Ajustes de protección
Todos los ajustes de Hive están en una sola página, ReportedIP Hive → Protection. Aquí se explica su estructura, los valores por defecto más importantes, los interruptores de bloqueo de acceso, las cabeceras de seguridad, los ajustes del proxy y el registro de disponibilidad, que vigila las partes de una instalación que fallan sin hacer ruido.
Las cinco pestañas
| Pestaña | Áreas |
|---|---|
| Core protection | Detection & Thresholds, Blocking & Escalation, Hide Login, Two-Factor Authentication, Password Policy |
| Forms | Form Protection, Registration Rules |
| Firewall & Bots | Firewall & Bots, Access Lockdown, Security Headers |
| Advanced | Attack Response (modo de refuerzo) y Adaptive Step-Up, ambas del complemento Pro |
| Operations | Privacy & Logs, Notifications, Performance & Footprint |
Cada área muestra un estado resumido, sus interruptores del día a día como filas y sus ajustes de experto tras Show technical details. El modo experto de la cabecera abre los detalles por defecto. Un campo de búsqueda abarca todas las pestañas. Cada pestaña tiene Save changes y Restore defaults; este último escribe la recomendación para tu plan. Check protection ejecuta en el acto el registro de disponibilidad y muestra el resultado en la página. Una función del complemento Pro que tu sitio no tiene aparece como una fila con el plan al que pertenece, no como un interruptor.
Lo que no es un ajuste está en Tools: la pestaña Server (Extended Protection y los fragmentos para el servidor web), Rules (sincronización de reglas y excepciones del cortafuegos), Data (importación, exportación, restablecimiento, comportamiento al desinstalar) y Diagnostics (correo de prueba, autoprueba de la comprobación de formularios). Tools aparece en el menú en modo experto y siempre es accesible por su dirección.
Cada opción tiene una entrada en un registro de ajustes con su rango, su plan y una descripción de una frase. La página Protection, el inicio rápido, la importación JSON, MainWP y la gestión de flota del complemento Pro escriben a través de él, así que un valor se comprueba igual venga de donde venga.
Los valores por defecto más importantes
| Ajuste | Por defecto | Significado |
|---|---|---|
operation_mode | Local Shield | Local Shield o Community Network; lo fija el inicio rápido. |
block_threshold | 75 % | Confianza comunitaria a partir de la cual se rechaza una dirección. No puede bajar del 25 %. |
failed_login_threshold / _timeframe | 5 / 15 min | Inicios de sesión fallidos por dirección antes de un bloqueo. |
comment_spam_threshold / _timeframe | 3 / 24 h | Comentarios de spam por dirección antes de un bloqueo. |
scan_404_threshold / _timeframe | 12 / 2 min | Respuestas 404 por dirección antes de un bloqueo por escaneo. |
xmlrpc_threshold / _timeframe | 10 / 60 min | Llamadas XML-RPC por dirección antes de un bloqueo. |
rest_threshold / _timeframe | 240 / 5 min | Solicitudes REST anónimas por dirección; se omiten las rutas de los banners de consentimiento. |
block_duration | 24 h | Duración fija del bloqueo mientras la escalera de escalado está desactivada. |
block_escalation_enabled / block_ladder_minutes | Activado / 5, 15, 30, 1440, 2880, 10080 | La escalera de escalado en minutos. |
report_only_mode | Desactivado | Activado: cada sensor registra y reporta, pero nunca bloquea. |
data_retention_days | 30 | Días que se conserva el registro de seguridad. |
auto_anonymize_days | 7 | Días tras los cuales se anonimizan la dirección y el user agent de una fila del registro. |
cache_duration / negative_cache_duration | 24 h / 2 h | Caché de las consultas de reputación positivas y negativas. |
max_api_calls_per_hour | 0 | Límite opcional por hora; 0 significa que solo limita el plan. |
password_min_length | 12 | Longitud mínima de la contraseña para los roles que cubre la política. |
2fa_enforce_roles | administrator | Roles que deben usar un segundo factor. |
2fa_enforce_grace_days | 7 | Días antes de que la obligación lleve a la configuración forzada. |
2fa_trusted_device_days | 30 | Tiempo durante el que un dispositivo de confianza omite el segundo factor. |
hide_login_enabled / _response_mode | Desactivado / página de bloqueo | Dirección de inicio de sesión propia; la antigua responde con una página de bloqueo o un 404. |
Todos los nombres de opción llevan el prefijo reportedip_hive_.
