¿Por qué no funciona el inicio de sesión de WordPress? 9 soluciones para recuperar el acceso rápido

Si estás atascado preguntándote ¿Por qué no funciona el inicio de sesión de WordPress?, no estás solo… y normalmente no es algo “aleatorio”. Los fallos de inicio de sesión en WordPress suelen caer en unas pocas categorías predecibles: problemas del navegador/cookies, conflicto de un plugin o del tema, desajuste de SSL/URL, o una capa de seguridad (WAF, firewall, 2FA, limitación de intentos) bloqueando la solicitud.

Lo complicado es que estos problemas pueden verse idénticos desde afuera. Una pantalla de login que se refresca para siempre puede ser cookies o caché. Un “403 Prohibido” repentino puede ser una regla del firewall o Cloudflare. Una pantalla en blanco o un “error 500” puede ser falta de memoria PHP, una actualización rota de un plugin, o archivos corruptos. Incluso los restablecimientos de contraseña pueden fallar simplemente porque tu sitio no está enviando correos de forma confiable.

Esta guía está hecha para que dejes de adivinar. Vamos a diagnosticar ¿Por qué no funciona el inicio de sesión de WordPress? en el orden más seguro: primero comprobaciones rápidas del navegador/dispositivo, luego correcciones a nivel WordPress (plugins/temas), y finalmente causas del servidor/seguridad. Empezarás con una lista de triaje de 60 segundos para identificar tu síntoma exacto, aplicar la solución correspondiente y volver a wp-admin sin empeorar las cosas.

Y si estás completamente bloqueado —especialmente si ¿Por qué no funciona el inicio de sesión de WordPress? ocurre justo después de una actualización, migración o cambio de seguridad— no entres en pánico. Los pasos que vienen incluyen opciones de recuperación que funcionan incluso cuando no puedes iniciar sesión, además de un checklist de prevención para que no te vuelva a pasar.

¿Por qué no funciona el inicio de sesión de WordPress?: Checklist de triaje en 60 segundos

Antes de cambiar nada, tómate un minuto para identificar qué tipo de fallo de inicio de sesión estás enfrentando. Mucha gente pierde horas porque empieza con la solución equivocada. Si puedes identificar el síntoma, normalmente puedes arreglarlo rápido.

1) Identifica el síntoma (elige el que coincide)

• A) La pantalla de login se refresca / entra en bucle y vuelve a wp-login.php
  Normalmente: problemas de cookies/sesión, caché/minificación, desajuste de SSL/URL, Cloudflare o conflicto de plugin.
• B) “403 Prohibido” / “Acceso denegado” en wp-login.php o wp-admin
  Normalmente: regla de firewall/WAF/Cloudflare, bloqueo de plugin de seguridad, ModSecurity del hosting, bloqueo por IP o permisos de archivos.
• C) “500 Error interno del servidor” / pantalla blanca después de enviar el login
  Normalmente: error fatal de plugin/tema, límite de memoria PHP, actualización corrupta o mala configuración del servidor.
• D) “Contraseña incorrecta” aunque estás seguro de que es la correcta
  Normalmente: usuario/email equivocado, autocompletado en caché, protección anti fuerza bruta, o contraseña comprometida/cambiada.
• E) El email de restablecimiento de contraseña nunca llega
  Normalmente: problema de entrega de correo en WordPress (necesita SMTP), o el restablecimiento está siendo bloqueado/filtrado.

2) Primero las soluciones rápidas (arreglan un % sorprendente)

Haz esto en este orden:

1. Abre una ventana incógnita/privada e intenta iniciar sesión de nuevo.
2. Prueba otro navegador (Chrome → Firefox) y desactiva extensiones (bloqueadores de anuncios/gestores de contraseñas).
3. Cambia de red (Wi-Fi → hotspot del móvil) o desactiva VPN/proxy.
4. Si usas Cloudflare o un CDN: paúsalo temporalmente (o excluye de caché /wp-login.php y /wp-admin/*).
5. Si empezó de repente hoy: piensa “¿qué cambió?” (actualización de plugin, actualización de tema, cambio de SSL, migración, nuevas reglas de seguridad).

