Rotar los SALTs puede expulsar a todos los usuarios conectados de WordPress, pero no elimina malware, no cambia una contraseña filtrada ni revoca el acceso de quien controla el servidor.
La gestión segura de claves y secretos consiste en proteger las ocho claves y SALTs de wp-config.php, limitar quién accede a ellas y rotarlas tras una exposición o cambio de control.
Índice
Anuncio
Las 8 constantes y el límite de los SALTs
Las cuatro claves y los cuatro salts refuerzan cookies, sesiones y comprobaciones de formularios, pero no sustituyen contraseñas seguras ni eliminan malware.
Qué firma cada clave de autenticación
AUTH_KEY, SECURE_AUTH_KEY y LOGGED_IN_KEY protegen datos y cookies de autenticación; NONCE_KEY protege los nonces usados para confirmar acciones válidas. Cada una tiene un SALT asociado —AUTH_SALT, SECURE_AUTH_SALT, LOGGED_IN_SALT y NONCE_SALT— que añade aleatoriedad y dificulta reutilizar cookies robadas.
Lo que cambiar las ocho líneas sí provoca
Cambiar las ocho constantes invalida las cookies autenticadas y obliga a iniciar sesión de nuevo a administradores, clientes y miembros, sin borrar entradas, pedidos, usuarios, productos ni ajustes. No revoca una contraseña filtrada, una clave API, un token OAuth, una clave SSH ni la contraseña de la base de datos.
Las claves de autenticación de WordPress no cumplen exactamente la misma función. AUTH_KEY y AUTH_SALT intervienen en las cookies de autenticación usadas en contextos no seguros; SECURE_AUTH_KEY y SECURE_AUTH_SALT se aplican a la autenticación administrativa mediante HTTPS; LOGGED_IN_KEY y LOGGED_IN_SALT protegen la cookie que permite reconocer a un usuario conectado en la parte pública; y NONCE_KEY junto con NONCE_SALT participan en la generación de nonces.
Un nonce ayuda a verificar que una acción fue iniciada desde una sesión válida, pero no sustituye la comprobación de permisos: una petición debe validar tanto el nonce como la capacidad del usuario antes de modificar datos.
Actúa así
Si wp-config.php pudo ser público, llegó a GitHub o apareció en una copia accesible, hay que retirar la exposición, investigar y revocar accesos.
Orden de respuesta ante una filtración
Primero bloquea el acceso público o retira el repositorio sin destruir pruebas; después revisa registros del hosting, accesos SFTP/SSH, administradores, tareas programadas y cambios recientes. Cambia las contraseñas de WordPress, hosting, panel, SFTP/SSH y base de datos, junto con tokens y APIs afectados. Si hay modificaciones maliciosas, compara el sitio con una copia limpia y busca persistencia.
Checklist para rotar sin error 500
Antes de editar, crea una copia cifrada de wp-config.php y una copia comprobada de la base de datos.
- Programa una ventana de mantenimiento si hay pedidos, membresías o personal trabajando.
- Genera ocho valores nuevos con el generador oficial de WordPress.org.
- Sustituye las ocho líneas
define()completas dentro del bloque PHP. - Guarda el archivo y prueba el acceso en una ventana privada.
- Comprueba compra, formularios, correo, cron, caché y conexiones externas.
- Comunica el cierre de sesiones sin pedir contraseñas por correo.
| Situación | Cuándo actuar | Qué se debe revocar | Prueba posterior |
|---|---|---|---|
| Rotación programada | Dentro de una revisión trimestral o semestral | SALTs y accesos de personal que ya no trabaja | Inicio de sesión y servicios críticos |
| Archivo o copia expuesta | En las primeras horas tras confirmar el riesgo | SALTs, contraseñas, base de datos, APIs y hosting | Logs, archivos alterados y cuentas activas |
| Intrusión confirmada | Tras contener el acceso y conservar evidencias | Todas las credenciales del alcance afectado | Análisis técnico y vigilancia reforzada |
Anuncio
Guarda secretos fuera del código y git
Los secretos deben vivir fuera del código compartido y solo deben poder leerlos las personas y servicios que los necesitan.
Variables de entorno y bóvedas de secretos
Git conserva el historial, por lo que borrar un secreto del último archivo no lo elimina de commits, bifurcaciones o copias locales. Excluye wp-config.php, archivos .env y copias de seguridad mediante .gitignore. Las variables de entorno entregan valores privados al servidor; para varios servidores o despliegues automáticos, una bóveda aporta control de acceso, auditoría y revocación centralizada.
