Respuesta breve: antes de forzar la entrada, determina qué tipo de bloqueo es. Una contraseña olvidada, un bloqueo de un plugin de seguridad, un login roto y un atacante que cambió tus credenciales se parecen desde la pantalla de acceso, pero requieren respuestas muy distintas.
Clasifícalo primero
- Credencial: la contraseña es incorrecta o el correo de restablecimiento no llega.
- Bloqueado: un plugin de seguridad o un firewall rechaza tu IP tras varios intentos.
- Roto: la página de acceso da error, entra en bucle o informa de un problema de cookies.
- Compromiso: tu cuenta ha desaparecido, cambió de rol o existen administradores desconocidos.
Recupera la contraseña cuando el correo falla
Prueba primero el restablecimiento estándar. Si no llega, la web probablemente no puede enviar emails. Usa primero el restablecimiento estándar. Si el correo no funciona pero controlas el hosting, WP-CLI es la vía preferente: wp user reset-password USUARIO o wp user update USUARIO --user_pass=NUEVA. Editar directamente la base de datos debe quedar como último recurso documentado y después de una copia. Ambos exigen propiedad verificada de la cuenta de hosting.
Retira un bloqueo de un plugin de seguridad
Un bloqueo tras varios intentos fallidos es el plugin haciendo su trabajo. En lugar de borrarlo, desactívalo temporalmente renombrando su carpeta en /wp-content/plugins por SFTP, entra y luego reactívalo añadiendo tu IP a su lista de permitidos. Algunos plugins guardan además el bloqueo en la base de datos, que el renombrado limpia al recargar.
Cuando la propia página de acceso da error
Una página de acceso con un error crítico o un bucle de redirección normalmente no es un problema de autenticación. Revisa /wp-content/debug.log: suele ser un error fatal de un plugin o el tema, o un desajuste de URL/HTTPS que provoca el bucle. Corrige ese fallo de fondo y el acceso vuelve.
Cuando es un compromiso, preserva primero
Un administrador desconocido, un correo de administración cambiado o un correo de restablecimiento que llega a una dirección que no reconoces es un incidente de seguridad, no un problema de acceso. No borres la cuenta sospechosa primero: regístrala, copia el estado y trata la recuperación como un paso dentro de una limpieza más amplia, porque una puerta trasera la recreará. Sea cual sea la vía, no dejes un administrador permanente con contraseña compartida ni un plugin de seguridad desactivado: rota credenciales y restablece la protección antes de terminar.
CRITERIO DE INCIDENTE WP REPAIR
Secuencia de intervención segura
El bloqueo del administrador es un síntoma compartido por contraseña, seguridad, rutas rotas y compromiso. Verificar la propiedad va antes de crear o cambiar cuentas privilegiadas.
- Clasifica el fallo: credenciales, bloqueo IP, ruta de login rota o cuenta cambiada.
- Usa primero el restablecimiento estándar y verifica la entrega de correo.
- Con propiedad del hosting confirmada, prefiere restablecer por WP-CLI a editar la base.
- Si usuarios o correos cambiaron sin explicación, conserva logs y trátalo como incidente de seguridad.
Qué debe quedar verificado
- La cuenta legítima puede entrar y restablecer su contraseña.
- No quedan administradores ni cambios de rol inesperados.
- Las protecciones se han restaurado y las sesiones activas se invalidan de forma intencionada.
Fuentes técnicas oficiales
Esta guía explica el diagnóstico. Si la web está afectada ahora, la intervención debe preservar una vía de vuelta y verificar el recorrido real del negocio.
Ver el servicio de reparación urgente →