Bloquear nodos de salida de Tor en WordPress y obtener la IP real del cliente
Bloquear los nodos de salida de Tor en WordPress frena los intentos de acceso que llegan por la red Tor, pero solo funciona si el sitio ve la dirección real del visitante. Esta guía explica cómo funciona el bloqueo de Tor en ReportedIP Hive, cuándo merece la pena activarlo, cuáles son sus límites y cómo configurar bien la IP del cliente detrás de Cloudflare o de otro proxy.
¿Qué es un nodo de salida de Tor?
Tor envía el tráfico a través de tres relés antes de que llegue a un sitio web. El último, el nodo de salida, es la dirección que ve tu servidor. El Tor Project publica las direcciones de salida actuales en su lista de salidas. El 29 de septiembre de 2026 contenía 1.389 direcciones, todas IPv4. Los relés entran y salen de la red constantemente, así que la lista cambia cada pocas horas. La interfaz de Hive está en inglés, así que las etiquetas citadas también lo están.
Para un sitio WordPress esto significa que cada petición desde Tor viene de una de unas 1.400 direcciones conocidas, que comparten muchos usuarios a la vez. Un bloqueo de IP contra un único atacante de Tor afectaría a todos los que usan esa misma salida, y un atacante nuevo simplemente pasa a la siguiente.
¿Conviene bloquear Tor en un sitio WordPress?
Tor no es un ataque. Periodistas, personas en países con censura y usuarios que valoran su privacidad lo usan a diario. La FAQ sobre abusos del Tor Project lo deja claro: un bloqueo total castiga a estos usuarios por lo que hacen unos pocos.
En la página de acceso, la balanza es distinta. Casi ningún editor real inicia sesión en su propio sitio WordPress a través de Tor, mientras que a los atacantes les gusta porque cada intento llega desde una dirección nueva. Una regla razonable es:
| Situación | Recomendación |
|---|---|
| Nadie del equipo inicia sesión a través de Tor | El bloqueo de Tor tiene sentido. |
| Autores o clientes inician sesión a través de Tor | Déjalo desactivado y exige autenticación de dos factores. |
| Solo quieres observar el tráfico | Empieza con el modo report-only y revisa el registro. |
Los lectores no se ven afectados en ningún caso: la comprobación se hace al iniciar sesión, no al leer una página. Un segundo factor como una passkey protege la cuenta aunque la dirección del atacante sea desconocida, por eso muchos sitios combinan ambas cosas.
Cómo funciona el bloqueo de Tor en ReportedIP Hive
ReportedIP Hive ofrece el bloqueo de Tor desde el plan Professional, en modo Community Network. El sitio recibe de reportedip.com una lista firmada de direcciones de salida a través de la sincronización habitual de reglas. En el servidor, la lista se reconstruye dos veces al día a partir de la lista del Tor Project y solo se publica si la descarga fue completa, así que una descarga fallida nunca sustituye a una lista buena. Hive comprueba la firma de cada conjunto de reglas antes de aplicarlo.
Lo que pasa en la práctica:
- Alguien intenta iniciar sesión con un nombre de usuario existente desde una dirección de la lista de salidas.
- Hive rechaza el acceso con «Access denied: connections from Tor exit nodes are not allowed on this site.».
- La dirección queda bloqueada 24 horas. Durante ese tiempo ve la página de bloqueo habitual de Hive en todo el sitio.
- El Event Log registra «Blocked Tor Exit Node», y la dirección aparece en Blocked IPs con el motivo «Tor exit node».
Si una dirección aún no está en la lista, la comprobación en directo con la red comunitaria puede identificarla igualmente como salida de Tor. Los bloqueos de Tor nunca se comunican a la comunidad, porque la dirección de salida pertenece a muchas personas y no a un solo atacante. Las direcciones de la lista blanca y la dirección de tu propio servidor siempre quedan exentas.
El interruptor se llama Block Tor exit nodes y está en ReportedIP Hive > Protection, tarjeta Blocking & Escalation. Se ve en cuanto activas el Expert mode. En una instalación nueva está desactivado; el Quickstart o el paso a Professional lo activan, siempre que no lo hayas cambiado antes. Con Report-only mode en la misma tarjeta, Hive registra «Would Block Tor Exit Node» en lugar de bloquear, que es la forma segura de probarlo.
Lo que el bloqueo de Tor no puede hacer
- Solo lo activan los accesos con un nombre de usuario real. WordPress comprueba la dirección después de encontrar la cuenta, así que los intentos con nombres desconocidos los gestiona la escalera de bloqueo contra fuerza bruta.
- Las salidas IPv6 no están en la lista. La lista del Tor Project contiene ahora solo direcciones IPv4, así que un usuario de Tor que sale por IPv6 no se reconoce.
- La lista tiene unas horas de retraso. Un relé de salida recién creado puede colarse hasta la siguiente actualización.
- Tor detrás de una VPN no se ve. Quien pasa Tor por una VPN o un proxy privado llega desde otra dirección.
- Los demás ataques pasan por otros sensores. El spam en formularios, los escaneos y los intentos de inyección desde Tor los detienen el firewall y los demás sensores de ataque, no el interruptor de Tor.
Por qué cada bloqueo de IP depende de la IP real del cliente
Detrás de Cloudflare, un balanceador de carga o un proxy inverso, la conexión con tu servidor la hace el proxy, no el visitante. Sin más ajustes, WordPress ve las mismas pocas direcciones de proxy para todo el mundo. El bloqueo de Tor no coincidiría nunca, y cualquier otro bloqueo de IP podría dejar fuera al proxy y con él a todos tus visitantes.
