Changelog

Qué cambió cada versión, en resumen. El historial completo del plugin gratuito está en su changelog en GitHub y en la página del plugin en wordpress.org; el complemento muestra sus cambios en la pantalla Plugins cuando llega una actualización.

Novedades de cada versión

• 3.0.0: Hive es ahora un plugin gratuito del directorio de plugins de WordPress, completo y sin interruptores bloqueados; las funciones de los planes de pago pasaron al complemento independiente ReportedIP Hive Pro, que se actualiza desde reportedip.com e instala el plugin gratuito si falta. Los sitios con la 2.1.x se pasaron con una última actualización y conservaron todos sus ajustes. Local Shield no envía ninguna solicitud a reportedip.com ni siquiera con una clave guardada, los bloques de .htaccess solo se escriben tras una acción del operador, la comprobación de filtraciones y la insignia del pie de página están desactivadas hasta que se activen, los avisos se pueden cerrar y una aserción de llave de seguridad solo se puede usar una vez. Esquema de base de datos 25.
• 2.1.74: Los contadores de los sensores funcionan sobre su ventana configurada en lugar de sumar durante días, un servicio comunitario lento pausa las consultas en vivo durante dos minutos en lugar de ralentizar cada inicio de sesión, DuckDuckBot vuelve a poder rastrear, una ejecución vacía de la cola ya no escribe una fila en el registro y un impacto del cortafuegos en admin-ajax.php indica la acción AJAX.
• 2.1.73: Un paquete de soporte en Estado del sistema, como un único archivo JSON para una revisión de soporte, también por WP-CLI y MainWP. Un envío de Gravity Forms que el propio formulario rechaza ya no consume la comprobación del formulario. Las direcciones bloqueadas ya no llenan el registro con filas del cortafuegos, un bloqueo puesto por el propio plugin se levanta cuando la red avala la dirección, Local Shield ya no consulta la cuota del relay, las exportaciones CSV se entrecomillan correctamente y las fechas siguen el idioma del sitio.
• 2.1.72: Las direcciones de correo desechables se rechazan en los comentarios y en cada formulario de contacto protegido, con un ajuste propio que bloquea por defecto. Un formulario abierto más de diez minutos ya no se rechaza: el navegador sustituye su respuesta a la comprobación del formulario antes de que caduque. Un rastreador acreditado por su rango de direcciones publicado (OAI-SearchBot en una ruta cebo) ya no se bloquea ni se denuncia, y un informe que la red rechaza porque avala la dirección sale de la cola de inmediato. Las acciones en lote vuelven a funcionar tras filtrar una lista, y la Protección ampliada en la página Herramientas es una sola tarjeta con un estado y un botón.
• 2.1.69–2.1.71: La página Protección en cinco pestañas con filas de interruptores, filas de plan, detalles plegados, un restablecimiento a la recomendación y una comprobación de la protección. Hive sigue visible para la comprobación de actualizaciones de wordpress.org, así que las instalaciones se cuentan. En una red con un dominio por sitio, los enlaces de administración a otro dominio pasan por el inicio de sesión de ese dominio en lugar de la página de bloqueo.
• 2.1.68: El conjunto de reglas sin conexión incluido bloquea ahora también la inyección SQL basada en errores y la inyección SQL de segundo orden a través del contenido de un trackback, así que también queda protegido un sitio en modo Local Shield. Priority Sync empieza con Contributor: el conjunto de reglas Paranoia Level 2 y los feeds de rangos IP de bots, actualizados cada semana; el Level 3 y la actualización diaria siguen en Professional. El Audit Trail solo guarda la identificación del navegador mientras «Log user agents» está activado, el mismo interruptor que en el registro de seguridad.
• 2.1.67: Bloqueos por grupo: una clave que pertenece a un grupo en reportedip.com refleja la lista del grupo cada quince minutos como bloqueos del tipo Group Ban, que se levantan cuando una entrada sale de la lista, sin tocar la Whitelist ni los bloqueos manuales. La página Community muestra el grupo y la reputación en la comunidad de la dirección desde la que se conecta este sitio web. Un comentario procedente de un navegador que nunca ejecutó el script se rechaza en la puerta, como en cualquier otro formulario protegido, y un enlace en el texto del comentario cuenta como uno en el campo del sitio web.
