Miles de direcciones que han atacado otros servidores esta mañana se bloquean en ipset o nftables antes de que su primer intento te alcance, y todos los ataques en tus propios registros se detectan y notifican. Un único binario estático para proveedores de hosting y administradores que ejecutan servicios web, de correo, FTP y DNS en las mismas máquinas. Se incluye un servidor con el plan Pro.
14
tipos de fuentes de registros que el instalador reconoce por sí solo: SSH, web, correo, FTP, DNS, el panel de control y el núcleo, cada uno con su propio umbral.
15 min
entre dos actualizaciones de la lista de la comunidad en un servidor con licencia. Una lista sin cambios cuesta un 304 y ninguna transferencia.
1 binario
estático, para amd64 y arm64. Sin cgo, sin intérprete y sin entorno de ejecución en el host que haya que parchear.
Cero
líneas de registro, payloads o User-Agents se nos envían. Un informe consta de una dirección, identificadores de categoría y una frase generada.
Una sola máquina o un rack entero: el agente se instala sin hacer una sola pregunta, encuentra sus registros por sí mismo y se mantiene actualizado solo, tanto en amd64 como en arm64.
Proveedores de hosting y revendedores
Web, correo, FTP, DNS y el panel en una sola máquina. El instalador lee la propia configuración del servidor web y encuentra por sí solo el registro de cada host virtual, cada fuente tiene su propio umbral y un sitio que añadas mañana queda cubierto sin tocar la configuración. Nada del tráfico de tus clientes sale de la máquina.
La detección en detalleCentros de datos y servidores gestionados
Un único comando desatendido para Ansible o cloud-init, actualizaciones automáticas firmadas, bloqueos por grupo para que una dirección que ataca un rack quede descartada en todos los demás, y status en JSON con una plantilla oficial de Zabbix para el NOC. Con el precio por volumen, el servidor baja hasta 1,40 €.
Ejemplos de despliegueAgencias y administradores
El plan Pro incluye un servidor. Instálalo, lanza la primera sincronización y consulta status: en pocos minutos la máquina está en la red, y una prueba en seco sobre tus registros reales te enseña qué habría bloqueado antes de descartar un solo paquete.
Guía de instalaciónUn servidor de hosting no es un solo servicio. Es web, correo, FTP, DNS y un panel de control en la misma máquina, que entre todos escriben unos cientos de archivos de registro, y cada tipo de ataque aparece en uno distinto. Vigilar todo eso a mano es un día de trabajo y el techo sigue ahí: una lista de bloqueo creada a partir de tus propios registros solo contiene lo que te encontró primero. Así, cada servidor de Internet aprende la misma lección por separado, a su costa, intento a intento.
La misma máquina, los mismos registros, siete situaciones de una semana normal en un hosting. La diferencia es si este servidor es el único que aprende de ellas.
| La situación | Sin el agente | Con el agente |
|---|---|---|
| Una dirección atacó esta mañana a otros cuarenta hosts y ahora llama a tu puerta | Consigue sus primeros intentos hasta que salta tu propio umbral. | Descartada en el núcleo antes de que llegue su primer paquete. |
| Fuerza bruta contra los inicios de sesión de WordPress, repartida entre 300 vhosts | Cada sitio ve unos pocos intentos y ninguno parece un ataque. | Contada en todos los registros de vhosts de la máquina, bloqueada y notificada una sola vez. |
| Password spraying contra tus buzones desde un grupo de direcciones nuevas | Aprendida dirección a dirección, a partir de tus propios inicios de sesión fallidos. | Aprendida una vez por quien recibió el primer golpe, y descartada solo en tus puertos de correo. |
| El atacante pasa del servidor 1 al servidor 2 | El servidor 2 vuelve a empezar de cero. | Con un grupo, el servidor 2 lo descarta en cuanto el servidor 1 lo notifica. |
| Un servidor nuevo entra en el rack | Lista de bloqueos vacía hasta que lo han atacado lo bastante como para aprender. | Miles de atacantes conocidos en el núcleo tras la primera sincronización. |
| Ataques que solo ve esta máquina | Sus propios registros son la única fuente, así que se mantienen completos. | Las mismas catorce fuentes de registros, y cada hallazgo se notifica para ahorrárselo al siguiente operador. |
| Lo que cuesta aprender | Un intento con éxito por lección, pagado con el tráfico de tus clientes. | De 4,90 € hasta 1,40 € por servidor y mes, IVA incluido. Un servidor incluido en Pro. |
La detección, el bloqueo local y las notificaciones funcionan en todos los planes, también con una clave gratuita. Una licencia de servidor añade el feed de la comunidad en el núcleo, y el plan Pro añade los bloqueos por grupo en toda tu flota. Nada de lo que aparece abajo es un adelanto de una función que luego resulte estar bloqueada.
