Error de sesión caducada en WordPress y cómo arreglar

¿Qué es el error de sesión caducada en WordPress?

El error de sesión caducada en WordPress aparece cuando el sistema considera que la sesión de un usuario ha expirado o que las credenciales de acceso ya no son válidas. En la práctica, suele manifestarse como un bucle de inicio de sesión: introduces tu usuario y contraseña, WordPress parece aceptarlos, pero te devuelve de nuevo a la pantalla de login sin mostrar un mensaje claro o mostrando avisos como «Tu sesión ha caducado. Vuelve a iniciar sesión».

Este comportamiento está directamente relacionado con el manejo de cookies, sesiones y tokens de seguridad (nonces) que WordPress utiliza para identificar a los usuarios autenticados. Cuando algo falla en ese proceso, el sistema no puede confirmar que sigues siendo quien dices ser y, por seguridad, te obliga a iniciar sesión de nuevo.

Síntomas comunes del error de sesión caducada

El error de sesión caducada puede presentarse de diferentes formas según el navegador, la configuración del servidor y los plugins instalados. Identificar bien los síntomas ayuda a acotar la causa real del problema.

• Tras introducir usuario y contraseña correctos, la página se recarga y vuelve al formulario de acceso.
• WordPress muestra mensajes como «Tu sesión ha caducado» o «Has sido desconectado» sin motivo aparente.
• El panel de administración se cierra solo al cabo de pocos minutos de inactividad.
• Al intentar guardar una entrada o página, aparece un error de nonce caducado o petición no válida.
• Algunos usuarios pueden acceder sin problemas mientras otros sufren cierres de sesión constantes.
• En tiendas online, los clientes pierden el carrito o la sesión en su cuenta antes de finalizar la compra.

Principales causas del error de sesión caducada

Aunque el mensaje de sesión caducada parece simple, puede deberse a varios factores técnicos. Conocer las causas más frecuentes permite aplicar la solución adecuada sin dar palos de ciego.

• Cookies bloqueadas o corruptas: el navegador no guarda o no envía correctamente las cookies de WordPress.
• URL del sitio mal configurada: diferencias entre http y https, o entre www y sin www, que invalidan las cookies.
• Plugins de caché agresivos: almacenan versiones cacheadas del formulario de login o del panel, rompiendo la gestión de sesiones.
• Plugins de seguridad o firewall: reglas demasiado estrictas que fuerzan el cierre de sesión o bloquean cookies.
• Configuración del servidor: límites de sesión PHP muy bajos, problemas con session.save_path o con cabeceras HTTP.
• Conflictos entre plugins: varios plugins intentando modificar el comportamiento de login, cookies o redirecciones.
• Tiempo de sesión muy corto: ajustes de autologout o expiración de cookies demasiado agresivos.
• Problemas de caché a nivel de hosting: caché de servidor o CDN que sirve contenido desactualizado.

Comprobar la configuración básica de WordPress

El primer paso para arreglar el error de sesión caducada es asegurarse de que la configuración básica de WordPress es coherente, especialmente las URL del sitio. Una configuración incorrecta provoca que las cookies se creen para un dominio o protocolo distinto al que realmente usas.

1. Revisar URL de WordPress y del sitio

Accede a Ajustes > Generales y comprueba los campos:

• Dirección de WordPress (URL)
• Dirección del sitio (URL)

Ambos deben coincidir en:

• Uso de http o https (preferiblemente https si tienes certificado SSL).
• Uso de www o sin www, pero no mezclarlos.

2. Forzar URL correctas en wp-config.php (opcional)

Si no puedes acceder al panel por el bucle de login, puedes definir las URL directamente en wp-config.php a través de FTP o el gestor de archivos del hosting:

define( 'WP_HOME', 'https://tudominio.com' );
define( 'WP_SITEURL', 'https://tudominio.com' );

3. Verificar redirecciones del dominio

Asegúrate de que no hay redirecciones en bucle o inconsistentes entre www y sin www, o entre http y https. Puedes comprobarlo con herramientas como Redirect Checker o desde la consola del navegador.

Limpiar cookies y caché del navegador

Muchas veces, el error de sesión caducada en WordPress se debe simplemente a cookies corruptas o desactualizadas en el navegador. Antes de hacer cambios profundos en el sitio, conviene descartar este origen.