Interruptores de bloqueo de acceso
Interruptores en Firewall & Bots → Access Lockdown que desactivan partes de WordPress que un sitio no usa. Todos están desactivados por defecto y surten efecto al momento cuando se vuelven a cambiar.
- Acceso a la REST API: abierta, solo visitantes con sesión iniciada o roles seleccionados. Los namespaces de la lista de permitidos siguen públicos en todos los modos, ya cargada con los que se rompen si no (
oembed/1.0,wp-site-health/v1, los namespaces habituales de banners de consentimiento y formularios, la WooCommerce Store API);reportedip-hive/v1siempre queda abierto para que las rutas de 2FA sigan funcionando. Los invitados reciben 401, los usuarios con sesión fuera de la lista de roles 403. - XML-RPC: rechaza
xmlrpc.php, desactiva los pingbacks, elimina la cabeceraX-Pingbacky quita los enlaces RSD y WLW. Las contraseñas de aplicación por REST no se ven afectadas. - Feeds: los feeds RSS, Atom y de comentarios responden 404 y sus enlaces desaparecen de la cabecera de la página.
- wp-admin para visitantes: rechaza
/wp-admin/a los visitantes sin sesión iniciada, junto con los alias/adminy/dashboard.admin-ajax.phpyadmin-post.phpsiguen accesibles. Hide Login también cierra wp-admin a los visitantes. - Ejecución de PHP en uploads: un bloque marcado en el
.htaccessde uploads rechaza nombres de archivo parecidos a PHP, incluidoshell.php.jpg. Solo Apache; nginx y los servidores desconocidos reciben el fragmento para pegar. - Huellas de software: elimina la etiqueta generator de WordPress y las cadenas de versión que los plugins escriben en la página. Los números de versión se pueden deducir de las direcciones de los recursos, así que es cosmético. Desactivar además la visualización de errores de PHP forma parte del complemento Pro.
El sitemap de usuarios (wp-sitemap-users-1.xml) desaparece mientras Block user
enumeration está activado, que es lo predeterminado, porque publicaba la lista que esa defensa oculta.
Los rechazos se registran una vez por dirección y evento con un intervalo de cinco segundos
(rest_denied, xmlrpc_denied, feed_denied, admin_guest_denied).
Nunca activan la escalera de bloqueos y nunca se reportan: es control de acceso, no detección de ataques.
Cabeceras de seguridad
Cabeceras de respuesta en cada solicitud del front-end. Una cabecera que ya envía tu servidor u otro plugin se deja tal cual.
- Básicas, gratuitas:
X-Content-Type-Options,X-Frame-Options,Referrer-Policy. - Avanzadas, Professional con el complemento Pro: HSTS (preload opcional),
Permissions-Policy, un generador de Content-Security-Policy (primero en modo report-only) y el trío cross-origin COOP, CORP y COEP.
La pestaña Server de Tools puede exportar las cabeceras configuradas como líneas add_header de nginx o Header de Apache.
Cloudflare, proxies inversos y balanceadores de carga
Detrás de un proxy, la dirección que se conecta es la del proxy, y la dirección del visitante viaja en una
cabecera. Elige esa cabecera en Core protection → Detection & Thresholds → Client IP
header: CF-Connecting-IP, X-Forwarded-For, X-Real-IP,
Client-IP, True-Client-IP o X-Cluster-Client-IP. Después indica las
direcciones del proxy en Trusted proxy ranges, una dirección o rango CIDR por línea, por ejemplo
los rangos publicados de Cloudflare.
Con la lista configurada, la cabecera solo cuenta para solicitudes que vienen de un proxy de la lista, así que nadie que llegue directamente al origen puede hacerse pasar por una dirección de la lista blanca ni librarse de un bloqueo. Una lista vacía acepta la cabecera de cualquier origen y genera un aviso de disponibilidad. La protección previa a WordPress aplica la misma comprobación.
Disponibilidad del sistema
Unos detectores vigilan lo que falla sin hacer ruido. Los problemas abiertos aparecen en System
Status con su gravedad, cuándo aparecieron por primera vez, un enlace al ajuste responsable y un enlace
aquí. Los problemas críticos y las advertencias generan además un aviso en las páginas del plugin, el widget de
wp-admin muestra el recuento y wp reportedip status los enumera en su campo issues. Las
advertencias y sugerencias se pueden aparcar durante siete días; los problemas críticos permanecen hasta que se
resuelven.
- Cola de la protección sin permiso de escritura (crítico). Extended Protection está activada, pero la protección previa a WordPress no puede escribir su cola de impactos, así que sus bloqueos nunca se importan ni escalan. Corrige los permisos del directorio que indica el mensaje o desactiva Extended Protection.
