¡Hola y hola querido lector! Ya estoy un día más por aquí y, en esta ocasión, vengo a hablarte de cómo cambiar la URL de acceso a WordPress, más conocida como wp-admin.
Y tú te preguntarás: ¿y para qué quiero yo esto? Pues porque si dejas la URL de acceso por defecto, cualquier bot sabe dónde probar contraseñas. Cambiarla es un paso sencillo que quita de en medio la mayoría de esos intentos automáticos.
En este post te explico por qué merece la pena, cómo hacerlo paso a paso y resuelvo las dudas más habituales. ¡Al lío!
Resumen rápido
- Las URLs
/wp-adminy/wp-login.phplas conoce todo el mundo, bots incluidos. - Cambiarla reduce los ataques de fuerza bruta automáticos y la carga del servidor.
- La forma recomendada es con un plugin como WPS Hide Login o Perfmatters.
- No te hace invulnerable: combínalo con doble factor, contraseñas fuertes y límite de intentos.
Por qué es importante cambiar la URL de login en WordPress
La URL de acceso predeterminada es tudominio.com/wp-login.php o tudominio.com/wp-admin. Estas direcciones las conocen todos, incluidos los ciberdelincuentes, que lanzan bots para intentar adivinar usuario y contraseña mediante ataques de fuerza bruta.
Al cambiarla por una URL personalizada conseguirás:
- Reducir la exposición a intentos masivos y automatizados de fuerza bruta.
- Disuadir a los bots, que no encuentran tu página de acceso y pasan a la siguiente web.
- Menos carga en el servidor, que deja de procesar miles de peticiones inútiles.
- Registros más limpios, donde es más fácil detectar lo que sí es sospechoso.
PD. Conviene tenerlo claro desde el principio: esto es seguridad por ocultación. Frena a los bots genéricos, que son la inmensa mayoría, pero no a alguien que vaya a por tu web en concreto. Es una capa más, no la solución completa.
Diseño tu página web en WordPress rápida y optimizada para SEO. Tu web pensada para convertir visitas en clientes
- Diseño web 100% personalizado. Nada de IA. 100% artesanal.
- Web rápida y lista para posicionar en Google.
- Diseño tu web en menos de 21 días. Firmado por contrato.
- Comunicación directa conmigo. Sin intermediarios.
Cómo cambiar la URL de acceso en WordPress
| Método | Dificultad | Valoración |
|---|---|---|
| WPS Hide Login | Muy baja | Gratuito, ligero y la opción más sencilla |
| Perfmatters | Muy baja | Lo que uso yo, si ya lo tienes instalado |
| Plugin de seguridad con esta función | Baja | Buena opción si ya utilizas uno |
| Código a mano | Alta | No recomendable (te explico por qué más abajo) |
Con Perfmatters
En mi caso suelo utilizar Perfmatters, que incluye esta función junto con muchas otras de optimización. Si ya lo tienes instalado, no necesitas ningún plugin adicional: la opción está en su apartado de acceso.
Con WPS Hide Login (gratuito)
Si buscas un plugin gratuito que haga solo esto, el mejor es WPS Hide Login. Para configurarlo:
- Haz una copia de seguridad antes de empezar.
- Instala y activa el plugin WPS Hide Login.
- Ve a Ajustes > Generales y baja hasta su apartado.
- Establece tu nueva URL, por ejemplo
/acceso-muy-seguro/. - Guarda los cambios y apunta la nueva URL en tu gestor de contraseñas.
- Prueba a entrar en una ventana privada antes de cerrar tu sesión actual.
El propio plugin gestiona las rutas internamente y hace que las direcciones antiguas devuelvan un 404, así que los bots no encuentran nada. Además, es muy ligero y no afecta a la optimización de tu WordPress.
¿Y mediante código?
Se puede hacer añadiendo código al functions.php, pero no te lo recomiendo, por tres motivos:
- Es fácil quedarte fuera: si el código redirige el acceso a una ruta que no muestra el formulario de login, no podrás entrar.
- No cubre todos los casos que sí gestionan los plugins: recuperación de contraseña, cierre de sesión o accesos desde otras rutas.
- Si lo pones en el tema principal, se pierde al actualizarlo.
Un plugin como WPS Hide Login hace lo mismo sin estos riesgos, así que es la opción que recomiendo incluso a usuarios avanzados.
Qué ruta elegir
- Algo que no sea obvio: evita
/admin,/logino/acceso. - Sin datos personales ni el nombre de tu empresa.
- Guardada en un gestor de contraseñas, para no depender de la memoria.
Diseño tu página web en WordPress rápida y optimizada para SEO. Tu web pensada para convertir visitas en clientes
- Diseño web 100% personalizado. Nada de IA. 100% artesanal.
- Web rápida y lista para posicionar en Google.
- Diseño tu web en menos de 21 días. Firmado por contrato.