3) Captura pistas (para no diagnosticar a ciegas)

• Anota el mensaje exacto del error (cópialo y pégalo).
• Fíjate en la URL que estás intentando (por ejemplo: /wp-login.php vs /wp-admin/).
• Si tienes acceso al hosting: busca estas pistas:
  • Logs de error (errores fatales de PHP, memoria agotada, permiso denegado)
  • Logs de seguridad (bloqueos WAF, rate limits, “demasiados intentos de inicio de sesión”)
• Si es un bucle: confirma si tu sitio carga en https:// y http:// (esto suele revelar un desajuste de SSL/URL de inmediato).

Qué hacer después (según lo que encontraste)

• Si viste un bucle → ve primero a la sección Soluciones del navegador + dispositivo.
• Si viste un 403 → ve directo a Servidor + bloqueos de seguridad.
• Si viste 500/pantalla blanca → salta a Conflictos de plugins + tema (y los pasos de “desactivar plugins por FTP”).
• Si es de contraseña/restablecimiento → ve a Problemas de cuenta + contraseña.

Soluciones del navegador + dispositivo (cookies, caché, extensiones, VPN)

Si tu pantalla de login se refresca, entra en bucle y vuelve a wp-login.php, o “acepta” tus credenciales pero nunca te deja realmente iniciar sesión, empieza aquí. Un porcentaje enorme de casos de ¿Por qué no funciona el inicio de sesión de WordPress? se debe a que las cookies de sesión están bloqueadas, sobrescritas o cacheadas incorrectamente.

Borra cookies de la forma correcta (la solución más rápida para bucles)

Haz esto en este orden:

• Usa primero una ventana incógnita/privada (comprobación rápida).
• Si funciona en incógnito, tu navegador normal probablemente tiene un conflicto de cookies/caché.
• Borra datos específicos del sitio (mejor opción):
  • En la configuración del navegador, elimina cookies/caché solo de tu dominio (no borres “todo” a menos que quieras).
• Luego intenta iniciar sesión de nuevo en:
  • https://tudominio.com/wp-login.php

Por qué funciona: WordPress crea cookies de autenticación después del login. Si las cookies viejas (o un redirect cacheado) se siguen reutilizando, te quedas atrapado en un bucle.

Desactiva extensiones que interfieren con el login (culpables comunes)

Desactiva temporalmente (o prueba con un perfil limpio del navegador):

• Bloqueadores de anuncios (uBlock, AdBlock)
• Extensiones de privacidad (Brave shields, bloqueadores de rastreo)
• Gestores de contraseñas/autocompletado (sobre todo si auto-envían)
• Bloqueadores de scripts

Luego vuelve a probar. Si funciona después de desactivar extensiones, actívalas una por una para encontrar el conflicto.

Desactiva VPN/proxy y cambia de red

Esto es especialmente relevante si ves fallos intermitentes o bloqueos relacionados con seguridad:

• Desactiva VPN/proxy
• Cambia a otra red (Wi-Fi → hotspot del móvil)

Algunos hostings y plugins de seguridad tratan rangos de VPN como “alto riesgo” y limitan o bloquean intentos de login.

Confirma que la fecha/hora del dispositivo sea correcta (sí, en serio)

Si la hora/fecha de tu computadora o teléfono está mal, las cookies seguras y las sesiones SSL pueden comportarse de forma extraña.

• Configura fecha/hora en automático
• Reinicia el navegador
• Vuelve a intentarlo

Limpia rutas de login cacheadas (especialmente si usas caché/CDN)

En general, la caché no debería aplicarse a páginas de login. Si tu configuración está cacheando wp-admin o wp-login, puedes ver bucles de redirección o el comportamiento de “me desloguea”.

Comprobaciones rápidas:

• Asegúrate de que /wp-login.php y /wp-admin/ estén excluidos de la caché
• Si usas un plugin de rendimiento, desactiva temporalmente minificación/optimización (combinar/diferir JS/CSS) y vuelve a probar
• Si usas un CDN/WAF (como Cloudflare), confirma que no esté cacheando rutas de admin o aplicando protección agresiva a endpoints de login

¿Por qué no funciona el inicio de sesión de WordPress en móvil? Soluciones rápidas

Los fallos de login en móvil suelen ser por ajustes de cookies/privacidad o reglas de red/seguridad.

