Configurar la seguridad de WordPress: el inicio rápido de ReportedIP Hive paso a paso
Con ReportedIP Hive, la seguridad de WordPress se configura en una sola página y con dos decisiones: cómo se conecta el sitio y con qué plan funciona. Todo lo demás, desde el bloqueo de ataques de fuerza bruta hasta el tiempo de conservación de los registros, viene preconfigurado y se puede cambiar después.
Esta guía recorre el inicio rápido pantalla por pantalla, detalla qué activa en cada plan y explica cómo probar el resultado con tráfico real antes de bloquear a ningún visitante. La interfaz de Hive está en inglés, así que los textos de los botones aparecen tal como se ven en pantalla.
¿Qué configura el inicio rápido de ReportedIP Hive?
El inicio rápido es una única página titulada Set up ReportedIP Hive. Sustituye al asistente de diez pasos de las versiones anteriores y solo pide dos cosas: un modo de funcionamiento y, en el modo Community Network, una Community Access Key. Con la clave lee el plan de tu cuenta y aplica de una vez la recomendación que corresponde.
Los errores de configuración están entre los fallos más comunes de las aplicaciones web, por eso OWASP los incluye en su Top 10. El inicio rápido responde con valores por defecto que ya son seguros en una instalación nueva, en lugar de una página de ajustes vacía en la que tendrías que encontrar cada opción por tu cuenta.
Antes de empezar: requisitos
- WordPress 5.9 o posterior y PHP 8.1 o posterior.
- Una cuenta de administrador. En una red multisitio, el inicio rápido solo se ejecuta en la administración de la red.
- Para el modo Community Network: una cuenta gratuita en reportedip.com. El inicio rápido enlaza con el formulario de registro, así que puedes crear la cuenta durante la configuración.
Tras activar el plugin, WordPress te lleva una vez al inicio rápido, siempre que la configuración no esté terminada y no haya ninguna clave guardada. Una activación en bloque desde la lista de plugins omite esa redirección. Puedes volver a abrir la página cuando quieras en System Status, tarjeta Quickstart, botón Open quickstart.
El inicio rápido paso a paso
Paso 1: elegir Community Network o Local Shield
En la parte superior de la página hay dos tarjetas. Community Network aparece como recomendada: el sitio comprueba a los visitantes en tiempo real con datos de reputación de miles de sitios y comparte a su vez sus propias detecciones. Local Shield no establece ninguna conexión externa. Funciona solo con los sensores locales, sin comprobación de reputación, sin relay de correo o SMS y sin feed de noticias.
Paso 2: pegar y comprobar la Community Access Key
En el modo Community Network, pega la clave en el campo Community Access Key y pulsa Check. El plugin la verifica con tu cuenta y lee el plan. Si aún no tienes clave, el enlace No key yet? Create a free account abre el registro con la dirección de tu sitio ya rellenada. Si intentas continuar en Community Network sin una clave comprobada, la página se detiene y te pide que compruebes la clave o que elijas Local Shield.
La misma tarjeta indica qué transmite la conexión: cada petición identifica la instalación por su dirección y la versión del plugin, y los datos de los visitantes se limitan a la dirección IP y al tipo de evento de las amenazas detectadas.
Paso 3: revisar qué se activa
La tarjeta What gets switched on enumera cada ajuste que aplica la recomendación. Los elementos por encima de tu plan aparecen en gris y llevan una insignia de plan: ves lo que añadiría una mejora sin que se active nada. Local Shield recibe siempre la recomendación Free.
| Plan | Qué activa la recomendación |
|---|---|
| Free | Protección contra fuerza bruta con bloqueo automático en el nivel Balanced |
| Free | Firewall contra inyecciones y escáneres |
| Free | Bloqueo por reputación de la comunidad a partir del 75 % de confianza |
| Free | Verificación de bots y protección contra spam y registros falsos |
| Free | Cabeceras de seguridad básicas |
| Free | Registros durante 30 días, direcciones IP anonimizadas a los 7 días |
| Professional | Hardening Mode durante oleadas de ataques |
| Professional | Bloqueo de nodos de salida de Tor y cabecera HSTS |
| Professional | 2FA en la tienda para clientes de WooCommerce |
| Professional | Correos y SMS de 2FA a través del relay de la UE, registros durante 90 días |
| Business | Registro de auditoría y bloqueo de cuentas, registros durante un año |
| Business | Protección de formularios para los plugins de formularios compatibles que estén activos en el sitio |
La protección de formularios para Contact Form 7 está incluida en todos los planes. Enterprise recibe la recomendación Business.
Paso 4: decidir sobre los tres interruptores visibles
Tres ajustes se quedan como interruptores bajo la lista, porque cambian lo que ven los administradores o los visitantes. Los tres están activados por defecto.
- 2FA for administrators. Se aplica un periodo de gracia de 7 días, los códigos llegan por app, correo, passkey o SMS, y tu propia configuración empieza justo después del inicio rápido.
- Insignia «Protected by ReportedIP» en el pie de página. Muestra a los visitantes que el sitio está protegido y ayuda a que la red crezca.
- Alert mails. Estos correos se envían a la dirección de administración del sitio ante eventos críticos.
