---
title: "La seguridad diaria de tu sitio"
description: "La seguridad diaria de tu sitio Éclair: contraseña sólida, verificación en dos pasos, roles, sesiones, copia de seguridad y una rutina mensual."
url: "https://eclair.academy/es/rutas/intermedio/seguridad-diaria"
lang: "es"
author: "Thierry Gustin"
published: "2026-11-02"
updated: "2026-11-02"
---

# La seguridad diaria de tu sitio

> **Lo esencial** — Éclair está protegido por defecto, pero la seguridad diaria depende de unos pocos gestos. Elige una contraseña de al menos 10 caracteres, activa la verificación en dos pasos y guarda sus 8 códigos de recuperación, da una cuenta de redactor a las personas que escriben y pasa cada mes por la página Seguridad para la copia de seguridad, el control de integridad y el registro.

Éclair está pensado para un entorno hostil, pero la seguridad diaria también depende de ti: una buena contraseña, la verificación en dos pasos, cuentas adaptadas a cada persona y una visita regular a la página **Seguridad**. Esta lección te guía paso a paso y te propone una rutina mensual de 30 minutos, la de Atelier Nova y sus dos formadoras.

> **Antes de empezar** — Duración: 30 minutos y, después, 30 minutos al mes. Requisitos previos: una cuenta de administrador ([familiarizarte con el panel](https://eclair.academy/es/rutas/principiante/administracion)), un móvil con una aplicación de autenticación y un sitio en HTTPS ([los ajustes esenciales](https://eclair.academy/es/rutas/principiante/ajustes-esenciales)).

## Lo que sabrás hacer

### 🔒 Blindar tu cuenta

Contraseña sólida y verificación en dos pasos con códigos de recuperación.

### 👥 Dar los permisos adecuados

Administradores, redactores, contraseñas provisionales y sesiones.

### 🛡 Vigilar tu sitio

Control de integridad, prueba de protección, registro y copia de seguridad.

## Una contraseña sólida

Éclair cifra las contraseñas con Argon2id, un algoritmo diseñado para que los ataques de fuerza bruta salgan caros, y rechaza las que son demasiado débiles:

- menos de 10 caracteres;
- una contraseña habitual, como «password123»;
- menos de 5 caracteres distintos;
- una contraseña que contenga tu nombre, tu correo electrónico o el nombre del sitio.

El consejo que aparece debajo del campo es el bueno: «una frase de 4 palabras es segura y fácil de recordar», con palabras sin relación entre sí. Mejor aún, usa un gestor de contraseñas, un gran aliado de tu seguridad diaria. Para cambiar tu contraseña, abre **Mi perfil**, sección **Contraseña**, escribe la **Contraseña actual** y después la **Nueva contraseña**, y haz clic en **Cambiar la contraseña**: tus otros dispositivos se desconectan.

Frente a los robots, cada red tiene derecho a 10 intentos por cuarto de hora, y cada cuenta a 30 por hora. Tu dispositivo habitual tiene su propio contador: un atacante que falla a propósito no puede bloquearte.

## ¿Cómo activar la verificación en dos pasos?

1. Abre **Mi perfil**, sección **Verificación en dos pasos (2FA)**, y haz clic en **Activar la verificación en dos pasos**.
2. Abre tu aplicación de autenticación (Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden…) y escanea el código QR, o introduce a mano la clave que se muestra.
3. Introduce el código de 6 cifras que muestra la aplicación y haz clic en **Confirmar y activar**.
4. Anota los **8 códigos de recuperación**: solo se muestran una vez. Haz clic en **Copiar los códigos** y guárdalos en tu gestor de contraseñas, o imprímelos.

A partir de entonces, en cada inicio de sesión Éclair te pide ese código de 6 cifras, que se renueva cada 30 segundos. Si el código se rechaza al activarla, comprueba la hora de tu móvil: basta un desfase para que no sea válido.

¿Has perdido el móvil? Introduce uno de tus códigos de recuperación, con el formato abcde-12345, en lugar del código: cada uno solo sirve una vez. **Mi perfil** muestra los códigos de recuperación que te quedan, y el botón **Nuevos códigos de recuperación** genera una serie nueva. Tras 10 códigos erróneos, la verificación en dos pasos de la cuenta se bloquea 15 minutos y se avisa a su titular por correo electrónico.