Prueba esto:

• Desactiva “Evitar seguimiento entre sitios” / modo estricto de privacidad (temporalmente)
• Desactiva iCloud Private Relay (iOS) u opciones similares de “relay”
• Cambia de datos móviles a Wi-Fi (o viceversa)
• Usa otro navegador móvil (Safari → Chrome / Chrome → Firefox)
• Si usas un gestor de contraseñas, escribe manualmente las credenciales una vez para descartar autocompletado

Siguiente: Si las soluciones del navegador/dispositivo no lo arreglan, lo más probable es un problema a nivel WordPress (desajuste de URL/SSL, plugins, conflictos del tema). La siguiente sección va justo ahí.

Mecánica del login en WordPress (wp-login.php, sesiones, desajustes de URL)

Si las soluciones del navegador no funcionaron, la siguiente razón más común de ¿Por qué no funciona el inicio de sesión de WordPress? es que WordPress intenta autenticarte en una URL (o protocolo) y luego te redirige a otra… así que la cookie de login nunca “se queda”. Esto es especialmente común después de cambios de SSL, cambios de dominio, cambios de CDN/WAF o migraciones.

Desajuste entre “Dirección de WordPress” y “Dirección del sitio” (disparador clásico de bucles)

WordPress se apoya en dos ajustes:

• Dirección de WordPress (URL)
• Dirección del sitio (URL)

Si no coinciden con lo que tu navegador está usando (sobre todo http vs https, o www vs sin www), puedes quedar en un bucle de redirecciones y parecer “deslogueado” inmediatamente después del login: uno de los escenarios más comunes de ¿Por qué no funciona el inicio de sesión de WordPress?.

Qué revisar rápido:

• ¿Tu sitio carga en https://domain.com pero WordPress está configurado como http://domain.com?
• ¿Estás visitando www.domain.com pero WordPress está configurado como domain.com (o al revés)?
• ¿Te moviste recientemente desde un staging o cambiaste de dominio?

Si puedes entrar a wp-admin: verifica ambas URLs en Ajustes → Generales.

Si no puedes entrar a wp-admin: el desajuste se puede corregir con herramientas del hosting (ajustes en base de datos) o forzando la URL correcta a nivel de configuración (movimiento típico de recuperación después de migraciones). La idea clave es simple: una URL canónica en todas partes.

Problemas de HTTPS / SSL que rompen las cookies de login

Aunque tu sitio “parezca seguro”, una configuración SSL defectuosa todavía puede romper la autenticación.

Culpables comunes:

• Contenido mixto (parte del sitio carga por http)
• Un CDN/WAF haciendo algo raro con redirecciones
• Configuraciones tipo “Flexible SSL” que generan confusión de protocolo (el navegador ve https, pero el origen cree que es http)

Síntomas:

• El login funciona… pero enseguida te devuelve a la pantalla de login
• Redirecciones infinitas entre /wp-admin/ y /wp-login.php
• Solo falla en ciertos dispositivos o redes

Prueba rápida:

• Abre la URL de login en una pestaña nueva y observa la barra de direcciones:
  • ¿Salta entre http y https?
  • ¿Activa/desactiva www?

Cuando ¿Por qué no funciona el inicio de sesión de WordPress? es por confusión de SSL, la solución casi siempre es asegurar que el sitio se sirva como HTTPS de extremo a extremo (navegador → CDN → origen) y no “a medias”.

Problemas de dominio/ruta de cookies (sesiones que nunca se “pegan”)

El login de WordPress depende de cookies. Si las cookies están bloqueadas, sobrescritas o configuradas para el dominio/ruta equivocados, no podrás mantener la sesión.

Es más probable que pase si:

• Cambiaste de dominio recientemente
• Pasaste de subdominio a dominio raíz (o al revés)
• Agregaste/cambiaste un reverse proxy o CDN
• Fuerzas redirecciones de manera inconsistente (http↔https, www↔sin www)

Señales prácticas:

• Ingresas credenciales correctas y solo recarga la pantalla de login
• Puedes iniciar sesión en un navegador pero no en otro
• Puedes iniciar sesión en otro dispositivo/red

La solución, en principio, siempre es la misma: asegúrate de que el sitio resuelva a un dominio + protocolo, y elimina cualquier cosa que fuerce cookies en una versión distinta del dominio.

Enlaces permanentes y reglas .htaccess que interfieren con wp-admin

Reglas de rewrite mal hechas pueden bloquear wp-admin sin que lo notes—especialmente después de endurecimiento de seguridad, redirecciones o algún plugin que modifica reglas.

