Generador de Hash de Contraseñas de WordPress

Un generador de hash de contraseñas de WordPress convierte una contraseña en texto plano al formato con hash que almacena WordPress. WordPress nunca guarda contraseñas en texto plano, por lo que una contraseña sin procesar pegada en la base de datos no funcionará. Esta herramienta produce un hash válido que supera la función wp_check_password().

El generador es especialmente útil cuando has perdido el acceso y la recuperación por correo electrónico no está disponible. Creas el hash aquí y después lo pegas en la columna user_pass mediante phpMyAdmin o WP-CLI. Este generador de hash de contraseñas de WordPress es compatible con todas las versiones de WordPress, incluido el cambio a bcrypt introducido en la versión 6.8.

Usar este generador de hash de contraseñas de WordPress lleva menos de un minuto y no requiere ningún plugin. Solo necesitas acceso a la base de datos mediante phpMyAdmin, Adminer o WP-CLI. Sigue los pasos siguientes para restablecer una contraseña directamente.

El siguiente inicio de sesión con la contraseña elegida funcionará inmediatamente. WordPress también actualizará automáticamente el hash almacenado en ese primer inicio de sesión correcto. Ejecuta este proceso únicamente en sitios que poseas o administres.

WordPress 6.8 cambió la forma de generar hashes de contraseñas por primera vez en años. El antiguo sistema portátil phpass fue sustituido por bcrypt, un algoritmo mucho más seguro. Esto refuerza todas las cuentas frente a ataques de fuerza bruta al hacer que cada hash sea más costoso de descifrar.

El nuevo hash predeterminado lleva el prefijo $wp$2y$, que indica una construcción especial. WordPress aplica primero un hash SHA-384 a la contraseña antes de usar bcrypt, porque bcrypt ignora cualquier dato después de 72 bytes. El marcador adicional $wp diferencia estos hashes de los hashes bcrypt simples creados por plugins. Este generador de hash de contraseñas de WordPress produce la salida $wp$2y$ correcta para la versión 6.8 y posteriores.

Millones de sitios todavía ejecutan versiones de WordPress anteriores a la 6.8. Esas instalaciones esperan un hash phpass portátil, que siempre empieza con el prefijo $P$. Un hash como $P$HDXCHroge2B4dB55GPnGI0OytnTvap/ es un ejemplo típico de phpass.

El formato phpass utiliza muchas rondas de MD5 con salt, algo razonable para su época. Es más débil que bcrypt, pero sigue siendo válido en cualquier sitio anterior a la versión 6.8. Este generador de hash de WordPress todavía produce hashes $P$ para esas instalaciones antiguas. WordPress actualizará silenciosamente un hash phpass a bcrypt la próxima vez que ese usuario inicie sesión en WordPress 6.8.

Elegir el formato correcto depende por completo de tu versión de WordPress. Usar el incorrecto no romperá el sitio, porque WordPress acepta varios formatos heredados. Hacerlo coincidir con la versión simplemente garantiza que el hash almacenado tenga la máxima seguridad desde el principio.

La tabla siguiente relaciona cada versión de WordPress con su formato de hash esperado. Comprueba tu versión en el pie del panel de administración o en el archivo wp-includes/version.php. En caso de duda, un hash phpass $P$ funciona en todas partes, ya que cualquier versión moderna todavía puede validarlo.

Restablecerla desde la base de datos es el método estándar de recuperación cuando se ha perdido el acceso de administrador. Primero, genera el hash de tu nueva contraseña con esta herramienta. Conserva ese hash en el portapapeles para el siguiente paso.

Abre phpMyAdmin desde el panel de tu alojamiento y selecciona la base de datos de tu sitio. Busca la tabla wp_users, localiza la fila de tu usuario y edita el campo user_pass. Sustituye su contenido por el hash generado y guarda la fila. Inicia sesión con la nueva contraseña y WordPress se encargará del resto.

Los desarrolladores con acceso al shell pueden omitir phpMyAdmin por completo. La herramienta WP-CLI actualiza una contraseña con un solo comando y genera su hash automáticamente. Ejecutar el comando siguiente establece la contraseña correctamente.

wp user update admin --user_pass=NewPass

WP-CLI aplica el formato de hash correcto para tu versión de WordPress sin pasos manuales. Este generador de hash de WordPress sigue siendo útil cuando no tienes acceso al shell o quieres inspeccionar el hash sin procesar. Ambos métodos llegan al mismo resultado, así que elige el que mejor se adapte a tu entorno.

Sí. Cada hash se genera localmente en tu navegador mediante JavaScript. Tus contraseñas nunca se suben, registran ni almacenan en ningún servidor externo. Esto hace que la herramienta sea segura incluso para credenciales reales de producción.

Cada generación también utiliza un nuevo salt aleatorio, por lo que la misma contraseña produce un hash diferente cada vez. Ese comportamiento es normal y no afecta al inicio de sesión, porque el salt está integrado en el hash. Para crear una contraseña segura antes de generar el hash, usa nuestro Generador de Contraseñas. Para hashes bcrypt simples fuera de WordPress, la herramienta adecuada es Generador y Verificador de Bcrypt.