![Mi perfil, sección Verificación en dos pasos: activación con código QR y códigos de recuperación](https://eclair.academy/media/2026/11/eclair-academy-profile-2fa-es.webp)
*La verificación en dos pasos se configura en Mi perfil*

## Administradores y redactores: a cada uno sus permisos

En la seguridad diaria, cada persona solo debe tener los permisos que necesita para su trabajo.

| Rol | Lo que puede hacer |
| --- | --- |
| Administrador | Todo: ajustes, usuarios, página Seguridad y todo lo que hace un redactor |
| Redactor | Escribir y publicar en Contenidos, gestionar Medios, Categorías, Menús, Mensajes y Redirecciones; usar el asistente IA si está marcada la opción «Los redactores pueden usar el asistente» |

Para invitar a una formadora de Atelier Nova:

1. Abre **Usuarios** y, después, el formulario **Invitar a alguien**.
2. Escribe su **Nombre** y su **Correo electrónico**, deja el **Rol** en «Redactor» y haz clic en **Crear la cuenta**.
3. Éclair genera una contraseña provisional segura, en cuatro grupos de 4 caracteres: compártela de viva voz o por un canal seguro.
4. En su primer inicio de sesión, ella tendrá que sustituirla por su propia contraseña antes de acceder al resto del panel.

La lista **Usuarios** muestra, para cada cuenta, su rol, el estado de su verificación en dos pasos (**Activada** o **No**) y su **Último acceso**. La ficha de una cuenta permite **Restablecer la contraseña**, **Desactivar la 2FA** si la persona ha perdido el móvil, o **Eliminar la cuenta**: sus contenidos siguen publicados.

![La lista de usuarios con su rol, el estado de la verificación en dos pasos y el último acceso](https://eclair.academy/media/2026/11/eclair-academy-users-es.webp)
*Basta un vistazo para detectar una cuenta sin 2FA*

## Sesiones y acciones sensibles

- Una sesión se cierra tras un periodo de inactividad, 240 minutos por defecto, que puedes ajustar de 15 a 1440 minutos en **Ajustes › Avanzado**. Nunca dura más de 48 horas y queda vinculada a tu navegador.
- **Cerrar sesión en mis otros dispositivos**, en **Mi perfil**, cierra tus sesiones abiertas en otros lugares. **Cerrar la sesión de todos**, en **Seguridad › Sesiones y bloqueos**, cierra todas las sesiones del sitio salvo la tuya.
- Para las acciones sensibles (copia de seguridad, gestión de cuentas, ajustes avanzados, cambio de correo electrónico), el campo **Confirma con tu contraseña** aparece si iniciaste sesión hace más de 15 minutos.

## La página Seguridad, bloque a bloque

| Bloque | Lo que hace | Lo que haces tú |
| --- | --- | --- |
| Nivel de protección | Nota sobre 7 puntos: HTTPS obligatorio, dirección verificada, 2FA para todos los administradores, dirección del panel personalizada, PHP 8.2 o superior, Argon2id, HSTS | Apuntar al 100 % |
| Prueba de protección de carpetas | Tu navegador intenta abrir archivos internos, como data/site.php | Todo debe seguir inaccesible |
| Integridad de los archivos | Compara cada archivo con su huella original y busca archivos sospechosos | **Analizar ahora** y leer los archivos modificados, que faltan, desconocidos o sospechosos |
| Copia de seguridad | Archivo ZIP de data/ y media/ | **Descargar una copia de seguridad** y guardarla fuera del servidor |
| Sesiones y bloqueos | Direcciones bloqueadas tras demasiados fallos | **Desbloquear** una dirección, **Cerrar la sesión de todos** |
| Registro de seguridad | Inicios de sesión, fallos, 2FA, cuentas, copias de seguridad | Detectar lo que se sale de lo normal |

![La página Seguridad: nivel de protección, prueba de carpetas, integridad de los archivos y copia de seguridad](https://eclair.academy/media/2026/11/eclair-academy-security-es.webp)
*La página Seguridad, tu panel de protección*

Mientras la dirección del sitio no esté verificada, aparece un botón **Verificar la dirección del sitio**, y Éclair no redirige a nadie a esa dirección. Si la verificación falla, tu servidor no consigue llamarse a sí mismo (cortafuegos del proveedor de hosting, dominio aún sin propagar): el sitio funciona; vuelve a intentarlo más tarde.