Busca:

• Reglas de redirección agresivas que reescriben todo
• Reglas de seguridad que bloquean wp-login.php o wp-admin sin querer
• Conflictos entre varios plugins de redirección/seguridad agregando reglas superpuestas

Síntomas:

• wp-admin devuelve 404/403
• wp-login.php carga pero al enviar credenciales se rompe
• Redirecciones a rutas raras después del login

Esta es otra forma común de ¿Por qué no funciona el inicio de sesión de WordPress? que aparece justo después de “instalé un plugin de seguridad” o “agregué redirecciones”.

wp-login.php en blanco o error 500: qué suele significar

Si la pantalla de login queda en blanco o aparece un 500 Error interno del servidor justo al intentar iniciar sesión, lo más probable es:

• Un error fatal de plugin/tema
• Problemas con el límite de memoria PHP
• Una actualización rota (core/plugin/tema)
• Problemas a nivel servidor (permisos/propietario)

En otras palabras: muchas veces no es “login” como tal—es el sitio cayéndose durante los hooks de autenticación.

Siguiente: Si sospechas que el sitio se rompe durante el login (500/pantalla blanca) o justo después de ingresar credenciales, la siguiente sección cubre la forma más rápida de aislar conflictos de plugins + tema, incluyendo pasos de recuperación que funcionan incluso sin acceso a wp-admin.

Conflictos de plugins + tema que rompen el login

Si la pantalla de login carga pero no puedes mantener la sesión (o ves pantalla blanca / 500 justo después de enviar credenciales), los conflictos de plugins/tema son lo más rápido de probar. Un solo plugin de seguridad, caché u “optimización” puede causar los mismos síntomas que hacen pensar ¿Por qué no funciona el inicio de sesión de WordPress? a un nivel más profundo, cuando en realidad es un componente que está fallando.

Desactiva plugins sin wp-admin (método FTP / Administrador de archivos)

Esta es la prueba “martillo grande” más segura porque no borra nada: solo evita que los plugins se carguen.

1. Entra al Administrador de archivos de tu hosting (o FTP/SFTP).
2. Ve a: wp-content
3. Encuentra la carpeta: plugins
4. Renómbrala a algo como: plugins.disabled

Qué hace esto: WordPress no encuentra la carpeta de plugins, así que carga con todos los plugins desactivados. Ahora intenta iniciar sesión otra vez.

• Si el login funciona después de esto, confirmaste un conflicto de plugins.
• Luego vuelve a renombrar la carpeta a plugins, entra y renombra carpetas de plugins de una en una para identificar al culpable (empieza por seguridad, caché, login y optimización).

Tip extra: revisa también wp-content/mu-plugins (plugins “must-use”). Se cargan automáticamente y también pueden romper el login. Si existe esa carpeta, renómbrala temporalmente también.

Cambia a un tema por defecto de forma segura (conflictos del tema)

Los temas rara vez “rompen el login”, pero puede pasar —sobre todo con builders pesados, funciones personalizadas, temas de membresía o código desactualizado que dispara errores fatales durante la autenticación.

Para probarlo:

1. En wp-content/themes, ubica la carpeta del tema activo.
2. Renómbrala (ejemplo: tutema.disabled).
3. WordPress suele caer a un tema por defecto como Twenty Twenty-Four (si está instalado).

Luego intenta iniciar sesión otra vez.

• Si el login funciona tras cambiar el tema, tu tema (o sus funciones personalizadas) probablemente está causando el problema.
• Restaura el nombre de la carpeta cuando termines y revisa actualizaciones recientes o cambios de código.

Plugins de seguridad, 2FA y bloqueos por “limitar intentos de login”

Las herramientas de seguridad son una causa muy común cuando ¿Por qué no funciona el inicio de sesión de WordPress? ocurre “de la nada”, especialmente si:

• Activaste 2FA sin guardar códigos de respaldo
• Cambiaste de IP/red (VPN/hotspot)
• Fallaste varios intentos y te aplicaron rate limit
• Un plugin de seguridad actualizó reglas del firewall

Qué hacer:

• Si sospechas bloqueo por plugin de seguridad, desactívalo temporalmente con el mismo método (renombra la carpeta del plugin).
• Si usas CDN/WAF + plugin de seguridad, podrías estar bloqueado dos veces (en el borde y en WordPress). La idea es quitar una capa temporalmente para confirmar el origen.