• 2.1.66: La protección de formularios llega a Forminator (Business), tanto si el formulario está en la página como si se carga después. Un campo señuelo relleno ahora se bloquea y se reporta al primer intento en lugar del tercero: nadie puede ver ese campo, rellenarlo solo lo consigue una máquina, y esperar a dos intentos más solo regalaba dos envíos libres. A quien nunca ejecutó el script en su navegador no le afecta y se le sigue rechazando sin más. Una dirección de su lista de confianza ya no puede ser bloqueada por una comprobación que actúa tan rápido, y el informe a la comunidad ya nombra el formulario o las señales en vez de decir «actividad sospechosa».
• 2.1.65: La protección de formularios llega a WPForms y WPForms Lite (Business), tanto al enviar la página como en segundo plano. Un envío rechazado de Elementor ya no manda el correo del formulario: Elementor solo detiene un envío con un error de campo, así que un rechazo dado solo como mensaje dejaba salir el correo y avisaba del fallo después. Los registros por Ultimate Member ya no se rechazan cuando los rellena una persona.
• 2.1.63: La protección de formularios llega a Gravity Forms (Business), incluidos los formularios enviados en segundo plano y los formularios de varias páginas; un envío rechazado es un error de validación que el remitente ve, nunca una entrada silenciosa en la carpeta de spam. La protección de Contact Form 7 está incluida en todos los planes, Ultimate Member pasa a Business. La regla de traversal del firewall reconoce ahora también la forma doblemente codificada que hay detrás de la corrección de plantillas de WordPress 7.1.2.
• 2.1.62: El registro de auditoría recoge quién cambió qué: ocho grupos de activación (cuentas, páginas y entradas, plugins y temas, ajustes con valor antiguo y nuevo, menús y widgets, el editor de archivos, la red) con el usuario que actuó, la vía de la petición y el objeto afectado, un interruptor por grupo, 90 días de retención por defecto con limpieza por bloques, un filtro por sitio para redes y una página Registro de auditoría para cada administrador de sitio. Cada tipo de evento vive en un único registro; el filtro del registro de eventos se puede buscar y selecciona grupos completos, y el spam de formularios vuelve a los gráficos.
• 2.1.58–2.1.61: La prueba de ejecución de formularios puede exigir un cálculo (Professional), un sustituto del captcha que sus propios formularios usan mediante una pequeña API; Contact Form 7 y Ultimate Member están cubiertos en Professional, Formidable Forms y Elementor Forms en Business; el filtro de spam de comentarios lee ocho señales más; los ajustes de formularios tienen su propia tarjeta y cada ajuste indica el plan al que pertenece.
• 2.1.57: La página Actividad abre en el registro de eventos tras una barra de filtros que se puede guardar como marcador, la página Comunidad se divide en Ajustes, Comunidad e Insignias (insignia de pie de un clic y generador de banners), el panel lleva una sola línea de estado y áreas de protección plegadas, y los avisos sobre la cola de informes callan mientras nada pueda enviarla. Una clave rechazada ya no cuenta como intento fallido en la ventana de salud de la API.
• 2.1.56: Las páginas Ajustes y Cortafuegos fueron sustituidas por una página de Protección (una tarjeta por área del registro, buscador, profundidad sencilla y experta, un servicio de guardado compartido con MainWP, la flota y la importación) y una página de Herramientas para el drop-in, la sincronización de reglas, las excepciones del WAF, importar, exportar, reiniciar y el correo de prueba. El panel ganó un banner de estado, tarjetas de siguiente paso desde seis detectores informativos y una fila por área de protección. Las direcciones antiguas redirigen.
• 2.1.54–2.1.55: El asistente de instalación se convirtió en un inicio rápido de una página que lee el plan de la comprobación de la clave y activa una recomendación acorde a través del registro de configuración; una mejora de plan posterior activa lo que el nuevo plan recomienda para los valores sin tocar. Cada ajuste guardado sigue ahora un único estándar y el panel muestra las últimas noticias de reportedip.com en el idioma del administrador.
• 2.1.52–2.1.53: Defensa de comentarios y formularios. Un filtro de spam puntuado con unas veinte señales (un comentario a la espera de moderación ya no es un veredicto de spam), una prueba de ejecución resistente a la caché en los formularios de comentario, registro y restablecimiento, y la consulta de reputación comunitaria ampliada de la página de acceso a esos mismos tres formularios. Gratis en todos los planes.
