Sensores y bloqueos
Dieciséis sensores vigilan el formulario de inicio de sesión, XML-RPC, la REST API, los formularios y la propia solicitud. Un sensor que alcanza su umbral bloquea la dirección en una escalera de escalado, registra el evento y, en Community Network, lo reporta. Esta página enumera cada sensor con su valor por defecto y explica qué decide un bloqueo.
Los dieciséis sensores de ataque
Cada sensor tiene su propio interruptor y sus umbrales en Core protection → Detection & Thresholds, los sensores de formularios en Forms. Tres filas de la tabla son complementos y no sensores propiamente dichos: las rutas cebo reportan en lugar de bloquear, Hide Login es un interruptor de acceso y la escalera de escalado es la respuesta que alimenta cada sensor. Los dieciséis forman parte del plugin gratuito.
| Sensor | Qué vigila | Por defecto |
|---|---|---|
| Fuerza bruta en el inicio de sesión | Inicios de sesión fallidos por dirección mediante wp_login_failed. | 5 en 15 min |
| Password spraying | Distintos nombres de usuario probados desde una misma dirección, el patrón lento y discreto. | 5 en 10 min |
| Spam en comentarios | Cada comentario se puntúa con unas veinte señales: los enlaces y cuánto texto ocupan, dominios distintos, dominios de correo desechable, dominios de nivel superior regalados, un dominio o cifras en el nombre del autor, escritura extranjera, el idioma del texto frente al del sitio, un elogio inicial junto a un enlace, un destino de enlace o un texto ya recibido antes, la falta de user agent o de un campo del formulario. Tienen que coincidir varias señales. Un comentario puntuado va a spam (por defecto), se rechaza o se deja a WordPress. Un comentario pendiente de moderación no cuenta. | Puntuación 7; 3 comentarios de spam en 24 h bloquean la dirección |
| Abuso de XML-RPC | Llamadas XML-RPC por dirección mediante xmlrpc_call. | 10 en 60 min |
| Ráfaga REST | Solicitudes REST anónimas por dirección. Se omiten los namespaces de banners de consentimiento real-cookie-banner, complianz, borlabs-cookie y cookie-law-info. Los usuarios con sesión iniciada nunca cuentan. | 240 en 5 min |
| 404 y escáner | Ráfagas de respuestas 404 y, de inmediato, una solicitud a una ruta de sondeo como .env, .git/config o wp-config.php.bak. | 12 en 2 min |
| Rutas cebo | Rutas que ningún visitante real pide (.env.backup, wp-config.old.php, ...). Un impacto devuelve un 403 y pone en cola un reporte comunitario de gravedad alta, sin bloqueo local, para que un plugin de copias de seguridad que escriba un archivo así no pueda dejar al sitio fuera de sí mismo. En Apache, un bloque marcado sobre # BEGIN WordPress dirige a WordPress los archivos reales con ese nombre; nginx recibe un fragmento. | 1 impacto = 403 y reporte |
| Web Application Firewall | URI, query string, cuerpo y user agent frente al conjunto de reglas activo. Consulta Cortafuegos y WAF. | Paranoia Level 1 |
| Bots verificados | Una solicitud que dice ser Googlebot, Bingbot u otro gran rastreador se comprueba contra los rangos publicados del rastreador y después mediante DNS inverso con confirmación directa. Un falso se marca o se bloquea; un rastreador real nunca se bloquea. | Marcar en Local Shield, bloquear en Community Network |
| Defensa del registro | Un conjunto de reglas para todas las vías de alta. Consulta Reglas de registro. | Límite de 3 en 60 min |
| Prueba de ejecución en formularios | Un campo cebo invisible más un campo que añade un pequeño script, en los formularios de comentarios, registro y restablecimiento de contraseña y en Contact Form 7. Consulta Formularios y spam. | Activada |
| Comprobación comunitaria en formularios | La dirección de un comentario, registro o restablecimiento de contraseña se comprueba con la comunidad al mismo nivel de protección que el inicio de sesión. Deja pasar la solicitud si hay un tiempo de espera agotado o la cuota se ha acabado. Solo Community Network. | Activada en Community Network |
| Enumeración de usuarios | Bloquea ?author=N, /wp-json/wp/v2/users y las consultas de usuario por oEmbed, y da el mismo error para un nombre de usuario incorrecto que para una contraseña incorrecta. Los archivos de autor pueden seguir públicos con un interruptor aparte. | 5 en 5 min |
| Contraseñas de aplicación | Inicios de sesión fallidos con contraseña de aplicación por dirección, lo que cierra la vía de Basic Auth que esquiva la 2FA. | 5 en 15 min |
| Anomalía de inicio de sesión | País y red de un inicio de sesión correcto frente al historial de 90 días del usuario; uno nuevo puede revocar los dispositivos de confianza, de modo que el siguiente inicio de sesión vuelve a pedir el segundo factor. Necesita los datos de reputación de Community Network. | Activada |
| Política de contraseñas | Longitud mínima y clases de caracteres para los roles cubiertos y, opcionalmente, una comprobación de filtraciones con Have I Been Pwned (solo salen del sitio los cinco primeros caracteres del hash SHA-1). | 12 caracteres; comprobación de filtraciones desactivada |
| Hide Login | Una dirección de inicio de sesión propia en lugar de wp-login.php; la antigua responde con una página de bloqueo o un 404. Los accesos repetidos a la antigua dirección desde una misma IP cuentan como escaneo. | Desactivado; slug de 3 a 50 caracteres |
| Escalado de bloqueos | La escalera que alimenta cada sensor, ver abajo. | De 5 min a 7 días |
| Inicio de sesión de WooCommerce | Los fallos en el inicio de sesión de Mi cuenta y del checkout cuentan para el contador de fuerza bruta. | Igual que fuerza bruta |
Las direcciones propias del servidor nunca se bloquean automáticamente, así que un precargador de caché o un loopback de WP-Cron no pueden dejar al sitio fuera de sí mismo. Una dirección de la lista blanca no la bloquea ninguna capa.
