Hive Light en WordPress.org: protección gratuita del acceso a WordPress
Actualización del 16 de octubre de 2026: desde la versión 3.0.0, Hive Light forma parte de ReportedIP Hive y ya no se ofrece como plugin independiente. Las instalaciones existentes reciben ReportedIP Hive como una actualización normal a través de WordPress.org y conservan la lista blanca, los bloqueos y los ajustes. La información actual está en la documentación de ReportedIP Hive.
ReportedIP Hive Light es un plugin gratuito de protección del inicio de sesión para WordPress, disponible en el directorio oficial de plugins de WordPress.org desde el 17 de mayo de 2026. Cuenta los inicios de sesión fallidos por dirección IP, bloquea a los atacantes en una escala creciente de 5 minutos a 7 días y funciona sin cuenta.
Puedes instalarlo desde Plugins → Añadir nuevo plugin en tu escritorio de WordPress. Este artículo se actualizó el 29 de septiembre de 2026 para la versión 1.3.7. La interfaz del plugin está en inglés, por eso los nombres de menús y campos aparecen aquí en el original.
¿Qué es ReportedIP Hive Light?
Hive Light es la edición de WordPress.org de ReportedIP Hive. Tiene una sola tarea: proteger el inicio de sesión estándar de WordPress contra ataques de fuerza bruta y de password spraying. El plugin tiene licencia GPL-2.0 o posterior, no cuesta nada y no reserva ninguna función para un plan de pago.
| Dato | Valor |
|---|---|
| Versión actual | 1.3.7 |
| Requiere WordPress | 6.1 o posterior |
| Probado hasta | WordPress 7.0 |
| Requiere PHP | 8.1 o posterior |
| Licencia | GPL-2.0 o posterior |
| Precio | Gratis |
El slug del plugin es reportedip-hive, así que la ficha está en wordpress.org/plugins/reportedip-hive. En tu menú de administración el plugin aparece como ReportedIP Hive Light.
¿Cómo detiene Hive Light los inicios de sesión por fuerza bruta?
El plugin se engancha a dos acciones de WordPress. No necesita ningún archivo de reglas ni acceso a la configuración del servidor.
wp_login_failedregistra cada inicio de sesión fallido y lo suma al contador de la IP de origen. El contador escribe de forma atómica en la base de datos, así que las peticiones en paralelo no se cuelan.wp_authenticate_userrechaza las direcciones bloqueadas antes de que WordPress compruebe la contraseña. Un atacante bloqueado no tiene más intentos.
Una segunda comprobación detecta el password spraying, en el que una dirección prueba muchos nombres de usuario distintos. La página de OWASP sobre password spraying explica por qué este patrón esquiva los bloqueos por cuenta. Por eso Hive Light cuenta por dirección IP.
Cuando una dirección supera el umbral que has definido, queda bloqueada durante 5 minutos. Cada reincidencia la sube un peldaño: 15 minutos, 30 minutos, 24 horas, 48 horas y, por último, 7 días. La página de bloqueo responde con HTTP 403 y cabeceras no-cache, para que WP Rocket, W3 Total Cache, WP Super Cache y LiteSpeed no sirvan un formulario de acceso en caché a un visitante bloqueado.
Los inicios de sesión fallidos en formularios de WooCommerce también cuentan, porque WooCommerce dispara la misma acción wp_login_failed. Hive Light no vigila las contraseñas de aplicación.
¿Qué puedes gestionar en el área de administración?
El menú ReportedIP Hive Light tiene cuatro páginas:
- Dashboard: bloqueos activos, bloqueos e intentos de las últimas 24 horas, el tamaño de la whitelist y los ataques rechazados en 24 horas, 7 días, 30 días y desde el inicio.
- Settings: las pestañas Connection, Protection y Privacy.
- Blocked IPs: la lista de bloqueos con una acción en lote para desbloquear direcciones, también la tuya.
- Whitelist: direcciones y rangos CIDR de confianza, cada uno con fecha de caducidad opcional.
En la primera activación se abre un asistente de configuración de cuatro pasos. El inicio de sesión queda protegido en cuanto el plugin está activo; el asistente solo confirma el modo de funcionamiento y los umbrales.
¿Envía Hive Light datos a reportedip.com?
No por defecto. Hive Light arranca en modo Local Shield: contadores, bloqueos y registros se quedan en tu propia base de datos, y el plugin no hace peticiones salientes.
El modo Community Network es opcional y necesita una Community Access Key gratuita de una cuenta de ReportedIP. En este modo el plugin hace dos cosas más:
- Durante un intento de inicio de sesión consulta la base de datos de la comunidad sobre la IP de origen. Las direcciones con una puntuación de confianza de 75 o más se rechazan. Si la API no responde en 2 segundos, el inicio de sesión continúa.