• 2.1.51: Cinco nuevas protecciones. Defensa del registro (nombres de usuario prohibidos, reglas de correo electrónico, un límite de registro por IP, un bloqueo de acceso para inicios de sesión con nombres de usuario que no existen), controles de bloqueo de acceso para REST, XML-RPC, feeds, wp-admin, PHP en subidas y huellas de versión, y un registro de preparación del sistema con doce detectores, todo ello gratuito en todos los planes. Bloqueo de cuentas y del gestor de sesiones en Usuarios → Sesiones en el plan Business; desencadenantes adaptativos de refuerzo de dos factores por rol en el plan Professional. Se han trasladado setenta opciones al registro de configuración (169 en total, todas descritas, 71 gestionables de forma remota); la importación de configuraciones ya no puede eludir el sanitizador, y Hardening Mode ahora también limita los umbrales en las superficies de Login de WooCommerce y de contraseñas de aplicación.
• 2.1.48–2.1.50: Gestión de flotas en la nube (Business) a través de tres rutas REST firmadas con Ed25519 con una ventana de vigencia, ID de solicitud de un solo uso y vinculación de audiencia; activación opcional y desactivada por defecto. Un umbral mínimo del 25 % por debajo del umbral de bloqueo de confianza de la comunidad, con la migración a la v16 que elimina los valores mínimos almacenados, y gestión completa de IP en WP-CLI (whitelist, block, unblock, blocked list, attempts reset) junto con wp reportedip status.
• 2.1.42–2.1.47: La auditoría de seguridad y corrección: admin-ajax.php realizada dentro de la puerta de bloqueo y el cortafuegos, códigos TOTP de un solo uso, una excepción del WAF que ya no oculta las reglas que hay detrás, sondas codificadas en porcentaje detectadas por tres sensores más y cuarenta y dos controladores AJAX en un guardián de permisos compartido. Además, una identidad de instalación al estilo de wp.org en cada solicitud de API, una ficha de dominios con licencia en el Dashboard, el registro de configuraciones canónicas con su protocolo remoto versionado y las actualizaciones de plugins visibles de nuevo para MainWP y ManageWP.
• 2.1.37–2.1.41: Bloqueo opcional de nodos de salida de Tor (Professional, conjunto de reglas firmado tor_exits ), rangos de origen de proxies de confianza contra el Spoofing de encabezados reenviados, un widget de seguridad en el Dashboard de wp-admin, un veto de «bloqueo nulo» para la infraestructura verificada por la comunidad, una búsqueda de IP más completa con wp reportedip lookup, ganchos de integración estables (reportedip_hive_threshold_exceeded), contadores de intentos a prueba de conflictos (esquema v15), además de un cortafuegos más estricto: las exenciones para rastreadores requieren una señal verificable, los grupos de reglas de Payload bloquean al primer impacto, las compilaciones de lanzamiento vuelven a incluir los conjuntos de reglas integrados y cuatro reglas cierran la cadena de la pantalla de inicio de sesión CVE-2026-64638 (XSS2Shell). El dominio se ha trasladado a reportedip.com.
• 2.1.33–2.1.36: Compatibilidad oficial con YubiKey y llaves de seguridad de hardware: procedimientos completos de WebAuthn en las tres superficies de verificación, un gestor de claves múltiples con detección de modelos basada en certificación (Business), detección de claves clonadas mediante regresión del contador de firmas con alertas por correo en todos los planes, Ed25519 cuando libsodium está disponible, y una sección de 2FA en lenguaje sencillo rediseñada con un método predeterminado seleccionable por el usuario.
• 2.1.26–2.1.32: Verificación cruzada de rastreadores verificados (un agente de usuario Googlebot Spoofing no compra nada), un mecanismo central de protección que nunca bloquea a un bot verificado, bloqueos basados en la reputación de la comunidad que cubren todas las superficies, prevención del autobloqueo para las propias direcciones del servidor, Block Escalation ponderada por volumen y la mejora de rendimiento: de 36 a 11 consultas por solicitud, lectura de un encabezado de Blocklist de 8 KB y TTFB del Dashboard de 920 a 278 ms (esquema v13).