Escalado de bloqueos
Los reincidentes pagan más. La escalera por defecto es 5 min, 15 min, 30 min, 24 h, 48 h, 7 días. Tras 30 días tranquilos, una dirección vuelve a empezar en el primer escalón. Un visitante que superó un umbral por error, detrás de un NAT de operador o por una errata, vuelve en minutos; un atacante persistente llega al séptimo día. Una ráfaga muy intensa puede subir varios escalones de golpe. La escalera, el periodo de reinicio y el interruptor están en Blocking & Escalation; con la escalera desactivada se aplica la duración fija del bloqueo.
El modo report-only registra y reporta cada detección, pero no bloquea nada, lo que ayuda a ajustar los umbrales en un sitio con mucho tráfico. El formulario de la lista blanca tiene la ayuda Add my IP; para una conexión IPv6 rotatoria, añade tu rango /64 en lugar de una sola dirección.
Reputación comunitaria
En Community Network, la dirección de un intento de inicio de sesión, y la de un comentario, registro o restablecimiento de contraseña, se comprueba con la comunidad. A partir del nivel de protección (75 % por defecto, nunca por debajo del 25 %) se rechaza y se bloquea localmente durante 24 horas. Las direcciones que la comunidad conoce como infraestructura, tu propio servidor y las direcciones de la lista blanca nunca se rechazan así. Cuando el servicio no responde, un tiempo de espera agotado pausa las consultas en vivo durante dos minutos y, mientras tanto, el sitio deja pasar las solicitudes. Confidence Score explica cómo se calcula el valor.
Modo de refuerzo durante oleadas de ataques
Forma parte del complemento Pro a partir del plan Professional. Cuando varias direcciones atacan el inicio de sesión
a la vez, el modo de refuerzo endurece los umbrales de inicios de sesión fallidos y de reputación en toda la red
durante una hora y amplía la ventana mientras dure la oleada. Está activo a partir del plan Professional y se ajusta
en Advanced → Attack Response; wp reportedip hardening lo muestra, lo inicia o
lo termina a mano.
Nodos de salida de Tor
Forma parte del complemento Pro a partir del plan Professional, en Community Network. El interruptor en
Blocking & Escalation está desactivado por defecto. La lista de nodos de salida llega como un
conjunto de reglas firmado y se actualiza dos veces al día; la marca comunitaria cubre las direcciones que la lista
aún no recoge. Los bloqueos de Tor duran 24 horas (filtro reportedip_hive_tor_block_hours), nunca se
reportan, porque operar un nodo de salida no es prueba de abuso, y nunca afectan a una dirección de la lista blanca.
Bloqueos de grupo
Forma parte del complemento Pro a partir del plan Professional, en Community Network. Una Community Access Key puede pertenecer a un grupo de tu cuenta. El plugin descarga la lista del grupo cada quince minutos y la refleja como bloqueos del tipo Group Ban, hasta la caducidad que indica el servicio. Una entrada que sale de la lista se levanta, y la lista blanca del grupo llega como entradas de la lista blanca con el origen Group. La lista blanca gana como siempre, y un bloqueo puesto a mano nunca se toca. Los bloqueos de grupo no son un sensor.
El panel muestra una tarjeta del grupo, y Activity → IP Lists → Group muestra cada
dirección de la lista con el miembro que la reportó y lo que este sitio hizo con ella: bloqueada por el grupo, ya
bloqueada, en la lista blanca, el propio servidor, modo report-only, ventana terminada o levantada a mano. Cada
sincronización que cambia algo escribe una fila group_list_synced. Un plan sin grupos, una clave que
sale de su grupo, Local Shield o un complemento desactivado eliminan todo lo que el grupo puso en el sitio.
Última actualización: · Mantenido por el equipo de ReportedIP