Su nueva herramienta de publicación solicita una contraseña WordPress. Parece un pequeño paso. Sin embargo, la cuenta que elija puede darle a esa herramienta mucho más poder del que necesita.
WordPress las contraseñas de aplicaciones te ayudan a conectar aplicaciones sin compartir tu inicio de sesión principal. La parte difícil es decidir quién actúa como la aplicación, dónde reside su secreto y cómo detenerla más tarde. Esta guía explica esas opciones.
¿Qué es una contraseña de aplicación?
Es un secreto separado vinculado a un usuario WordPress. Una aplicación lo utiliza para demostrar su identidad cuando llama a la API del sitio. Puedes revocar ese secreto por sí solo. No es una contraseña para iniciar sesión a través de la pantalla de inicio de sesión normal del panel. Ver el descripción general oficial WordPress para el comportamiento central.
Piense en ello como una clave para una conexión. El nombre de la clave le indica para qué sirve. Su poder todavía proviene de la cuenta de usuario que hay detrás. Nombrar una clave como "solo lectura" no la convierte en solo lectura.
Elija la cuenta antes de crear la clave
Enumere el trabajo primero. ¿La herramienta lee publicaciones públicas, guarda borradores, carga medios o edita páginas en vivo? Es posible que el contenido público no necesite ningún inicio de sesión. Una herramienta que guarda borradores no debería necesitar instalar complementos.
Cree una cuenta dedicada cuando eso ayude a mantener la tarea separada. Asígnele el conjunto de derechos más pequeño que permita que el trabajo tenga éxito. Si los roles estándar son demasiado amplios, pida a un desarrollador que diseñe y pruebe un rol personalizado.
Por ejemplo, una herramienta de redacción de borradores puede necesitar crear publicaciones. Es posible que no necesite publicarlas. Pruebe ambos casos: guardar un borrador debería funcionar, mientras que la acción prohibida debería fallar.
Nuestro Guía de seguridad de API REST explica las comprobaciones de acceso detrás de estas solicitudes. Un secreto válido nunca debe reemplazar una verificación de lo que puede hacer el usuario.
Cree un secreto para cada aplicación
En el perfil del usuario correspondiente, busque Contraseñas de aplicación. Use un nombre claro, como “Sincronización editorial — producción.” Genere la contraseña y guárdela de inmediato. WordPress muestra el secreto en texto plano solo cuando se crea.
De a los entornos de pruebas y de producción credenciales separadas. De a cada proveedor su propia clave. Esto hace que un cambio posterior sea mucho más fácil: puede detener una conexión sin interrumpir el resto.
Agregue el propietario de la aplicación y la fecha de revisión a los registros de su equipo. No coloque el secreto en dicho registro a menos que sea una bóveda de secretos aprobada. Nuestro guía de gestión de secretos cubre cómo almacenar estos valores.
Pon estas ideas en práctica.
Desde una mejora puntual hasta una web completa, te ayudamos a definir el alcance y llevarlo a cabo.
Hablemos de mi webSoluciones avanzadas de seguridad de WordPressCuéntanos tus objetivos. Solemos responder en menos de 4 horas con preguntas y próximos pasos prácticos.
Mantenga el secreto en el servidor.
Utilice HTTPS para la conexión. Coloque la contraseña en la configuración del servidor protegido o en el almacén secreto de la aplicación. Nunca lo coloques en público JavaScript, una página web, una captura de pantalla o un ticket de soporte compartido.
Un error común es poner el secreto en una aplicación de navegador porque la primera prueba funciona. Cualquiera que pueda inspeccionar la solicitud puede copiarla después. Agregue una capa de servidor de confianza que guarde la credencial y exponga únicamente las acciones que el navegador necesita.
Si utiliza una herramienta de flujo de trabajo, limite quién puede ver o cambiar sus credenciales. Nuestro n8n servicios de automatización Cubrir esta parte del diseño de una integración.
Pruebe toda la conexión
Comience con una solicitud de lectura inofensiva. A continuación, pruebe la tarea exacta que necesita la aplicación en un sitio de prueba. Compruebe qué sucede cuando la contraseña es incorrecta, falta o es revocada.
Una solicitud fallida no siempre significa que el secreto sea incorrecto. Un proxy puede eliminar el encabezado de autenticación. Una regla de seguridad puede bloquear la ruta. Es posible que la cuenta carezca de un derecho requerido. Compruebe esas capas antes de otorgar más acceso.
Utilice nuestro lista de verificación de seguridad de puesta en escena para mantener los datos reales del cliente fuera de la prueba. Registre el resultado esperado para cada acción permitida y bloqueada.
Hacer que la revocación forme parte del traspaso
Para una rotación planificada, agregue el nuevo secreto, actualice la aplicación y pruébela. Luego revoque el anterior y confirme que falla. Si un secreto se ha filtrado, revóquelo de inmediato e investigue la exposición.
Haga esto cuando un proveedor se vaya, un flujo de trabajo se retire o se pierda un dispositivo. Revise las claves no utilizadas como parte del mantenimiento rutinario del sitio. Un cambio de inicio de sesión en el panel no sustituye la comprobación de las credenciales de la aplicación.
Nuestro WordPress planes de mantenimiento puede incluir esa revisión. El objetivo es simple: cada llave que funcione debe tener un propietario conocido y un propósito actual.
Preguntas frecuentes
¿Puede una contraseña de aplicación iniciar sesión en wp-admin?
No. Está destinado a solicitudes de API compatibles, no al formulario de inicio de sesión normal del navegador.
¿Está cada contraseña de aplicación limitada a una ruta de API?
Ni por su nombre ni por defecto. El acceso depende de la cuenta de usuario y de las comprobaciones de permisos del punto final. Utilice un rol limitado o controles adicionales cuando sea necesario.
¿Debo darle a todas las aplicaciones la misma contraseña?
No. Las credenciales separadas te permiten revocar una aplicación sin dañar las demás. Utilice también diferentes secretos para sitios activos y de prueba.
¿Protege la autenticación de dos factores del panel una contraseña de aplicación?
No asuma que lo hace. Las contraseñas de aplicación son una ruta de acceso separada. Protéjalas, revíselas y revóquelas por separado, y compruebe cómo las maneja su complemento de seguridad.