• 2.1.25: El WAF bloquea la clase de ataques de confusión de rutas REST del núcleo de WordPress en todos los planes (reglas estructurales, no coincidencia de tokens), inspecciona una copia descodificada del cuerpo de la solicitud (cerrando una vía de elusión del Payload codificado) y los bloqueos de Paranoia-Level 2/3 muestran su categoría de referencia específica.
• 2.1.22–2.1.24: La autenticación de dos factores (2FA) obligatoria pasa a ser de inscripción forzada en lugar de bloqueo (los administradores y superadministradores nunca pueden quedar bloqueados de forma definitiva); el envío duplicado del desafío de 2FA ya no deja a los usuarios en el estado «sesión caducada»; la prueba de RCE de PHPUnit eval-stdin.php (CVE-2017-9841) queda bloqueada en todos los planes.
• 2.1.14–2.1.20: Corrección del alojamiento en producción: fechas y horas coherentes con UTC (el bloqueo automático fallaba de forma silenciosa en servidores de bases de datos que no utilizaban UTC), Hide Login funciona detrás de las cachés de página y en sitios con barra final o que utilizan Nginx, Extended Protection se configura automáticamente en nginx + PHP-FPM y omite la inspección del cuerpo para los editores que han iniciado sesión, la salud de la API utiliza una ventana móvil y se ha eliminado el sondeo de cuotas de retransmisión en rutas de alto tráfico.
• 2.1.9–2.1.13: WAF Exceptions gestionadas por el backend con una acción de «Permitir» con un solo clic (esquema v10), registro de bloqueos autoexplicativo (valor coincidente, destino, método, URI, agente de usuario), el aprovisionamiento de MainWP puede cambiar los sitios al modo «Comunidad», y el Dashboard de seguridad se ha convertido en una vista analítica completa (siete familias de amenazas, gráfico de grupos de reglas del WAF, principales atacantes).
• 2.1.0–2.1.8: El lanzamiento del cortafuegos: un «Rule Delivery Framework» (marco de entrega de reglas) proporcionado por el servidor y firmado con Ed25519 que alimenta un Web Application Firewall (WAF) que inspecciona las solicitudes (motor gratuito + configuración básica «Paranoia-Level-1», nivel PRO 2/3 mediante Priority Sync), Verified Bot Detection, Disposable-Email Blocking, Comment Honeypot, Security Headers (básicos gratuitos, avanzados PRO), Protection & Hardening Score en el Dashboard, códigos de referencia de la página de bloqueo (X-RIP-Ref), el Audit Event Trail empresarial (esquema v9), MainWP Integration y un área de administración del cortafuegos, seguido de correcciones de False Positives para rastreadores legítimos y la eliminación a prueba de fallos mediante «drop-in».
• 2.0.x: Activación Multisite en toda la red (Network: true), gestión de niveles por blog, banners de actualización de nivel, monitores de contraseñas de aplicaciones y anomalías geográficas reforzados, Frontend 2FA en la interfaz de usuario de WooCommerce disponible a partir de PRO+, Hardening Mode para ataques coordinados y detección e informe de rutas señuelo.
• 1.5.2: Compatibilidad con plugins de caché en la página 403; la limitación de la autenticación de dos factores (2FA) pasa a ser un bloqueo de escalación real; init prioridad 1.
• 1.5.1: Mayor claridad en la pestaña de bloqueo (Solo informar > Bloqueo automático > estrategia de duración); intercambio en línea de los editores de longitud fija y de escalera.
• 1.5.0: Progressive Block Escalation (escalera de 5 m → 7 d); los Endpoints del banner de cookies se omiten por defecto; se han relajado los valores predeterminados para los errores 404 y el spam en los comentarios.
• 1.2.4: El botón «Reintentar» de la cola de la API ahora realmente activa la llamada a la API.
• 1.2.0: Siete nuevos sensores: monitor de contraseñas de aplicaciones, monitor de ráfagas REST, bloqueo de User Enumeration, detector de errores 404 y escaneos, anomalías geográficas, solidez de contraseñas y ocultación de la URL de inicio de sesión.
• 1.1.0: Sistema de envío de correos centralizado con plantilla de marca.
• 1.0.0: Lanzamiento público inicial: bloqueo de IP, 2FA con 4 métodos, Setup Wizard, tablas de listas.

Última actualización: 16. octubre 2026 · Mantenido por el equipo de ReportedIP