Cuando vuelvas a entrar, revisa:

• Listas de bloqueo por IP / logs de lockouts
• Ajustes de 2FA y métodos de recuperación
• Reglas de “fuerza bruta” / limitación de intentos

Plugins de caché/minificación/CDN que corrompen sesiones de login

Los plugins de rendimiento pueden romper el login por cachear u optimizar páginas equivocadas, eliminar cookies o diferir scripts de forma demasiado agresiva.

Funciones de alto riesgo:

• Caché HTML aplicada a /wp-admin/ o /wp-login.php
• Reglas de caché basadas en cookies mal configuradas
• Combinar/diferir/posponer JS que afecta scripts de login
• Modos “optimizar todo” que tratan admin como páginas públicas

Pasos rápidos de aislamiento:

• Desactiva el plugin de caché (renombra su carpeta).
• Si usas CDN, purga caché y confirma que admin/login estén excluidos.
• Cuando recuperes acceso, reactiva funciones una por una hasta encontrar el ajuste que dispara el problema.

Después de recuperar acceso: evita que vuelva a pasar

Cuando confirmes el culpable, no lo actives y ya “a ver si aguanta”.

• Actualiza o reemplaza el plugin/tema que causó el problema.
• Elimina plugins abandonados o nulled (riesgo de seguridad común).
• Documenta el arreglo y agrega exclusiones para rutas de login/admin en caché/CDN.

Siguiente: Si desactivar plugins/temas no lo arregla—y estás viendo bloqueos 403/429 o desafíos tipo Cloudflare—el problema probablemente es del servidor o del WAF. La siguiente sección cubre Servidor + bloqueos de seguridad.

Servidor + bloqueos de seguridad (403/429/WAF/Cloudflare)

Cuando ves 403 Prohibido, 429 Demasiadas solicitudes o un mensaje de “bloqueado” (a veces solo en ciertas redes), el problema muchas veces no es WordPress—es algo delante que está frenando la solicitud. Esta es una de las respuestas más comunes a ¿Por qué no funciona el inicio de sesión de WordPress? después de agregar un firewall, habilitar un CDN o endurecer seguridad.

Firewall del hosting / ModSecurity / limitación de intentos (bloqueos “silenciosos”)

Muchos hostings ejecutan capas de seguridad que pueden bloquear wp-login.php sin mostrarte un motivo claro.

Señales comunes

• 403 en /wp-login.php o /wp-admin/
• El login funciona en una red pero falla en otra
• Te bloquean después de unos intentos (aunque la contraseña sea correcta)

Qué revisar

• Panel del hosting: logs de seguridad (ModSecurity, eventos WAF, “blocked requests”)
• Opciones de “protección de login” a nivel hosting
• Funciones de reputación/abuso de IP (algunos hostings bloquean rangos de VPN automáticamente)

Arreglos rápidos

• Agregar temporalmente tu IP a una lista blanca (si existe esa opción)
• Reducir falsos positivos permitiendo endpoints de login:
  • /wp-login.php
  • /wp-admin/
• Si estás probando, espera 10–30 minutos tras varios intentos: algunos bloqueos son temporales.

Reglas de Cloudflare / WAF bloqueando wp-login (403/1020/bucles de desafío)

Si usas Cloudflare (u otro WAF/CDN), puede bloquear o desafiar tráfico de login—sobre todo si activaste “Bot Fight Mode”, reglas WAF estrictas o límites por país/tasa.

Señales comunes

• Páginas de error de Cloudflare (tipo 1020 “Access denied”)
• Bucle infinito de verificación/desafío antes de que cargue el login
• 403 solo para algunos visitantes, países o dispositivos

Qué revisar en tu WAF

• Si /wp-login.php y /wp-admin/* están con rate limit
• Si acciones tipo “challenge” se aplican a rutas de admin
• Reglas que marcan wp-login.php como “alto riesgo” (muy común por defecto)

Enfoque práctico

• Crear una regla para evitar caché y reducir desafíos agresivos en rutas de admin/login.
• Mantener protección activa, pero ajustada para que el tráfico legítimo de admin no se trate como ataque.

Confusión por headers/redirects/proxy (bloqueos que parecen “problemas de login”)

A veces el “bloqueo” es una configuración de redirección/seguridad que rompe la autenticación:

• Redirecciones forzadas que rebotan entre http y https
• Reglas en conflicto entre CDN y servidor origen
• URLs de admin reescritas de forma inesperada

Pista: La página de login carga, pero al enviar credenciales te redirige a algo raro o te devuelve al login.

