{"id":131697,"date":"2026-11-12T22:54:34","date_gmt":"2026-11-12T21:54:34","guid":{"rendered":"https:\/\/quondos.com\/mag\/?p=131697"},"modified":"2026-11-13T10:59:03","modified_gmt":"2026-11-13T09:59:03","slug":"wordpress-7-2-exigira-anadir-wp_secrets_key-en-wp-config-php-para-guardar-claves-api-cifradas-con-su-nueva-secrets-api","status":"publish","type":"post","link":"https:\/\/quondos.com\/mag\/wordpress-7-2-exigira-anadir-wp_secrets_key-en-wp-config-php-para-guardar-claves-api-cifradas-con-su-nueva-secrets-api\/","title":{"rendered":"WordPress 7.2 exigir\u00e1 a\u00f1adir WP_SECRETS_KEY en wp-config.php para guardar claves API cifradas con su nueva Secrets API"},"content":{"rendered":"\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"576\" src=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-26-1024x576.png\" alt=\"\" class=\"wp-image-131698\" title=\"\" srcset=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-26-1024x576.png 1024w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-26-300x169.png 300w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-26-768x432.png 768w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-26.png 1200w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/figure>\n\n\n\n<p>WordPress va a dejar de guardar las claves de las APIs como texto plano en la base de datos. El equipo de desarrollo ha publicado la nota t\u00e9cnica de la <strong>Secrets API<\/strong>, una de las grandes novedades de <strong>WordPress 7.2<\/strong>, que permite a los plugins guardar contrase\u00f1as, claves API y secretos OAuth <strong>cifrados<\/strong>. La versi\u00f3n final trae un cambio importante respecto a las betas: para que funcione, las webs existentes tendr\u00e1n que a\u00f1adir una nueva constante, WP_SECRETS_KEY, en su archivo wp-config.php.<\/p>\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">\u00cdndice de contenidos<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Alternar tabla de contenidos\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-2-exigira-anadir-wp_secrets_key-en-wp-config-php-para-guardar-claves-api-cifradas-con-su-nueva-secrets-api\/#Que_es_la_Secrets_API\" >Qu\u00e9 es la Secrets API<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-2-exigira-anadir-wp_secrets_key-en-wp-config-php-para-guardar-claves-api-cifradas-con-su-nueva-secrets-api\/#WP_SECRETS_KEY_la_clave_que_habra_que_anadir\" >WP_SECRETS_KEY, la clave que habr\u00e1 que a\u00f1adir<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-2-exigira-anadir-wp_secrets_key-en-wp-config-php-para-guardar-claves-api-cifradas-con-su-nueva-secrets-api\/#Mas_control_para_hostings_y_mejores_avisos\" >M\u00e1s control para hostings y mejores avisos<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-2-exigira-anadir-wp_secrets_key-en-wp-config-php-para-guardar-claves-api-cifradas-con-su-nueva-secrets-api\/#Que_deberian_hacer_desarrolladores_y_agencias\" >Qu\u00e9 deber\u00edan hacer desarrolladores y agencias<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"Que_es_la_Secrets_API\"><\/span>Qu\u00e9 es la Secrets API<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Hasta ahora, muchos plugins guardan las claves de servicios externos, como pasarelas de pago, herramientas de email marketing o APIs de IA, en la tabla de opciones de WordPress, a menudo sin cifrar. La Secrets API, explicada por <strong>Eric Mann<\/strong> en Make WordPress Core el 11 de noviembre, ofrece un sistema com\u00fan y seguro para hacerlo.<\/p>\n<p>Los secretos se cifran con <strong>libsodium (XChaCha20-Poly1305)<\/strong> y se guardan en las tablas de opciones. Cada secreto tiene su propia clave, derivada de una clave ra\u00edz aleatoria que, a su vez, se cifra con WP_SECRETS_KEY. Adem\u00e1s, el sistema conserva una versi\u00f3n anterior de cada secreto, para poder cambiar una credencial sin cortar el servicio mientras se despliega la nueva.<\/p>\n<p>Para los desarrolladores hay funciones como <strong>wp_set_secret()<\/strong>, wp_get_secret() o wp_delete_secret(). Los nombres siguen el formato slug-del-plugin\/nombre-del-secreto, para que un plugin no sobrescriba los secretos de otro, aunque Mann aclara que eso no es un control de acceso: cualquier c\u00f3digo de la web puede leer cualquier secreto.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"WP_SECRETS_KEY_la_clave_que_habra_que_anadir\"><\/span>WP_SECRETS_KEY, la clave que habr\u00e1 que a\u00f1adir<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>El cambio m\u00e1s relevante para quien gestiona webs es que <strong>WP_SECRETS_KEY pasa a ser obligatoria<\/strong>. En las primeras betas, WordPress generaba una clave de respaldo a partir de LOGGED_IN_KEY y LOGGED_IN_SALT, pero eso ten\u00eda un problema: si se cambiaban esas sales, los secretos dejaban de poder leerse. Ese respaldo se ha eliminado.