Cambiar la contraseña de un buzón invalida cada web, cliente e integración que conserve la anterior. WordPress puede seguir guardando entradas mientras SMTP rechaza las notificaciones.
Actualiza la credencial de forma segura, pero confirma primero qué cuenta y método utiliza realmente el sitio.
Conserva la respuesta exacta
Ejecuta una prueba identificada y anota hora, hostname SMTP, dominio del usuario y código de respuesta ocultando datos. Los mensajes habituales mencionan credenciales inválidas o login fallido.
No pegues contraseña, transcript completo ni intercambio base64 en un ticket. Un debug puede exponer secretos aunque no parezcan texto legible.
Detén los intentos repetidos si el proveedor puede bloquear la cuenta.
Comprueba en el panel del proveedor si existen alertas de acceso, bloqueo temporal o una política que exija desbloquear SMTP después de varios fallos. Espera el intervalo indicado antes de repetir: actualizar correctamente la clave no elimina necesariamente un bloqueo que ya esté activo.
Confirma la identidad SMTP
From, usuario SMTP y buzón cuya contraseña cambió no tienen por qué coincidir. Un relay puede usar la dirección completa, una cuenta del panel o una credencial dedicada.
Consulta el plugin activo y la documentación del proveedor. Confirma que el usuario no contiene espacios copiados y que utiliza el identificador requerido.
No restablezcas la contraseña de otra persona solo porque su dirección figure en From.
Determina si necesita app password u OAuth
Las cuentas con autenticación multifactor suelen requerir una contraseña de aplicación u OAuth, no la clave interactiva normal. Algunos proveedores ya no admiten SMTP básico.
Utiliza el método vigente del proveedor y concede únicamente acceso de envío. Guarda las contraseñas de aplicación como secretos y etiquétalas para poder revocarlas sin afectar otros servicios.
Nunca desactives MFA para hacer funcionar WordPress.
Actualiza el origen real del secreto
La credencial puede residir en la base de datos, wp-config.php, una variable de entorno, un secreto del hosting o una herramienta central. Cambiar el campo visible no funciona si una constante lo sobrescribe.
Revisa los diagnósticos del plugin, actualiza la fuente autorizada y limpia únicamente la caché de configuración relacionada.
Antes de modificarla, identifica qué persona o equipo es propietario del secreto y qué otras webs lo consumen. Rotar una credencial compartida sin inventario puede restaurar este formulario y romper otros envíos. Cuando sea posible, asigna una identidad independiente a cada entorno.
No pongas contraseñas en el tema, historial Git o snippets reutilizables.
Revisa ajustes cifrados tras migrar
Algunos plugins cifran credenciales con salts o claves del entorno. Una migración puede dejar un valor aparentemente presente que ya no se descifra.
Vuelve a introducirlo mediante la interfaz o mecanismo compatible. No copies valores cifrados entre entornos distintos esperando que funcionen.
Mantén separadas las credenciales de staging y producción.
Verifica también la conexión
El cambio de contraseña puede coincidir con una modificación de seguridad. Confirma hostname, puerto, cifrado y método: 587 suele usar STARTTLS y 465 TLS implícito, según documente el proveedor.
Revisa hora del servidor y certificados. No soluciones autenticación desactivando TLS ni probando puertos al azar.
Confirma que el hosting permite la conexión saliente.
Prueba el formulario real
La prueba del plugin acredita una credencial para un mensaje simple. Envía después el formulario real, que puede usar otro From, destinatario o regla.
Rastrea aceptación y llegada final. Comprueba SPF, DKIM, DMARC y Reply-To. Revisa entradas guardadas durante la interrupción para responder consultas.
Realiza también una prueba después de cerrar y volver a abrir la sesión administrativa. Así confirmas que el resultado no depende de una credencial conservada temporalmente en memoria ni de un token OAuth que caducará enseguida.
Rota y documenta con seguridad
Cuando funcione, revoca app passwords antiguos y elimina secretos de notas o logs. Documenta propietario, finalidad y proceso de rotación, sin guardar el valor.
Una identidad de envío dedicada evita que el cambio de contraseña de un empleado rompa leads.
Solicita reparación urgente si la cuenta está bloqueada, no está clara la propiedad OAuth o varias webs comparten credencial. Facilita códigos y horas redactados, nunca contraseñas.