Solución de problemas y preguntas frecuentes
Los problemas más habituales y cómo resolverlos, seguidos de las preguntas frecuentes. Para una solicitud de soporte, descarga el paquete de soporte en System Status y envíalo junto con ella.
Solución de problemas
Te has quedado fuera
Con acceso a la consola, wp reportedip unblock <ip> --reset-attempts levanta el bloqueo y
wp reportedip whitelist add <ip> evita el siguiente. Sin WP-CLI, añade tu dirección a la tabla de
la lista blanca mediante phpMyAdmin o la consola de base de datos de tu alojamiento; una dirección de la lista
blanca gana sobre cualquier bloqueo:
INSERT INTO wp_reportedip_hive_whitelist (ip_address, ip_type, reason, added_by, is_active)
VALUES ('203.0.113.42', 'ipv4', 'Self-rescue: restore admin access', 1, 1);
Usa 'ipv6' o 'cidr' como tipo para una dirección IPv6 o un rango; para una conexión IPv6
rotatoria, añade el /64 como 'cidr'. Otra opción es borrar la fila:
DELETE FROM wp_reportedip_hive_blocked WHERE ip_address = '203.0.113.42';. Sustituye wp_
por el prefijo de tus tablas (en una red, el prefijo base). Si Extended Protection está activada y el bloqueo
persiste, borra también wp-content/uploads/reportedip-hive/blocked-*.list; se regenera en la siguiente
sincronización. Si has perdido la dirección de inicio de sesión oculta,
define( 'REPORTEDIP_HIVE_DISABLE_HIDE_LOGIN', true ); en wp-config.php recupera
wp-login.php.
Bloqueado por la 2FA
Usa uno de los códigos de recuperación. Un administrador puede restablecer el segundo factor de cualquier usuario
en Usuarios → Two-Factor, o con wp reportedip 2fa reset <user_id>. Un
usuario obligado sin método no queda fuera tras el periodo de gracia, sino que pasa a la configuración; los
administradores y superadministradores siempre siguen ese camino.
No se bloquea nada
Comprueba si el modo report-only está activado, de forma global o para el cortafuegos: registra sin bloquear. Comprueba que el bloqueo automático esté activado y que el nivel de protección no sea demasiado alto.
Se bloquea a visitantes reales
Pide el código de referencia de la página de bloqueo y búscalo en el registro para ver qué regla o sensor saltó. Añade las direcciones o rangos de confianza a la lista blanca. Cuando muchos visitantes comparten una dirección, detrás de un NAT de operador o en una oficina, sube el umbral del sensor correspondiente. Si el sitio está detrás de un proxy y todos los visitantes aparecen con la misma dirección, falta la cabecera de IP del cliente; consulta proxies de confianza.
El cortafuegos bloquea una solicitud legítima
Busca la fila en Activity y haz clic en Allow: crea una excepción acotada para esa regla en esa ruta, para ambas capas. Consulta excepciones.
Extended Protection indica «not running»
Es típico en nginx cuando el .user.ini escrito no se lee, por ejemplo porque
user_ini.filename está vacío. Tools → Server ofrece la línea para el pool de
PHP-FPM o php.ini y el fragmento fastcgi_param de nginx, y muestra si la protección se ejecutó en la
solicitud actual. El motor dentro de WordPress protege el sitio en cualquier caso.
Algo dejó de funcionar tras un interruptor de bloqueo de acceso
Vuelve a desactivar el sospechoso en Firewall & Bots → Access Lockdown; surte efecto al
momento. Casos típicos: una app o un servicio que todavía usa XML-RPC, un front-end headless o un plugin del editor
que llama a la REST API sin iniciar sesión (añade su namespace a la lista de permitidos en su lugar), un servicio de
podcast o de boletines que lee el feed, un proveedor de pagos que envía datos a /wp-admin/. El registro
enumera cada rechazo con su ruta.
El sitemap de usuarios ha desaparecido
wp-sitemap-users-1.xml desaparece mientras el bloqueo de la enumeración de usuarios está activado, que
es lo predeterminado, porque enumera los nombres de usuario que esa defensa oculta. Los buscadores no lo necesitan;
los archivos de autor pueden seguir públicos con su propio interruptor.
Se bloquean las solicitudes del banner de consentimiento
Los namespaces real-cookie-banner, complianz, borlabs-cookie y
cookie-law-info se omiten por defecto. Añade otro con el filtro
reportedip_hive_rest_bypass_routes.
Errores de conexión en Community Network
El servidor debe llegar a reportedip.com por HTTPS; algunos alojamientos bloquean las conexiones
salientes. Comprueba la clave con Test Connection en la página Community y el estado en tu
cuenta. Un servicio lento nunca bloquea un inicio de
sesión: las consultas dejan pasar la solicitud.
Se agotan las comprobaciones diarias
Aumenta cache_duration en Operations → Performance & Footprint, fija un
límite por hora o pasa a un plan con más comprobaciones. El panel muestra la cuota y la cola.
El complemento Pro sigue inactivo
El complemento solo funciona junto a un plugin gratuito activo a partir de la versión 3.0.0 y muestra un aviso cuando falta. También necesita una clave con un plan de pago; sin ella, las funciones permanecen bloqueadas y no se entregan actualizaciones.
Preguntas frecuentes
¿ReportedIP Hive es gratuito y necesito una cuenta?
El plugin es gratuito bajo la GPL y funciona sin cuenta en Local Shield. Una cuenta gratuita añade la comprobación comunitaria y los conjuntos de reglas sincronizados. El complemento Pro es para los planes de pago.
¿Ralentiza mi sitio?
Una dirección bloqueada se rechaza al inicio de la solicitud, antes de que carguen los temas y la mayoría de los plugins. La comprobación de bloqueo es una consulta indexada, la lista blanca se guarda en caché por solicitud y los reportes salen en segundo plano mediante WP-Cron.
¿Puedo usarlo junto a otro plugin de seguridad?
Sí, pero desactiva las funciones que se solapan. Dos plugins que limitan ambos los intentos de inicio de sesión o que piden ambos un segundo factor bloquean a los usuarios dos veces, así que quédate con uno de cada.
¿Funciona con WooCommerce?
Sí. Los formularios de inicio de sesión y de registro de WooCommerce cuentan igual que wp-login.php y pasan por las reglas de registro. El segundo factor dentro de la tienda llega con el complemento Pro.
¿Funciona detrás de Cloudflare?
Sí. Elige CF-Connecting-IP como cabecera de IP del cliente e indica los rangos de Cloudflare como proxies de confianza, para que la cabecera no se pueda falsear.
¿Sigo necesitando un CAPTCHA?
Normalmente no. La comprobación invisible de formularios detiene los envíos automatizados en comentarios, registros, restablecimientos de contraseña y Contact Form 7 sin acertijos para tus visitantes, y el complemento la amplía a más plugins de formularios.
¿Puedo importar los ajustes de otro sitio?
Sí, en Tools → Data como archivo JSON de hasta 512 KB. La clave de acceso y los secretos 2FA no forman parte de la exportación.
¿Busca malware?
No. Hive no analiza archivos ni vigila su integridad. Usa un escáner junto a él si el sitio lo necesita.
¿Dónde está el código fuente?
En GitHub y en el repositorio de wordpress.org del plugin. Los problemas de seguridad se envían a abuse@reportedip.com, no a una incidencia pública.
Última actualización: · Mantenido por el equipo de ReportedIP