1. Borrar cookies específicas del dominio

En lugar de borrar todas las cookies, puedes eliminar solo las asociadas a tu dominio. El procedimiento varía según el navegador, pero en general:

• Abre la configuración de Privacidad y seguridad.
• Ve a Cookies y datos de sitios.
• Busca tu dominio (por ejemplo, tudominio.com).
• Elimina las cookies y datos almacenados para ese dominio.

Después, cierra el navegador, vuelve a abrirlo e intenta iniciar sesión de nuevo.

2. Probar en modo incógnito o con otro navegador

Si en modo incógnito o con otro navegador puedes iniciar sesión sin problemas, es muy probable que el origen sea local (cookies, extensiones, caché del navegador) y no de WordPress o del servidor.

3. Desactivar extensiones que bloquean cookies

Extensiones de privacidad, bloqueadores de anuncios o gestores de contraseñas pueden interferir con las cookies de sesión. Desactívalas temporalmente y comprueba si el error persiste.

Revisar plugins de caché y seguridad

Los plugins de caché y seguridad son una de las causas más habituales del error de sesión caducada en WordPress, especialmente cuando no están bien configurados o se solapan entre sí.

1. Desactivar temporalmente plugins de caché

Si usas plugins como WP Rocket, W3 Total Cache, LiteSpeed Cache, WP Super Cache u otros similares:

• Vacía toda la caché desde el panel del plugin.
• Desactiva el plugin temporalmente.
• Prueba a iniciar sesión de nuevo.

Si el problema desaparece, la causa está en la configuración de caché y deberás ajustar las exclusiones.

2. Excluir páginas de login y administración de la caché

Asegúrate de que las siguientes rutas no se cachean nunca:

• /wp-login.php
• /wp-admin/
• Páginas de cuenta de usuario y checkout (en WooCommerce u otros plugins de e-commerce).

La mayoría de plugins de caché incluyen opciones específicas para excluir estas rutas. Revísalas con detalle.

3. Revisar plugins de seguridad y firewall

Plugins como Wordfence, iThemes Security, All In One WP Security o firewalls a nivel de hosting pueden:

• Forzar cierres de sesión tras un tiempo muy corto.
• Bloquear cookies consideradas inseguras.
• Aplicar reglas de protección contra fuerza bruta que afectan a usuarios legítimos.

Revisa la configuración de tiempo de sesión, reglas de login y listas de bloqueo. Si es necesario, desactiva temporalmente el plugin para confirmar si es el origen del problema.

Ajustar cookies de sesión en wp-config.php

WordPress utiliza varias cookies para gestionar la autenticación y la sesión de los usuarios. En algunos casos, definir explícitamente ciertos parámetros en wp-config.php ayuda a estabilizar el comportamiento de las sesiones y evitar caducidades prematuras.

1. Definir dominio y ruta de cookies (opcional)

Si tu sitio utiliza subdominios o tienes problemas específicos con cookies que no se comparten correctamente, puedes definir el dominio de las cookies:

define( 'COOKIE_DOMAIN', '.tudominio.com' );
define( 'COOKIEPATH', '/' );
define( 'SITECOOKIEPATH', '/' );

2. Aumentar la duración de la cookie de login recordado

Cuando un usuario marca la casilla «Recuérdame» al iniciar sesión, WordPress establece una cookie de mayor duración. Puedes ajustar ese tiempo con un filtro en el archivo functions.php de tu tema hijo o en un plugin de snippets:

add_filter( 'auth_cookie_expiration', function( $seconds, $user_id, $remember ) {
    if ( $remember ) {
        // 30 días
        return 30 * DAY_IN_SECONDS;
    }
    return $seconds;
}, 10, 3 );

3. Regenerar claves de seguridad

Las AUTH_KEY, SECURE_AUTH_KEY y demás claves de seguridad en wp-config.php se usan para firmar las cookies. Si sospechas que hay algún problema con ellas, puedes regenerarlas desde el servicio oficial de WordPress:

• Accede a https://api.wordpress.org/secret-key/1.1/salt/.
• Copia las nuevas claves generadas.
• Sustituye las existentes en tu wp-config.php.

Esto forzará el cierre de sesión de todos los usuarios, pero puede ayudar a resolver comportamientos extraños con las cookies de autenticación.

Problemas con HTTPS, dominio y SSL

La migración de un sitio de http a https o los cambios de dominio son momentos críticos en los que suelen aparecer errores de sesión caducada, debido a inconsistencias en las cookies y redirecciones.