Dos lecturas del control de integridad que conviene conocer: las plantillas que has personalizado aparecen como modificadas, y es normal; los archivos antiguos que quedan tras una actualización aparecen como desconocidos, de ahí la indicación de borrar `app/` y `assets/` antes de subir una nueva versión. En cuanto a la copia de seguridad, excluye las claves de API del asistente, el historial de conversaciones y las sesiones: después de una restauración, vuelve a introducir tus claves.

## La seguridad diaria en 30 minutos al mes

| Paso | Dónde | Duración |
| --- | --- | --- |
| Descargar una copia de seguridad y guardarla fuera del servidor | Seguridad › Copia de seguridad | 5 min |
| Lanzar el control de integridad | Seguridad › Integridad de los archivos | 5 min |
| Leer el registro de seguridad | Seguridad › Registro de seguridad | 5 min |
| Revisar las cuentas: 2FA, último acceso, bajas | Usuarios | 5 min |
| Cortar los accesos MCP que ya no se usan | Ajustes › Asistente IA | 2 min |
| Comprobar el nivel de protección y las nuevas versiones | Seguridad, y el [repositorio de Éclair en GitHub](https://github.com/Jacckisback/eclair-cms) | 8 min |

Atelier Nova ha anotado esta cita en su agenda el primer lunes de cada mes. Y el día en que una formadora deja el taller, su cuenta se elimina ese mismo día, sin esperar a la cita siguiente.

## Para recordar

- Una contraseña de 10 caracteres como mínimo, idealmente una frase de 4 palabras, y la 2FA activada.
- Guarda tus 8 códigos de recuperación en un lugar distinto de tu móvil.
- Da el rol Redactor a quien escribe, y Administrador solo a quien gestiona el sitio.
- Elimina la cuenta de una persona que se va, y cierra la sesión de los dispositivos que hayas perdido.
- Tu seguridad diaria cabe en una rutina mensual: copia de seguridad, integridad, registro y cuentas.

## Para saber más

- [Seguridad avanzada y mantenimiento](https://eclair.academy/es/rutas/experto/seguridad-avanzada): actualizaciones, copias de seguridad externas, HSTS, recuperación.
- [Entender el conector MCP](https://eclair.academy/es/rutas/ia-mcp/entender-mcp): cortar el acceso de una aplicación y proteger tu cuenta.
- [Solución de problemas](https://eclair.academy/es/documentacion/solucion-de-problemas): recuperar el acceso con el archivo data/reset.php.
- Fuentes: la norma [RFC 6238](https://datatracker.ietf.org/doc/html/rfc6238) de los códigos de un solo uso y la norma [RFC 9106](https://datatracker.ietf.org/doc/html/rfc9106), que describe Argon2.

## Preguntas frecuentes

### He perdido el móvil: ¿cómo vuelvo a iniciar sesión?

Introduce uno de tus códigos de recuperación en lugar del código de 6 cifras. Otro administrador también puede desactivar tu 2FA desde **Usuarios**. Sin código ni otro administrador, el procedimiento del archivo data/reset.php, descrito en la solución de problemas, te devuelve el acceso.

### ¿Un redactor puede modificar los ajustes del sitio?

No. Accede a los contenidos, medios, categorías, menús, mensajes y redirecciones, pero no a los ajustes, a los usuarios ni a la página Seguridad.

### ¿Para qué sirve la verificación de la dirección del sitio?

Éclair solo redirige a los visitantes a la dirección oficial, con o sin www, después de comprobar que lleva de verdad a tu sitio. Así, una dirección errónea o trucada no puede desviar a nadie.

### ¿Hay que activar HSTS?

Sí, una vez que HTTPS funcione perfectamente: la opción **HSTS** de Ajustes › Avanzado pide a los navegadores que solo usen HTTPS durante un año. Actívala solo cuando todo tu sitio responda bien en HTTPS, porque los navegadores recuerdan esta elección.