<\/p>\n<p>Las instalaciones nuevas recibir\u00e1n la clave autom\u00e1ticamente. Las <strong>webs existentes tendr\u00e1n que a\u00f1adirla<\/strong>: la herramienta Salud del sitio generar\u00e1 la l\u00ednea que hay que pegar debajo de las sales en wp-config.php, y WP-CLI se est\u00e1 actualizando para incluirla al crear la configuraci\u00f3n. Sin una clave v\u00e1lida, cualquier intento de guardar o leer un secreto devolver\u00e1 un error.<\/p>\n<p>Hay una advertencia clara: una vez guardados los secretos, <strong>no hay que cambiar ni borrar la clave<\/strong>. Si se hace, los secretos quedan ilegibles hasta que se restaure el valor antiguo. Tampoco sirven un valor vac\u00edo, el texto de ejemplo de wp-config-sample.php ni una copia de las claves o sales de autenticaci\u00f3n.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Mas_control_para_hostings_y_mejores_avisos\"><\/span>M\u00e1s control para hostings y mejores avisos<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Los proveedores de hosting podr\u00e1n sustituir partes del sistema con un archivo <strong>secrets.php<\/strong> en wp-content, que funciona como el conocido db.php. As\u00ed podr\u00e1n proteger la clave con servicios externos de gesti\u00f3n de claves o llevar todo el sistema a un gestor de secretos propio. Si ese archivo falla, WordPress no vuelve a los valores por defecto, sino que avisa del error.<\/p>\n<p>La herramienta <strong>Salud del sitio<\/strong> incorpora tres comprobaciones nuevas en el apartado de seguridad: si la clave falta o no sirve, si hay secretos que no se pueden descifrar y si hay credenciales importadas pendientes de cambiar. Quien haya guardado secretos durante las betas sin la nueva clave tiene un procedimiento de migraci\u00f3n para no perderlos.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Que_deberian_hacer_desarrolladores_y_agencias\"><\/span>Qu\u00e9 deber\u00edan hacer desarrolladores y agencias<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Para quien desarrolla plugins, la Secrets API es la oportunidad de dejar de guardar credenciales en claro. La nota recomienda llamar a <strong>reveal()<\/strong> solo donde se usa el valor, comprobar los permisos del usuario en los formularios de configuraci\u00f3n y no pedir una credencial nueva si la lectura falla, porque podr\u00eda sustituir otra que todav\u00eda funciona.<\/p>\n<p>Para agencias y administradores, la tarea es sencilla pero importante: tras actualizar a WordPress 7.2, cuya versi\u00f3n final est\u00e1 prevista para el <strong>8 de diciembre<\/strong>, revisar Salud del sitio y a\u00f1adir WP_SECRETS_KEY en wp-config.php. Conviene guardar una copia segura de la clave, porque perderla o cambiarla dejar\u00eda sin acceso a las credenciales cifradas de los plugins.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>WordPress va a dejar de guardar las claves de las APIs como texto plano en la base de datos. El &#8230; <\/p>\n<p class=\"read-more-container\"><a title=\"WordPress 7.2 exigir\u00e1 a\u00f1adir WP_SECRETS_KEY en wp-config.php para guardar claves API cifradas con su nueva Secrets API\" class=\"read-more button\" href=\"https:\/\/quondos.com\/mag\/wordpress-7-2-exigira-anadir-wp_secrets_key-en-wp-config-php-para-guardar-claves-api-cifradas-con-su-nueva-secrets-api\/#more-131697\" aria-label=\"Leer m\u00e1s sobre WordPress 7.2 exigir\u00e1 a\u00f1adir WP_SECRETS_KEY en wp-config.php para guardar claves API cifradas con su nueva Secrets API\">Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":850,"featured_media":131698,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_generate-disable-post-image":"true","rank_math_title":"","rank_math_description":"","rank_math_focus_keyword":"WordPress","footnotes":""},"categories":[163],"tags":[],"class_list":["post-131697","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-diseno-web","generate-columns","tablet-grid-50","mobile-grid-100","grid-parent","grid-50","no-featured-image-padding"],"_links":{"self":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131697","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/users\/850"}],"replies":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/comments?post=131697"}],"version-history":[{"count":1,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131697\/revisions"}],"predecessor-version":[{"id":131699,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131697\/revisions\/131699"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media\/131698"}],"wp:attachment":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media?parent=131697"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/categories?post=131697"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/tags?post=131697"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}