Generador de salts de WordPress
Genera las ocho claves de autenticación y salts de WordPress (de AUTH_KEY a NONCE_SALT) con el generador criptográfico de números aleatorios de tu navegador. Cópialas como líneas de wp-config.php, archivo .env, variables de Docker o JSON, o pega tu wp-config.php para sustituirlas automáticamente.
Última actualización:
Copiar las claves una por una
| Constante | Valor | Copiar |
|---|
Actualizar un wp-config.php existente
Pega el contenido de tu wp-config.php. La herramienta sustituye las ocho líneas de claves y salts por los nuevos valores (y añade las que falten) sin tocar nada más. El archivo nunca sale de tu navegador.
Cómo usar Generador de salts de WordPress
- Elige el formato de salida: wp-config.php para una instalación normal, .env para proyectos tipo Bedrock o variables de Docker para la imagen oficial de WordPress.
- Mantén los caracteres y la longitud predeterminados (92 símbolos, 64 caracteres) salvo que tu herramienta de despliegue tenga problemas con los espacios o los signos $; en ese caso elige el conjunto seguro para la shell.
- Pulsa Generar nuevos salts y luego Copiar todo o Descargar.
- Sustituye el bloque antiguo en wp-config.php (las líneas que empiezan con define( 'AUTH_KEY' … hasta NONCE_SALT), o pega el archivo completo en Actualizar un wp-config.php existente y descarga la copia actualizada.
- Sube el archivo a tu servidor. Todos los usuarios, incluido tú, cierran sesión y solo tienen que volver a iniciarla.
Las ocho claves de WordPress y qué protegen
| Clave | Salt correspondiente | Se usa para |
|---|---|---|
| AUTH_KEY | AUTH_SALT | La cookie de autenticación del área de administración por HTTP simple |
| SECURE_AUTH_KEY | SECURE_AUTH_SALT | La cookie de autenticación que solo se envía por HTTPS |
| LOGGED_IN_KEY | LOGGED_IN_SALT | La cookie de sesión iniciada que te identifica como conectado en la parte pública |
| NONCE_KEY | NONCE_SALT | Nonces: tokens de corta duración que protegen formularios y enlaces contra solicitudes falsificadas |
WordPress combina cada clave con su salt (key . salt) y usa el resultado como secreto para un HMAC de los datos de la cookie o del nonce. Si falta una constante o sigue diciendo put your unique phrase here, WordPress recurre a valores aleatorios guardados en la base de datos, lo que funciona pero es más débil si se filtra la base de datos.
Dónde van las claves
- Instalación clásica: abre
wp-config.phpen la raíz del sitio y sustituye el bloque entreAuthentication unique keys and saltsy/**#@-*/. - Configuraciones con Bedrock y Dotenv: pon las líneas en
.env; el archivo de configuración las lee conenv('AUTH_KEY'). - Imagen oficial de WordPress para Docker: define desde
WORDPRESS_AUTH_KEYhastaWORDPRESS_NONCE_SALTen el entorno del contenedor y la imagen las escribe en wp-config.php. - Mantén wp-config.php fuera de los repositorios Git públicos y nunca reutilices los mismos salts en varios sitios.
¿Qué tan fuertes son las claves?
Entropía por clave = longitud × log2(número de símbolos). Con los valores predeterminados son 64 × log2(92) ≈ 418 bits. El conjunto seguro para la shell (88 símbolos) da unos 413 bits y solo letras y dígitos (62 símbolos) unos 381 bits con 64 caracteres. Todos están muy por encima de cualquier ataque de fuerza bruta; la longitud importa mucho más que el conjunto de símbolos.
Preguntas frecuentes
¿Qué son los salts y las claves de seguridad de WordPress?
Son ocho cadenas aleatorias secretas definidas en wp-config.php. WordPress las mezcla en los hashes que firman las cookies de inicio de sesión y los nonces, de modo que una cookie no se puede falsificar ni reutilizar sin conocer las claves. Cuatro se llaman claves (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY) y cuatro son salts (AUTH_SALT, SECURE_AUTH_SALT, LOGGED_IN_SALT, NONCE_SALT).
¿Qué pasa cuando cambio los salts?
Todas las cookies de inicio de sesión existentes dejan de ser válidas, así que todos los usuarios cierran sesión y deben volver a iniciarla. Las entradas, los ajustes, las contraseñas y la base de datos no se ven afectados. Por eso cambiar los salts es un primer paso rápido tras una sospecha de intrusión.
¿Estas claves son tan seguras como las del generador oficial de WordPress?
Sí. Usan los mismos 92 caracteres y la misma longitud predeterminada de 64, lo que da unos 418 bits de aleatoriedad por clave, y provienen de crypto.getRandomValues, el generador aleatorio criptográficamente seguro del navegador. Se descartan los bytes que sesgarían el resultado.
¿Las claves pueden contener espacios y símbolos?
Sí, y WordPress los maneja sin problema dentro de las comillas simples de define(). El conjunto predeterminado nunca contiene comillas simples ni barras invertidas, así que no hay que escapar nada. Si un script de despliegue o un analizador de .env tiene problemas con los espacios, $, # o las comillas invertidas, elige el conjunto seguro para la shell.
¿Cada cuánto debo rotar los salts de WordPress?
No hay una regla fija. Cámbialos tras un hackeo o una limpieza de malware, cuando se vaya alguien con acceso al servidor, si wp-config.php puede haberse filtrado, o como parte del mantenimiento habitual si no te importa cerrar la sesión de todos.
¿Puedo cambiar los salts con WP-CLI?
Sí. En un servidor con WP-CLI, el comando wp config shuffle-salts escribe nuevos valores en wp-config.php. Esta página es útil cuando editas el archivo a mano, usas variables de entorno o no tienes acceso a la shell.
¿Se guardan en algún sitio los salts generados?
No. Se crean en tu navegador y nunca se envían ni se almacenan. Solo se recuerdan en este dispositivo tus elecciones de formato y de caracteres. Un wp-config.php pegado también se procesa solo en la página.
¿Se prueban todas las herramientas de FreeToolCabin para comprobar su calidad y precisión?
Sí. Cada herramienta del sitio pasa pruebas automáticas en navegadores reales para comprobar que el resultado es correcto y que no hay errores. Si encuentras un fallo o tienes una sugerencia, escríbenos a [email protected] y lo revisaremos.