Por eso los bloqueos del servidor/WAF suelen mezclarse con los desajustes SSL/URL: se siente como ¿Por qué no funciona el inicio de sesión de WordPress? cuando el problema real es que “la solicitud se está alterando en el camino”.

Permisos/propietario y límites de PHP (cuando el login dispara un error)

Si iniciar sesión provoca un crash (o un 500 que parece “bloqueo”), también puede ser del servidor:

• Permisos o propietario incorrectos
• Límites de memoria/tiempo de PHP demasiado bajos
• Límites de recursos (PHP-FPM/hosting) alcanzados

Señales

• Pantalla blanca justo después de enviar login
• Error 500 solo al intentar autenticar
• wp-admin carga parcialmente pero falla al hacer acciones

Qué buscar

• Logs de servidor/PHP con “permission denied”, “memory exhausted” o errores fatales

Qué debería ayudarte a decidir esta sección

• Si ves 403/429 o mensajes del WAF, trátalo como seguridad/rate limit primero, no como problema de contraseña.
• Si ves bucles + desafíos, trátalo como interacción entre WAF + cookies/sesiones.
• Si ves crash al hacer login, trátalo como límites del servidor o error fatal, aunque “parezca” bug de login.

Siguiente: Si el error es “contraseña incorrecta”, no llegan los emails de reset o sospechas un problema de cuenta/roles, la siguiente sección cubre Problemas de cuenta + contraseña (email, tablas de usuarios, recuperación de admin).

Problemas de cuenta + contraseña (email, tablas de usuarios, recuperación de admin)

A veces ¿Por qué no funciona el inicio de sesión de WordPress? no tiene nada que ver con plugins, caché o firewalls: simplemente la cuenta no puede autenticarse o no puedes completar la recuperación. Los escenarios más comunes son: usuario/email incorrecto, contraseña cambiada, bloqueos por reglas de seguridad, o que el email de restablecimiento nunca llega.

El restablecimiento no llega: corrige la entrega de correo (SMTP)

Si haces clic en “¿Olvidaste tu contraseña?” y no llega nada, WordPress normalmente está enviando el correo por la función PHP mail por defecto, que es poco confiable en muchos hostings y a menudo es bloqueada o filtrada.

Qué revisar primero:

• Confirma que estás usando el usuario o email correcto en el formulario.
• Revisa spam/promociones y busca:
  • “WordPress”
  • el nombre de tu sitio
  • “restablecer contraseña”
• Si usas correo corporativo (Google Workspace/Microsoft 365), confirma que el buzón no esté lleno y que no existan reglas que lo estén eliminando.

Lo que suele arreglarlo a largo plazo:

• Configurar SMTP para que WordPress envíe desde un proveedor real (esto estabiliza resets y formularios).
• Usar un método de envío con autenticación (reduce “drops silenciosos”).

Punto clave: si el email de restablecimiento no se entrega, seguirás pensando ¿Por qué no funciona el inicio de sesión de WordPress?, pero el fallo real es el correo, no el login.

“Contraseña incorrecta” aunque estás seguro de que es la correcta

Antes de asumir que algo está roto, descarta estos casos típicos:

• Estás iniciando sesión con email pero la cuenta usa otro nombre de usuario (o al revés).
• Un gestor de contraseñas está autocompletando otra credencial (muy común si tienes staging o dominios parecidos).
• Estás entrando a una versión cacheada/redirigida del login y no estás autenticando donde crees (especialmente con www/sin www o http/https).
• Una herramienta de seguridad está limitando intentos y devolviendo errores genéricos.

Comprobación rápida:

• Abre incógnito y escribe manual usuario + contraseña una vez.
• Prueba en otro navegador/dispositivo.
• Si puedes, confirma que la cuenta existe y tiene el rol correcto.

Recupera acceso admin vía base de datos (ruta segura de recuperación)

Si estás bloqueado y el reset no funciona, puedes recuperar acceso editando datos del usuario en la base de datos. Es una opción de último recurso, pero muy confiable cuando ¿Por qué no funciona el inicio de sesión de WordPress? se debe a problemas de cuenta.