- Comunicación directa conmigo. Sin intermediarios.
Precauciones antes de cambiarla
- Excluye la nueva URL de la caché: si tu plugin de caché o tu CDN la guardan, puedes tener problemas para entrar.
- Avisa a quien gestione la web contigo.
- No uses dos plugins que hagan lo mismo a la vez.
- Si es posible, pruébalo antes en un entorno de pruebas.
Otras medidas para proteger tu WordPress
Cambiar la URL no basta por sí solo. Estas son las medidas que de verdad protegen tu acceso:
| Medida | Qué aporta |
|---|---|
| Contraseñas fuertes y únicas | La base de todo |
| Autenticación en dos pasos (2FA) | Aunque roben la contraseña, no pueden entrar |
| Límite de intentos de acceso | Bloquea las IP que fallan repetidamente |
| Core, plugins y temas actualizados | La mayoría de hackeos entran por software desactualizado |
| Plugin de seguridad o cortafuegos | Bloquea IP maliciosas y filtra solicitudes sospechosas |
| Desactivar el registro de usuarios si no lo necesitas | Cierra una vía de entrada innecesaria |
| Desactivar XML-RPC si no lo usas | Otra vía habitual de ataques de fuerza bruta |
| Evitar el usuario «admin» | Obliga a adivinar también el usuario |
Te cuento cómo elegir plugin en el mejor antivirus para WordPress, y si ya te han entrado, tienes cómo actuar en WordPress hackeado.
Diseño tu página web en WordPress rápida y optimizada para SEO. Tu web pensada para convertir visitas en clientes
- Diseño web 100% personalizado. Nada de IA. 100% artesanal.
- Web rápida y lista para posicionar en Google.
- Diseño tu web en menos de 21 días. Firmado por contrato.
- Comunicación directa conmigo. Sin intermediarios.
Conclusiones
Cambiar la URL de acceso a WordPress es un método simple y efectivo para quitarte de encima la mayoría de ataques automáticos: una barrera invisible para muchos bots, y muy sencilla de montar con un plugin.
Eso sí, ninguna medida por sí sola te deja 100% protegido. Combínala con autenticación en dos pasos, contraseñas fuertes, actualizaciones, un buen mantenimiento y copias de seguridad periódicas.
Si prefieres que me encargue de la seguridad de tu web, puedo hacerlo en mi servicio de mantenimiento web WordPress. Y si necesitas una web bien protegida desde el primer día, te ayudo con mi servicio de diseño web WordPress.
Ahora te toca a ti, querido lector. ¿Sigues con la URL de acceso por defecto? ¡Cuéntamelo en los comentarios!
Preguntas frecuentes sobre el login de WordPress
¿Es seguro cambiar la URL de wp-admin?
Sí. Hecho con un plugin fiable, no tiene inconvenientes para el funcionamiento de la web y reduce los intentos de acceso automatizados.
¿Necesito conocimientos técnicos para cambiar el login de WordPress?
No, si utilizas un plugin como WPS Hide Login o Perfmatters: basta con instalarlo e indicar la nueva ruta. Hacerlo mediante código sí requiere experiencia y tiene más riesgo de dejarte sin acceso.
¿Qué pasa si olvido la nueva URL de acceso?
Puedes recuperar el acceso entrando por FTP o por el gestor de archivos del hosting y cambiando el nombre de la carpeta del plugin dentro de /wp-content/plugins/. WordPress lo desactivará y podrás entrar por la dirección habitual.
¿Puedo volver a la URL original después de cambiarla?
Sí. Basta con desactivar el plugin o dejar vacío el campo de la ruta personalizada en sus ajustes.
¿Cambiar la URL de wp-admin evita los hackeos?
Reduce los ataques automáticos, pero no elimina el riesgo. La mayoría de hackeos entran por plugins o temas desactualizados, así que debe combinarse con otras medidas de seguridad.
¿Qué es un ataque de fuerza bruta?
Consiste en probar automáticamente miles de combinaciones de usuario y contraseña. Si la URL de acceso no es la predeterminada, los bots no encuentran dónde atacar y suelen pasar a otra web.
¿Necesito un firewall además de cambiar la URL?
Es recomendable. Un cortafuegos bloquea IP maliciosas y filtra solicitudes sospechosas, y es una medida complementaria a cambiar la URL de acceso.
¿Puede causar conflictos con otros plugins?
Normalmente no. Los problemas más habituales vienen de sistemas de caché que guardan la página de acceso o de plugins que necesitan acceder directamente a wp-login.php.
¿Afecta al SEO cambiar la URL de acceso?
No. La página de acceso no se indexa ni tiene relación con el posicionamiento.
¿Conviene cambiar la URL de acceso con frecuencia?
No hace falta si se mantiene en privado. Solo tiene sentido cambiarla si sospechas que se ha filtrado o detectas intentos de acceso en la nueva ruta.