El proxy pasa la dirección real en una cabecera. Hive puede leerla de cuatro cabeceras:
| Cabecera | La establece | Recomendación |
|---|---|---|
| CF-Connecting-IP | Cloudflare | La opción correcta detrás de Cloudflare. |
| X-Real-IP | nginx como proxy inverso | Buena opción si tu proxy la establece él mismo. |
| X-Forwarded-For | Muchos proxys y balanceadores | Solo si el proxy reescribe la cabecera. |
| Client-IP | Algunos proxys antiguos | Solo si no hay otra disponible. |
El riesgo es la suplantación. Una cabecera es solo texto, y cualquiera puede enviar CF-Connecting-IP: 192.0.2.1 directamente a tu servidor. Por eso Hive pide también las direcciones de tus proxys y solo se fía de la cabecera cuando la conexión viene de verdad de uno de ellos. X-Forwarded-For exige más cuidado: Hive lee la primera dirección que contiene, y un proxy que solo añade a la cabecera deja esa primera entrada en manos del cliente. MDN describe este riesgo en sus notas de seguridad. Hive no lee la cabecera Forwarded estandarizada en la RFC 7239.
Cómo configurar la IP del cliente en Hive
Los dos ajustes están en ReportedIP Hive > Protection, tarjeta Detection & Thresholds, en Expert mode:
- Client IP header: la cabecera que establece tu proxy, por ejemplo la opción de Cloudflare. Déjalo vacío si delante del sitio no hay ningún proxy.
- Trusted proxy ranges: las direcciones o rangos CIDR de tus proxys, uno por línea, IPv4 e IPv6. Para Cloudflare, copia los rangos de la lista oficial de IP de Cloudflare.
Si hay una cabecera configurada pero la lista de proxys está vacía, Hive se fía de la cabecera de cualquiera y muestra un aviso permanente en System Status. Las direcciones internas en la cabecera se ignoran, y el mismo ajuste vale para la Extended Protection antes de WordPress. La guía de Cloudflare para restaurar las IP de los visitantes explica la parte del servidor si también quieres direcciones correctas en el registro del servidor web.
Una lista de comprobación para la configuración
- Comprueba si hay un proxy o una CDN delante del sitio y ajusta la cabecera y los rangos de proxys de confianza según corresponda.
- Añade la dirección de tu oficina o de tu casa a la lista blanca.
- Asegúrate de que el sitio funciona en modo Community Network con al menos el plan Professional.
- Activa Block Tor exit nodes junto con Report-only mode durante una semana.
- Busca eventos «Would Block Tor Exit Node» en el Event Log. Si alguno corresponde a un miembro real del equipo, dale otra forma de acceso o deja el bloqueo de Tor desactivado.
- Desactiva el modo report-only.
- Exige en cualquier caso la autenticación de dos factores para los administradores.
Vigilarlo desde el escritorio
El widget ReportedIP Hive: Security del escritorio de WordPress muestra los ataques bloqueados en los últimos 30 días, los bloqueos de hoy, los bloqueos de IP activos, las capas de protección activas y la puntuación de detección como una nota. Está disponible en todos los planes y enlaza con el panel de seguridad y los registros. En una red multisitio muestra cifras de toda la red a los superadministradores.
Preguntas sobre el bloqueo de Tor en WordPress
¿Bloquear los nodos de salida de Tor bloquea también a usuarios de VPN?
Bloquear los nodos de salida de Tor no afecta a los usuarios de VPN. La lista solo contiene las direcciones de salida públicas de la red Tor, unas 1.400 en este momento. Las VPN comerciales usan sus propias direcciones, que no están en ella. Una dirección de VPN solo se bloquea si ataca el sitio por sí misma y activa otro sensor de Hive.
¿Pueden los usuarios de Tor seguir leyendo mi sitio WordPress?
Los usuarios de Tor pueden leer el sitio mientras no intenten iniciar sesión. La comprobación se hace en un acceso con un nombre de usuario existente. Solo después de un intento así se bloquea la dirección de salida durante 24 horas en todo el sitio, lo que en ese tiempo afecta también a otros usuarios de Tor que salen por el mismo nodo.
¿Está disponible el bloqueo de Tor en el plan gratuito?
El bloqueo de Tor necesita el plan Professional o superior y el modo Community Network, porque la lista de salidas llega por la sincronización firmada de reglas. Los ajustes de IP del cliente para proxys y el widget del escritorio son gratuitos en todos los planes. La página de precios compara todos los planes.
¿El bloqueo de Tor detiene los ataques de fuerza bruta?
El bloqueo de Tor detiene los intentos de fuerza bruta que llegan por Tor con un nombre de usuario existente. Los ataques desde botnets, proveedores de hosting o con nombres adivinados los gestionan la escalera de bloqueo progresivo, los límites de peticiones y la autenticación de dos factores. El bloqueo de Tor es una capa entre varias, no un sustituto de ellas.
Sigue leyendo
- La escalera de bloqueo progresivo
- Inteligencia de amenazas de la comunidad
- Todos los métodos 2FA de Hive
La documentación de Hive explica en detalle la entrega de reglas y los modos de funcionamiento. El resto de funciones está en las guías de ReportedIP Hive.