Paso 5: activar la protección o abrir el modo experto
Switch protection on guarda la recomendación y abre el panel. I will set everything up myself (expert mode) guarda la misma recomendación como punto de partida, activa el modo experto para tu usuario y abre la página Protection con todos los campos visibles. Los dos caminos llevan a la misma protección, el modo experto solo muestra más controles.
¿Cómo traspasar los ajustes desde otro sitio?
Debajo de los botones, el enlace Already have an export file? Import settings from JSON admite la exportación de ajustes de otra instalación de Hive. Tras Import and finish, el sitio funciona con los valores importados y abre el panel. Es la forma más rápida de dar los mismos ajustes a un grupo de sitios de clientes. La exportación se crea en System Status, sección Settings import & export.
Qué muestra el panel de seguridad tras la configuración
El Security Dashboard empieza con un aviso que indica desde qué fecha está activa la protección y en qué recomendación de plan se basa. Le siguen cuatro fichas: ataques bloqueados en los últimos 30 días, bloqueos de hoy, IP bloqueadas en este momento y número de capas de protección activas.
Dos puntuaciones valoran la configuración desde ángulos distintos. El Detection Score cuenta los sensores activos, desde el control de inicios de sesión fallidos hasta el bloqueo por la comunidad, e indica cuántos puntos añadiría un plan superior. El Hardening Score cuenta las medidas que reducen la superficie de ataque, como una URL de acceso oculta, la 2FA obligatoria para un rol, las cabeceras de seguridad o XML-RPC desactivado. El sitio de demostración de arriba no tiene casi ninguna activada, de ahí la F. Con los botones Mozilla Observatory y securityheaders.com puedes comprobar el resultado con una herramienta externa.
Más abajo están Next steps, las Protection areas, el gráfico Security Events con un rango de 7, 30 o 90 días, la distribución de amenazas y Recent Activity con los cinco eventos más recientes de las últimas 24 horas. Los sitios en Community Network ven además las tres últimas entradas en News from reportedip.com.
Dónde encontrar después las IP bloqueadas, los registros y los ajustes
| Elemento del menú | Qué encuentras ahí |
|---|---|
| Activity | Event Log, IP Lookup y Audit Trail |
| Activity, pestaña IP Lists | Las direcciones bloqueadas, la lista blanca y las entradas del grupo |
| Protection | Todos los ajustes de protección, agrupados en tarjetas |
| Community | Clave, plan, cuota y estadísticas de la API |
| System Status | Comprobaciones del entorno, el enlace al inicio rápido y la importación y exportación de ajustes |
| 2FA Status | La configuración de 2FA de cada usuario |
| Tools | Pestañas Server, Rules, Data y Diagnostics, visibles en modo experto |
En la lista de direcciones bloqueadas puedes desbloquear una dirección o moverla a la lista blanca, y también importar desde un archivo CSV una lista de direcciones que quieras bloquear.
Cómo probar la configuración sin bloquear a visitantes reales
Abre Protection, tarjeta Blocking & Escalation, y activa el Report-only mode. Hive registra entonces cada evento exactamente como lo habría bloqueado, pero no rechaza a nadie. Revisa el Event Log durante unos días de tráfico normal. Si ningún cliente, editor ni servicio de monitorización aparece como posible bloqueo, desactiva el modo y las mismas reglas empiezan a bloquear.
Las direcciones de confianza, como la red de tu oficina o un monitor de disponibilidad, deben estar en la lista blanca antes de activar el bloqueo.
Preguntas sobre el inicio rápido de seguridad para WordPress
¿Puedo volver a ejecutar el inicio rápido más adelante?
Puedes abrir el inicio rápido en cualquier momento desde System Status, tarjeta Quickstart, botón Open quickstart. Al ejecutarlo de nuevo cambias el modo, la Community Access Key y la protección recomendada, mientras los ajustes existentes se mantienen. Es la forma más rápida de incorporar los nuevos módulos tras pasar de Free a Professional o Business.
¿Envía Local Shield datos a reportedip.com?
Local Shield no establece ninguna conexión saliente con reportedip.com. La detección, el bloqueo y los registros funcionan en tu propio servidor, sin comprobación de reputación, sin relay de correo o SMS y sin feed de noticias. Más adelante puedes pasar a Community Network ejecutando de nuevo el inicio rápido o desde la página Community, sin reinstalar el plugin.
¿Qué pasa con el enlace al antiguo asistente de configuración?
La dirección antigua del asistente redirige al inicio rápido, así que los marcadores y la documentación que apuntan a la configuración anterior de diez pasos siguen funcionando. El inicio rápido sustituyó al asistente en la versión 2.1.54 y hace dos preguntas en lugar de diez, porque ahora el plan decide el resto.
¿La 2FA deja fuera a los administradores tras la configuración?
Los administradores tienen 7 días para configurar un segundo factor, y quien ejecuta el inicio rápido pasa directamente a configurarlo. Los códigos llegan desde una app de autenticación, por correo, por SMS o mediante una passkey, de modo que cada administrador tiene al menos un método que le sirve.
Sigue leyendo
- Los 16 sensores de ataque
- El bloqueo progresivo de IP
- La autenticación en dos pasos de Hive
- Privacidad por defecto y RGPD
La referencia del inicio rápido y la comparativa de planes de la documentación de Hive detallan cada ajuste, y la referencia del panel explica cada gráfico.