1. Verificar el certificado SSL

Asegúrate de que el certificado SSL está correctamente instalado y no caducado. Un SSL mal configurado puede provocar que el navegador bloquee cookies marcadas como Secure o SameSite.

2. Forzar HTTPS de forma coherente

Si fuerzas HTTPS desde el archivo .htaccess, desde el panel del hosting y además desde un plugin, puedes generar redirecciones en cadena que afectan a las cookies. Elige un solo método y asegúrate de que:

• La URL del sitio en WordPress usa https.
• Las redirecciones de http a https son directas, sin saltos intermedios.

3. Unificar www y sin www

Decide si tu dominio principal usará www o no, y mantén esa decisión en todas partes:

• Configuración de WordPress (WP_HOME y WP_SITEURL).
• Redirecciones en .htaccess o en el panel del hosting.
• Configuración de CDN o proxy inverso (Cloudflare, etc.).

Configurar tiempo de sesión y cierre automático

En algunos proyectos, especialmente aquellos con requisitos de seguridad elevados, se configura un tiempo de sesión muy corto o se instala un plugin de autologout que cierra la sesión tras unos minutos de inactividad. Si estos valores son demasiado agresivos, los usuarios perciben que la sesión caduca constantemente.

1. Revisar plugins de autologout

Si tienes instalado algún plugin que gestiona el cierre automático de sesión:

• Comprueba el tiempo configurado para la inactividad.
• Aumenta el límite a un valor razonable (por ejemplo, 30–60 minutos).
• Desactiva el plugin temporalmente para ver si el problema desaparece.

2. Ajustar la duración de la sesión en WordPress

Como se comentó antes, puedes usar el filtro auth_cookie_expiration para ampliar la duración de la sesión cuando el usuario marca «Recuérdame». Asegúrate de no establecer tiempos excesivamente largos si tu sitio maneja información sensible.

3. Equilibrar seguridad y usabilidad

Un tiempo de sesión demasiado corto puede frustrar a los usuarios, mientras que uno demasiado largo puede aumentar el riesgo de accesos no autorizados en dispositivos compartidos. Define una política clara y comunícala a tu equipo o clientes.

Diagnóstico avanzado y logs del servidor

Si tras revisar configuración, cookies, plugins y SSL el error de sesión caducada persiste, es momento de profundizar en el diagnóstico a nivel de servidor y de WordPress. Los registros (logs) suelen contener pistas valiosas.

1. Activar el modo debug de WordPress

Edita tu archivo wp-config.php y añade o ajusta las siguientes líneas:

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

2. Revisar logs de errores del servidor

Desde el panel de tu hosting (cPanel, Plesk, panel propio, etc.) suele haber acceso a los logs de errores de Apache o Nginx y a los logs de PHP. Busca entradas que coincidan con la hora en que se produce el error de sesión caducada.

• Errores de cabeceras ya enviadas (headers already sent).
• Advertencias sobre sesiones PHP (session_start, session.save_path).
• Errores de permisos en carpetas temporales.

3. Probar con un entorno mínimo

Para descartar conflictos, puedes hacer una prueba con un entorno mínimo:

• Cambia temporalmente al tema por defecto (por ejemplo, Twenty Twenty-Four).
• Desactiva todos los plugins excepto los imprescindibles.
• Comprueba si el error de sesión caducada sigue ocurriendo.

Si el problema desaparece, ve activando plugins uno a uno hasta localizar el causante.

Buenas prácticas para evitar que la sesión caduque

Una vez resuelto el error de sesión caducada en WordPress, es importante aplicar una serie de buenas prácticas para minimizar la probabilidad de que vuelva a aparecer, especialmente en sitios con mucho tráfico o con varios perfiles de usuario.

• Mantener WordPress, temas y plugins siempre actualizados.
• Evitar el uso simultáneo de varios plugins de caché o seguridad que se solapen.
• Documentar cambios importantes en configuración de dominio, SSL y redirecciones.
• Probar el login y la gestión de sesiones tras cada cambio relevante.
• Configurar tiempos de sesión equilibrados entre seguridad y usabilidad.
• Utilizar un hosting especializado en WordPress con soporte técnico cualificado.
• Implementar un entorno de staging para probar actualizaciones y nuevas configuraciones.

Preguntas frecuentes