Generador de Claves Secretas de WordPress

El Generador de Claves Secretas de WordPress crea claves de seguridad y sales criptográficamente seguras para su archivo wp-config.php. Estas 8 cadenas únicas protegen las sesiones de usuario, evitan la falsificación de cookies y defienden contra ataques CSRF. Generadas mediante un CSPRNG (Generador de Números Pseudoaleatorios Criptográficamente Seguro), cada clave nunca se almacena ni se registra.

¿Qué son las claves de seguridad y las sales de WordPress?

WordPress utiliza 8 constantes criptográficas en su archivo wp-config.php para asegurar la autenticación. Cuatro son claves (secretos de cifrado primarios) y cuatro son sales (aleatoriedad adicional que fortalece el hash):

Cómo trabajan juntas las claves y las sales

Cuando un usuario inicia sesión en WordPress, el sistema crea una cookie de autenticación. Esta cookie se cifra utilizando una combinación de la clave de seguridad y su sal correspondiente. La clave proporciona el secreto de cifrado principal, mientras que la sal añade datos impredecibles al algoritmo de hashing (HMAC), lo que hace que sea exponencialmente más difícil para un atacante realizar ingeniería inversa del valor de la cookie, incluso si la intercepta.

Sin las claves y sales adecuadas, WordPress utiliza valores predeterminados que son más débiles e idénticos en todas las instalaciones, lo que hace que su sitio sea vulnerable a ataques basados en cookies.

Cómo instalar sus claves de seguridad

1. Genere las claves usando esta herramienta con sus ajustes preferidos.
2. Copie todas las claves usando el botón "Copiar todas las claves".
3. Abra wp-config.php a través de FTP/SFTP. Este archivo se encuentra en el directorio raíz de su WordPress.
4. Busque la sección de claves — busque el comentario /* Authentication Unique Keys and Salts */.
5. Reemplace las 8 líneas define() con sus nuevas claves generadas, luego guarde y suba el archivo.

Nota: Cambiar las claves de seguridad cerrará la sesión de todos los usuarios actualmente conectados. Deberán iniciar sesión de nuevo con su contraseña. Este es el comportamiento esperado y es realmente útil para fines de seguridad.

¿Cuándo debería cambiar sus claves de seguridad?

Longitud de clave y entropía

La entropía mide la aleatoriedad (imprevisibilidad) de sus claves en bits. Una mayor entropía significa más combinaciones posibles que un atacante tendría que probar. Para contextualizar:

• 128 bits — Mínimo recomendado para la mayoría de las aplicaciones criptográficas
• 256 bits — Considerado inquebrantable con la tecnología actual (nivel AES-256)
• 400+ bits — La clave estándar de WordPress de 64 caracteres con el juego de caracteres completo proporciona aproximadamente 406 bits de entropía

Incluso la clave estándar de 64 caracteres con el juego de caracteres completo supera con creces lo que cualquier ataque de fuerza bruta podría descifrar.

Mejores prácticas de seguridad

• Nunca comparta sus claves — trátelas como contraseñas
• Use claves únicas para cada instalación de WordPress
• No reutilice claves en varios sitios
• Mantenga seguro wp-config.php — asegúrese de que los permisos de archivo sean correctos (normalmente 440 o 400)
• Las claves por sí solas no son suficientes — use también contraseñas fuertes, mantenga WordPress actualizado y use un plugin de seguridad

Preguntas frecuentes

¿Qué son las claves de seguridad y las sales de WordPress?

Las claves de seguridad y las sales de WordPress son cadenas criptográficas almacenadas en wp-config.php que cifran los datos en las cookies del usuario. Hay 4 claves (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY) y 4 sales correspondientes. Juntas, hacen que sea virtualmente imposible para los atacantes falsificar cookies de autenticación.

¿Cómo agrego las claves de seguridad a wp-config.php?

Abra su archivo wp-config.php (en el directorio raíz de WordPress), busque la sección etiquetada "Authentication Unique Keys and Salts", y reemplace las líneas define() existentes con sus nuevas claves generadas. Guarde el archivo y vuelva a subirlo a través de FTP/SFTP. Todos los usuarios deberán iniciar sesión de nuevo.

¿Cuándo debo cambiar mis claves de seguridad de WordPress?

Cambie sus claves de seguridad inmediatamente si sospecha que su sitio fue hackeado, si encuentra cuentas de administrador desconocidas o después de eliminar malware. No necesita rotar las claves en un horario regular bajo circunstancias normales. Cambiar las claves obligará a todos los usuarios conectados a autenticarse de nuevo.

¿Es seguro este generador? ¿Se almacenan las claves en algún lugar?

Sí, este generador utiliza el módulo secrets de Python, que es criptográficamente seguro (CSPRNG). Las claves se generan en el lado del servidor en cada solicitud y nunca se almacenan, registran ni guardan en caché. La respuesta incluye un encabezado no-cache para evitar el almacenamiento en caché del navegador.

¿Cuál es la diferencia entre las claves y las sales de WordPress?

Las claves de WordPress cifran los datos de las cookies, mientras que las sales añaden aleatoriedad adicional al proceso de cifrado. Las claves actúan como el secreto de cifrado principal, y las sales hacen que los ataques de fuerza bruta sean exponencialmente más difíciles al introducir datos impredecibles adicionales en la función hash. Ambas son esenciales para una seguridad sólida de WordPress.

¿Qué sucede si cambio mis claves de seguridad de WordPress?

Cambiar sus claves de seguridad de WordPress invalidará todas las cookies de autenticación existentes. Esto significa que cada usuario conectado (incluido usted) cerrará la sesión y deberá iniciarla de nuevo con su nombre de usuario y contraseña. Esta es en realidad una función de seguridad, útil después de una brecha.

Recursos adicionales

• Recursos para desarrolladores de WordPress - Claves de seguridad
• PRNG criptográficamente seguro - Wikipedia