: su asistente permite aplicar la política a todos los usuarios o a roles específicos sin costo. Wordfence gratuito, en cambio, maneja el 2FA por usuario individual: cada persona lo activa desde su perfil. Para sitios con muchos autores o clientes, esa diferencia suele definir la elección del plugin.

¿Qué necesito para usar 2FA en WordPress con Wordfence?

Necesitás Wordfence versión 7.11 o superior instalado, acceso de administrador a wp-admin y una app de autenticación TOTP en el teléfono (Google Authenticator, Authy, Microsoft Authenticator o FreeOTP). No hace falta licencia premium ni número de teléfono ni cuenta en ningún servicio externo. Lo único crítico es que la hora del dispositivo esté sincronizada de forma automática. Lo explicamos a fondo en cómo parchear vulnerabilidades críticas en WordPress.

¿Cómo guardar y usar los códigos de recuperación 2FA en Wordfence?

Wordfence genera al menos 5 códigos de 16 dígitos al activar el 2FA. Guardalos en un gestor de contraseñas como Bitwarden o 1Password, no en el mismo teléfono donde tenés la app de autenticación. Cuando necesites usar uno (por pérdida de acceso a la app), ingresalo en el campo de código 2FA durante el login. Cada código es de uso único: después de usarlo, generá nuevos desde Wordfence > Login Security.

¿Qué hago si pierdo acceso a mi 2FA en WordPress?

Primero intentá con los códigos de recuperación o el método de respaldo por email. Si no tenés ninguno, accedé a phpMyAdmin desde el panel de hosting, abrí la tabla wp_usermeta, localizá las filas con meta_key igual a wordfence_2fa para tu usuario y borrálas. Alternativa sin tocar la base de datos: renombrá la carpeta wordfence dentro de /wp-content/plugins/ a wordfence.bak por FTP o desde el administrador de archivos; WordPress la marca como inactiva y el login vuelve a funcionar sin segundo factor. Recién cuando entres, reconfigurá el 2FA desde cero.

¿Cuál es la diferencia entre SMS y TOTP en Wordfence?

TOTP genera el código dentro de la app usando la hora del dispositivo y una clave secreta compartida: nada viaja por la red y el número rota cada 30 segundos. El SMS, en cambio, envía el código por la red del operador móvil, donde queda expuesto a ataques como el SIM swapping. Wordfence solo implementa TOTP: el SMS no existe como opción ni como método de respaldo en el plugin.

¿Tengo que reconfigurar el 2FA si migré de Wordfence Login Security al plugin principal?

En principio no: la configuración del 2FA se guarda por usuario en la base de datos, así que al mantener tu cuenta el vínculo con la app debería seguir funcionando. Aun así, tomalo con pinzas y descargá un set nuevo de códigos de recuperación después de migrar. Si al iniciar sesión Wordfence no te pide el código, reconfigurá la vinculación desde Wordfence > Login Security; son dos minutos.

Conclusión: cómo activar 2FA en WordPress con Wordfence en 2026

El tablero actual es simple: un solo plugin, un solo estándar (TOTP), cero costo. Durante 2026 Wordfence eliminó la ambigüedad del ecosistema, retiró el plugin Login Security separado, descartó el SMS y concentró todo el doble factor en el plugin principal, donde sigue siendo gratuito y compatible con cualquier app del RFC 6238.

Esa simplificación te importa por una razón práctica: menos piezas significan menos lugares donde la configuración se rompe. Pero también implica que la app del teléfono pasó a ser tu punto único de falla. Por eso los códigos de recuperación dejaron de ser un extra opcional y pasaron a ser parte obligatoria del setup.

De acá en adelante, cuatro movimientos concretos: verificá que tu Wordfence esté en la versión 7.11 o superior, activá el 2FA hoy si seguís postergándolo, guardá los códigos de recuperación fuera del teléfono y programá una revisión mensual de qué usuarios tienen el segundo factor activo. Si gestionás un equipo grande, sumá WP 2FA para las políticas por rol. Diez minutos de configuración contra la recuperación de un sitio comprometido: la matemática no da lugar a dudas.

Fuentes

• Wordfence — Two-Factor Authentication (documentación oficial)
• Wordfence Central — Gestión de 2FA
• DonWeb Soporte — Autenticación de Dos Factores en WordPress
• NetUY — Cómo habilitar doble factor de autenticación (2FA) para WordPress con Wordfence
• MDP Abel — Guía 2025: autenticación de dos factores en WordPress con Wordfence