Que una contrase\u00f1a fuerte no basta es la lecci\u00f3n que los equipos de seguridad han aprendido a las malas. Una contrase\u00f1a fuerte es un m\u00ednimo, no una defensa completa. Las filtraciones de credenciales, el phishing y los ataques de persistencia derrotan todos a las contrase\u00f1as. Esta gu\u00eda explica por qu\u00e9 y qu\u00e9 a\u00f1adir.<\/p>\n\n\n\n
Las filtraciones ocurren en los proveedores con los que tus usuarios reutilizan contrase\u00f1as, no necesariamente en tu sitio. Una contrase\u00f1a de Adobe filtrada en una brecha de hace una d\u00e9cada puede comprometer hoy tu sitio de WordPress si el usuario la reutiliz\u00f3.<\/p>\n\n\n\n
La fortaleza de la contrase\u00f1a no importa si la contrase\u00f1a se filtr\u00f3 en otro lugar.<\/p>\n\n\n\n
Un usuario que escribe su contrase\u00f1a fuerte en una p\u00e1gina de inicio de sesi\u00f3n falsa se la entrega al atacante. La fortaleza es irrelevante. La p\u00e1gina era la equivocada.<\/p>\n\n\n\n
Las campa\u00f1as de phishing apuntan espec\u00edficamente a los administradores. El panel de administraci\u00f3n de WordPress es un objetivo valioso y bien conocido.<\/p>\n\n\n\n
Un segundo factor rompe a la vez el problema de la filtraci\u00f3n y el del phishing. El atacante tiene la contrase\u00f1a, pero no el dispositivo. El inicio de sesi\u00f3n falla. Defyn Security Manager incorpora 2FA basada en TOTP, compatible con Google Authenticator, Authy, 1Password, Microsoft Authenticator y Bitwarden.<\/p>\n\n\n\n
El plugin Defyn Security Manager tambi\u00e9n admite la aplicaci\u00f3n por rol y los c\u00f3digos de respaldo, de modo que el despliegue resulta pr\u00e1ctico para equipos reales.<\/p>\n\n\n\n
Forzar la rotaci\u00f3n de contrase\u00f1as cada noventa d\u00edas no mejora la seguridad. Los usuarios eligen variantes m\u00e1s d\u00e9biles de su contrase\u00f1a actual. La fricci\u00f3n no aporta ninguna seguridad.<\/p>\n\n\n\n
Rota solo ante una sospecha de compromiso. Por lo dem\u00e1s, deja en paz las contrase\u00f1as fuertes.<\/p>\n\n\n\n
Todo administrador deber\u00eda usar un gestor de contrase\u00f1as. Contrase\u00f1as \u00fanicas y aleatorias por sitio eliminan el problema de la reutilizaci\u00f3n. 1Password, Bitwarden y KeePass son todas opciones sensatas.<\/p>\n\n\n\n
Documenta la pol\u00edtica. Forma al personal nuevo. Aud\u00edtala cada a\u00f1o.<\/p>\n\n\n\n