Opciones comunes (no destructivas):

• Restablecer el hash de contraseña del usuario en la tabla users
• Asegurar capacidades de admin en la tabla usermeta
• Crear un usuario admin temporal (y eliminarlo cuando se recupere el acceso)

Reglas de seguridad a incluir:

• Haz backup antes de tocar la base de datos.
• Haz el cambio mínimo necesario.
• Elimina acceso admin temporal inmediatamente después.

Conflictos de SSO / “Login con Google” + caché de sesión

Si usas “Login con Google”, SSO, plugins de membresía o un plugin para cambiar la URL de login, la autenticación puede fallar si:

• Las credenciales del app SSO cambiaron o se revocaron
• Las URIs de redirección ya no coinciden después de migración/cambio SSL
• La caché/minificación interfiere con el callback
• Reglas de seguridad bloquean el endpoint de callback

Pista común: puedes cargar el login, pero el flujo de “Iniciar con Google” falla, redirige raro o te devuelve al login.

Qué hacer:

• Desactiva temporalmente el plugin SSO (método de renombrar carpeta) para probar si el login estándar funciona.
• Verifica que las URLs de redirect/callback coincidan con el dominio actual + https.

Siguiente: Si el problema empezó justo después de mover el sitio, cambiar SSL o actualizar, y nada de lo anterior lo solucionó, la siguiente sección cubre Actualizaciones, migraciones y errores típicos de staging.

Actualizaciones, migraciones y errores típicos de staging

Cuando el login se rompe “de la nada” justo después de un cambio, casi nunca es un misterio: WordPress es muy sensible a diferencias de URL, SSL y entorno. Esta sección existe porque ¿Por qué no funciona el inicio de sesión de WordPress? muchas veces se dispara por mantenimiento (actualizaciones) o trabajo necesario (migraciones).

Cambio de dominio/HTTPS después de migrar = caos de cookies

Después de una migración (o incluso un simple cambio a SSL), tu sitio puede verse bien, pero WordPress aún puede estar generando cookies para el dominio/protocolo anterior. Resultado típico: haces login, te redirige y vuelves al login como si nada.

Lo que suele causarlo:

• Cambiar de http:// a https:// (o al revés)
• Cambiar de www a sin www (o al revés)
• Pasar de staging a producción (ej.: staging.domain.com → domain.com)
• Un CDN/proxy delante del servidor cambiando cómo WordPress “ve” la solicitud

Buena práctica: recalcar que una URL canónica debe coincidir en todas partes (ajustes del sitio, redirecciones, CDN y SSL), y que las rutas de admin/login no deben cachearse.

Actualizaciones que cambian reglas de seguridad o comportamiento de caché

Las actualizaciones no solo “agregan funciones”: también pueden cambiar cómo se comporta la autenticación, especialmente si actualizaste:

• Plugins de seguridad (nuevos umbrales de lockout, reglas, cambios 2FA)
• Plugins de caché/optimización (minificar/diferir/posponer scripts, reglas basadas en cookies)
• Versión de PHP o ajustes del servidor (defaults más estrictos, límites de memoria/tiempo)

Patrón común: ayer funcionaba, hoy después de actualizar entra en bucle, da 403/429 o se cae al enviar login. La ruta correcta es aislar qué cambió (desactivar primero el plugin recién actualizado, y luego reactivar funciones una por una cuando recuperes acceso).

Cómo evitar el próximo bloqueo

Una vez recuperes acceso, no te quedes en “ya funciona”. La mayoría de bloqueos repetidos pasan porque el disparador original (desajuste de URL, caché en admin, reglas agresivas, o falta de ruta de recuperación) sigue ahí esperando la próxima actualización. Si no quieres revivir ¿Por qué no funciona el inicio de sesión de WordPress?, fija estas protecciones.

Mantén una ruta de recuperación (para no quedarte totalmente fuera)

• Mantén dos usuarios admin (principal + respaldo) con contraseñas fuertes y únicas.
• Si usas 2FA, guarda códigos de respaldo en un lugar seguro (gestor de contraseñas o nota cifrada).
• Asegura que al menos un email admin sea accesible y actual (no un buzón viejo).
• Documenta tu URL de login si usas un plugin para ocultar wp-login (y conserva una forma segura de revertirlo).