- Cuando el plugin bloquea una dirección, pone un informe en cola. Una tarea cron envía la cola cada 15 minutos.
Un informe contiene la dirección IP, un número de categoría de amenaza y un breve texto con el motivo. Los nombres de usuario se quedan en tu servidor y solo se guardan como hash SHA-256 con sal de wp_salt(). Las contraseñas, los nombres de dominio y las cabeceras de petición nunca se envían. Volver a Local Shield corta al instante todo el tráfico saliente.
La base jurídica para tratar las direcciones IP es el artículo 6, apartado 1, letra f del RGPD, el interés legítimo en la seguridad de la red. La clave gratuita incluye 1.000 consultas y 50 informes al día.
Hive Light o Full Edition: ¿qué edición necesitas?
Las dos ediciones son gratuitas y tienen licencia GPL-2.0 o posterior. Hive Light llega desde WordPress.org y protege el inicio de sesión. La Full Edition se descarga desde la página del producto y protege todo el sitio con 16 sensores de ataque, un cortafuegos de aplicaciones web y cuatro métodos 2FA.
| Si tu sitio necesita | Edición |
|---|---|
| Solo protección del inicio de sesión | Hive Light |
| Actualizaciones desde WordPress.org | Hive Light |
| Ninguna petición saliente por defecto | Ambas ediciones |
| 2FA con app de autenticación, correo o passkey | Full Edition |
| Protección para XML-RPC, comentarios y la API REST | Full Edition |
| Redes multisitio | Full Edition |
| Códigos SMS a través del relay europeo | Full Edition con Hive Pro |
| 2FA en la tienda WooCommerce | Full Edition con Hive Pro |
| Refuerzo automático ante ataques coordinados | Full Edition con Hive Pro |
Hive Pro es una suscripción de pago para la Full Edition, y la página de precios muestra todos los planes. Hive Light no tiene ningún plan de pago.
¿Cómo pasas de Hive Light a la Full Edition?
Las dos ediciones comparten el mismo slug de plugin y el mismo prefijo de código, así que no pueden funcionar a la vez. Si la Full Edition ya está activa, Hive Light se desactiva sola y muestra un aviso.
- Desactiva Hive Light en Plugins.
- Descarga la Full Edition desde la página del producto Hive y sube el ZIP en Plugins → Añadir nuevo plugin → Subir plugin.
- Activa la Full Edition y ejecuta su asistente de configuración.
Las dos ediciones usan los mismos nombres de tabla, así que las IP bloqueadas y las entradas de la whitelist se quedan en la base de datos. La sección sobre la actualización de la documentación explica los detalles.
¿Qué hooks ofrece Hive Light a los desarrolladores?
Cuatro filtros cambian el comportamiento del plugin:
reportedip_hive_is_whitelisteddeja pasar sin comprobaciones las direcciones de confianza, como runners de CI o sondas de monitorización.reportedip_hive_get_client_ipsustituye la detección de IP cuando tu proxy inverso usa una cabecera que los ajustes no ofrecen.reportedip_hive_event_category_mapcambia las categorías de amenaza antes de poner un informe en cola.reportedip_hive_api_endpointdirige el plugin a otra dirección de API.
Las acciones reportedip_hive_log, reportedip_hive_ip_blocked y reportedip_hive_report_queued te permiten pasar bloqueos e informes a tu propio registro.
Preguntas sobre Hive Light
¿Hive Light es realmente gratis?
Hive Light es gratis con licencia GPL-2.0 o posterior, sin plan de pago y sin funciones bloqueadas. El modo Local Shield funciona sin ninguna cuenta. La Community Access Key opcional también es gratuita e incluye 1.000 consultas de reputación y 50 informes al día. Los planes de pago existen solo para la Full Edition, que es otro plugin.
¿Puede Hive Light bloquearme el acceso a mi propio sitio?
Hive Light puede bloquear tu propia dirección IP si fallas el inicio de sesión demasiadas veces. El primer bloqueo dura 5 minutos. Puedes esperar, o entrar desde otra red y quitar la dirección en Blocked IPs. Si añades de antemano el rango de tu oficina a la Whitelist, el problema no aparece.
¿Funciona Hive Light detrás de Cloudflare?
Hive Light funciona detrás de Cloudflare en cuanto pones el Trusted Proxy Header de la pestaña Connection en CF-Connecting-IP. Configúralo solo si todas las peticiones pasan por el proxy, porque una cabecera enviada directamente a tu servidor se puede falsificar. Sin este ajuste, todos los visitantes aparecen con direcciones de Cloudflare.
Sigue leyendo
La documentación explica los dos modos de funcionamiento de Hive Light y cada función de la Full Edition.