Llaves físicas para cuentas críticas
La autenticación multifactor añade una segunda prueba al iniciar sesión. Una llave USB compatible con FIDO2 puede proteger el hosting, GitHub y administradores de WordPress frente al phishing y al robo de contraseñas.
Una llave física puede ser una capa útil para las cuentas que controlan el hosting o el repositorio. No sustituye la rotación de secretos, pero dificulta que una contraseña robada permita entrar.
- Protege el acceso al panel del hosting con una segunda prueba física
- Reduce el riesgo de phishing en cuentas administrativas de GitHub
- Permite guardar una llave de reserva para evitar bloqueos del equipo
Nunca: Git, ticket, captura, correo, log de depuración o copia abierta.
Plan de rotación que no corta el negocio
Rota secretos ante exposición, cambio de administradores, fin de proveedor o exigencia interna; una credencial expuesta debe revocarse de inmediato.
Permisos y entornos separados
Los permisos deben impedir lecturas innecesarias, pero hay que probar el frontal y el escritorio tras cambiarlos: algunos hostings no permiten que PHP lea el archivo con permisos demasiado restrictivos. Separa producción, pruebas y desarrollo; nunca copies una clave de producción al entorno de pruebas.
Cuándo escalar a mantenimiento profesional
Escala si hay pedidos, datos de clientes, accesos extraños, código modificado o dudas sobre quién leyó el archivo. En esos casos hay que correlacionar logs, limpiar persistencia y documentar medidas.
La gestión segura de claves y secretos también depende de reducir la superficie de ataque de WordPress. Mantén el núcleo, los plugins y los temas actualizados tras probar los cambios en staging, elimina extensiones y temas sin uso y descarga componentes solo desde fuentes fiables. Asigna a cada persona el rol mínimo necesario y elimina cuentas administrativas inactivas, incluidas las creadas temporalmente por proveedores. Para la seguridad de la base de datos, usa una cuenta con los privilegios imprescindibles para WordPress, evita reutilizar su contraseña en otros servicios y restringe, cuando el hosting lo admita, las conexiones al origen autorizado.
Estas medidas no reemplazan la rotación de credenciales filtradas, pero reducen las vías para obtenerlas o aprovecharlas.
Preguntas y respuestas
¿Debo cambiar los SALTs de WordPress si cambio mi contraseña?
No siempre, pero hazlo si la contraseña pudo filtrarse o la cuenta fue usada por otra persona.
¿Cambiar los SALTs borra usuarios o pedidos?
No, solo invalida cookies y obliga a volver a iniciar sesión.
¿Cada cuánto debo rotar las claves de WordPress?
Revisa accesos cada 90 a 180 días y rota ante exposición o cambio de control.
¿Puedo guardar wp-config.php en git?
No si contiene credenciales reales: exclúyelo con .gitignore y usa una plantilla sin secretos.
¿Qué hago si wp-config.php aparece en una copia accesible?
Retira el acceso, conserva evidencias y revoca todas las credenciales contenidas en el archivo.
¿Los SALTs sustituyen el doble factor?
No, MFA protege el inicio de sesión aunque una contraseña sea robada.
¿Qué compruebo después de rotar las claves?
Comprueba inicio de sesión, compra, formularios, correo, cron, APIs y errores 500.
- Los SALTs invalidan sesiones, pero no corrigen por sí solos una intrusión.
- Una exposición de wp-config.php obliga a revocar todas las credenciales que contenga.
- Guardar secretos fuera de Git, tickets y capturas reduce el riesgo antes de que ocurra un incidente.
- Las pruebas posteriores y una ventana de mantenimiento evitan que la rotación afecte al negocio.
Anuncio
Para saber más
Si deseas profundizar, aquí tienes algunos recursos de interés:
- Genera claves secretas para wp-config en WordPress — webempresa.com
- Claves secretas de WordPress — ayudawp.com
- https://www.cloudflare.com/es-es/learning/security... — cloudflare.com
Josu Barrios
Somos especialistas en mantenimiento WordPress para empresas, profesionales y tiendas online. Contamos con experiencia en seguridad web, optimización de rendimiento, actualizaciones, copias de seguridad y resolución de incidencias técnicas, ayudando a que cada sitio funcione de forma rápida, estable y protegida. Nuestro enfoque combina soporte técnico profesional, buenas prácticas de seguridad y seguimiento continuo para ofrecer un servicio fiable, transparente y orientado a resultados reales.