Backups + staging + control de cambios

• Activa backups diarios automáticos (archivos + base de datos) y guarda 7–14 días de historial.
• Prueba actualizaciones primero en staging, sobre todo seguridad/caché y actualizaciones grandes del core.
• Después de cualquier migración/cambio SSL, verifica:
  • Una URL canónica (https + preferencia www/sin www)
  • /wp-login.php y /wp-admin/ están excluidos de la caché

Monitoreo + alertas (detecta problemas antes del bloqueo)

• Activa alertas para:
  • Lockouts / solicitudes bloqueadas (logs del plugin de seguridad o WAF)
  • Cambios de archivos (modificaciones inesperadas)
  • Fallos al actualizar
• Revisa logs después de cambios grandes: una regla WAF con falso positivo puede causar días de problemas de login.

FAQ

1) ¿Por qué no funciona el inicio de sesión de WordPress incluso después de borrar cookies?
Si borrar cookies no lo arregló, los sospechosos típicos son: desajuste SSL/URL (http vs https, www vs sin www), una regla de caché/CDN tocando /wp-login.php, o un conflicto de plugins (seguridad, caché, optimización). Prueba desactivar plugins (renombra wp-content/plugins) y confirma que el sitio use una sola URL canónica.

2) ¿Por qué WordPress me redirige de vuelta al login?
Casi siempre es un problema de cookies/sesión provocado por inconsistencia de URL. Si WordPress autentica en una URL pero redirige a otra, la cookie no coincide. Revisa Dirección de WordPress/Dirección del sitio y asegúrate de que redirecciones, CDN y SSL apunten a la misma versión (https + dominio).

3) ¿Qué significa un 403 Prohibido en wp-login.php?
Normalmente significa que algo está bloqueando el acceso antes de que WordPress procese el login: firewall del hosting, ModSecurity, reglas Cloudflare/WAF, bloqueo por plugin de seguridad o permisos. Revisa logs, agrega tu IP a lista blanca si aplica, y evita desafíos agresivos en login/admin.

4) ¿Qué significa un 429 Demasiadas solicitudes al intentar iniciar sesión?
Es limitación de intentos. Puede venir del hosting, un WAF/CDN o un plugin de seguridad. Espera a que expire el bloqueo y ajusta umbrales o agrega una regla de allow para tu IP—sobre todo si usas VPN o redes compartidas.

5) ¿Por qué aparece pantalla blanca o error 500 justo después de enviar el login?
Suele ser un error fatal durante autenticación (hooks de plugin/tema), memoria PHP baja o una actualización rota. Desactiva plugins por FTP/administrador de archivos para confirmar. Si sigue, revisa logs del servidor para ver el error exacto.

6) ¿Por qué no llega el email de restablecimiento?
La mayoría de veces el problema es entrega de correo, no el reset. Muchos hostings no envían PHP mail de forma confiable o se filtra. Configura SMTP, confirma usuario/email correcto y revisa spam/cuarentena. Con SMTP, los resets suelen volverse estables.

7) ¿Un plugin de seguridad o 2FA puede bloquearme aunque la contraseña sea correcta?
Sí. Puede bloquear IPs por intentos fallidos, requerir códigos 2FA o bloquear redes “riesgosas”. Si perdiste 2FA, usa códigos de recuperación (ideal) o desactiva temporalmente el plugin de seguridad para recuperar acceso y reconfigurar 2FA correctamente.

8) ¿Por qué funciona en un dispositivo pero no en otro?
Apunta a cookies/extensiones, ajustes de privacidad del dispositivo o diferencias de red/WAF. Prueba incógnito, desactiva extensiones y cambia de red (Wi-Fi vs hotspot). Si es por red, revisa logs del WAF/firewall: algunos rangos (VPN) se bloquean más.

Conclusión

Cuando estás bloqueado, es fácil pensar que WordPress “se rompió”, pero la mayoría de casos siguen una cadena predecible: problemas de navegador/sesión, desajustes de URL/SSL, conflictos de plugins/tema o bloqueos de seguridad/WAF. Si aplicas las soluciones en el orden correcto, evitas perder tiempo y vuelves a wp-admin más rápido.

Si sigues atascado y ¿Por qué no funciona el inicio de sesión de WordPress? incluso después de probar cookies, confirmar URL/HTTPS y desactivar plugins/temas, el siguiente paso es mirar logs—los eventos del firewall/WAF y los logs de error PHP casi siempre revelan el bloqueo real.

Cuando recuperes acceso, deja esto resuelto de raíz: mantén una ruta de recuperación admin, excluye login/admin de la caché y prueba actualizaciones grandes en staging. Así conviertes un arreglo puntual en un problema que no vuelve.