- Tareas programadas detenidas (crítico). Todas las tareas cron de Hive llevan más de 24 horas de retraso: la cola de reportes, la sincronización de reglas y la limpieza están congeladas. Suele ser un loopback de WP-Cron roto; configura un cron del sistema y define
DISABLE_WP_CRON. - WP-Cron desactivado sin sustituto (advertencia).
DISABLE_WP_CRONestá definido,ALTERNATE_WP_CRONno, y ningún disparador externo se ha ejecutado en más de una hora. - Cabecera de IP del cliente sin rangos de proxy (advertencia). La cabecera se acepta de cualquier origen, así que un visitante directo podría falsear una dirección. Añade los rangos de tu proxy en Detection & Thresholds.
- Esquema de base de datos desactualizado (crítico). El esquema guardado va por detrás del plugin, normalmente tras una migración interrumpida. Recargar una página del plugin vuelve a intentarlo.
- Conexión con la comunidad degradada (advertencia). Muchas solicitudes recientes a reportedip.com han fallado. Comprueba el HTTPS saliente y la clave de acceso.
- Asignación del relay de correo agotada (advertencia, complemento Pro). Los correos de 2FA vuelven a
wp_mail()hasta el reinicio mensual o un paquete de recarga. - Asignación del relay de SMS agotada (advertencia, complemento Pro). Los usuarios con SMS como único método deberían añadir un segundo.
- El envío de correo falla (advertencia). WordPress ha informado de errores
wp_mail_failedrepetidos, así que los códigos y las alertas no llegan. Revisa la configuración SMTP. Las direcciones de los destinatarios se eliminan del mensaje guardado. - Sin sistema de cifrado (crítico). No hay libsodium ni OpenSSL, así que los secretos 2FA no se pueden cifrar. Pide a tu proveedor que active uno de los dos.
- La cola de reportes tiene entradas fallidas (advertencia). Algunos reportes agotaron sus reintentos. Vuelve a enviarlos en la pestaña API Queue de la página Activity.
- Atasco en la cola de reportes (advertencia). Los reportes pendientes se acumulan, lo que apunta al cron o a la conexión. Ambas comprobaciones de la cola callan en Local Shield y sin clave.
- La dirección de inicio de sesión sigue siendo pública (sugerencia). Hide Login está desactivado. La tarjeta pide un slug y lo activa en un solo paso.
- 2FA en la tienda disponible pero desactivada (sugerencia, complemento Pro). El sitio usa WooCommerce y el plan incluye el desafío para clientes integrado en el tema.
- Extended Protection posible pero sin ejecutarse (sugerencia). El servidor admite la protección previa a WordPress, así que las solicitudes bloqueadas podrían terminar antes de que arranque WordPress.
- Local Shield en lugar de la comunidad (sugerencia). El sitio se protege a sí mismo, pero ni consulta la red ni contribuye a ella.
- Plugin de formularios aún sin cubrir (sugerencia). Hay un plugin de formularios compatible activo y Hive podría comprobarlo, pero su interruptor está desactivado. Una sugerencia por plugin.
- Grupos incluidos pero sin usar (sugerencia, complemento Pro). El plan incluye grupos y esta clave no está en ninguno. La tarjeta abre Groups en tu cuenta; Grupos los explica.
- Falta tu propio segundo factor (sugerencia). La 2FA está activada para el sitio y la cuenta que mira la página no tiene ningún método. Se muestra por persona.
- Insignia del pie de página desactivada. Ya no se muestra desde la 3.0.0: la insignia es opcional y permanece desactivada salvo que la actives.
Paquete de soporte. System Status también ofrece un archivo JSON para una revisión de soporte:
versiones, los ajustes que difieren de los valores por defecto, disponibilidad, cron, estado de la API, la cola de
reportes, los eventos de un periodo a elegir (1, 7, 14 o 30 días) y los bloqueos activos. No contiene clave de
acceso, contraseñas, nombres de usuario ni direcciones de correo, y las direcciones IP se recortan a su red salvo
que pidas las completas. El mismo archivo se obtiene con wp reportedip support-bundle y desde la
extensión de MainWP.
Puntuación de protección
Dos indicadores del panel valoran la cobertura de detección y el refuerzo de 0 a 100 con una nota de A+ a F. Cada elemento enlaza con el interruptor que la sube. Las funciones que tu plan no incluye cuentan para el potencial visible, no en contra de la puntuación, así que el plugin gratuito puede alcanzar la nota más alta.
Última actualización: · Mantenido por el equipo de ReportedIP