Las etiquetas indican lo que necesita cada función. Pro incluye una licencia de servidor, y Business, tres.
Las direcciones que esta mañana atacaron otros servidores se descartan antes de que su primer paquete llegue al tuyo. Esto es lo que compra una licencia de servidor; todo lo que viene más abajo funciona sin ella.
7Lee los detalles El bloqueo en detalle Licencias
Un servidor de hosting escribe cada tipo de ataque en un registro distinto. El agente los lee todos, cada fuente con su propio umbral, y el instalador los encuentra sin una sola regla escrita a mano.
15Lee los detalles Detección y reglas Configuración
Un hallazgo se bloquea en local, se notifica a la red y nunca bloquea a quien debe pasar. Cada paso se puede observar antes de confiar en él.
9Lee los detalles Bloqueo local
Ningún detector está escondido en el binario. Cada uno es un archivo YAML con un patrón, la posición de la dirección y sus propios ejemplos, y tus reglas conviven con las incluidas.
8Lee los detalles Escribir reglas
Pensado tanto para quien opera cincuenta servidores como para quien tiene una sola máquina. Lo que aprende un host lo pueden usar los demás, y nada necesita que alguien inicie sesión para mantenerse al día.
8Lee los detalles Ejemplos de despliegue Grupos
Un agente en cincuenta servidores solo sale barato si pasa desapercibido. Informa de su estado a la monitorización que ya tienes y envía un correo cuando algo cambia, no uno por evento.
8Lee los detalles Monitorización Operación
Un proveedor de hosting responde del tráfico de cada cliente de la máquina. El agente está hecho para que esa respuesta sea corta.
6Lee los detalles Qué sale de la máquina Instalación
Pro incluye un servidor y Business, tres. Cada servidor adicional es una licencia, y el tramo que alcanzas se aplica a todas las licencias que contratas, no solo a las que lo superan. Todos los precios, IVA incluido.
| Licencias contratadas | Por servidor y mes | Por servidor y año | Pago anual, por mes |
|---|---|---|---|
| 1 a 4 | 4,90 € | 49,00 € | 4,08 € |
| 5 a 9 | 3,90 € | 39,00 € | 3,25 € |
| 10 a 24 | 2,90 € | 29,00 € | 2,42 € |
| 25 a 49 | 1,90 € | 19,00 € | 1,58 € |
| 50 o más | 1,40 € | 14,00 € | 1,17 € |
Lo que cuesta una flota al mes, plan incluido
Hasta 200 licencias se contratan en el portal; por encima de esa cifra, el precio se fija en un contrato Enterprise. Un servidor sin licencia sigue detectando, bloqueando y notificando. Solo se detiene el feed de la comunidad.
A quién va dirigido
Proveedores de hosting, agencias y administradores que gestionan toda la pila de Linux: web, correo, FTP, DNS y un panel de control en las mismas máquinas, con un servidor o con cincuenta.
# At a terminal: it shows the terms of use and takes a yes, then
# asks for your key, then three short questions, and Enter takes the
# safe answer every time.
curl -fsSL https://reportedip.com/agent/install.sh | sh
# For automation, and for fifty hosts: nothing is asked, the terms
# are accepted up front.
curl -fsSL https://reportedip.com/agent/install.sh | REPORTEDIP_ACCEPT_TERMS=1 REPORTEDIP_KEY="YOUR_API_KEY" shLo primero que muestra el script son las condiciones de uso, y necesita un yes antes de descargar nada. Comprueba que se ejecuta como root, que la plataforma es Linux, que la arquitectura es amd64 o arm64 y que existe una herramienta de suma de comprobación. Después descarga con tu clave la versión para tu arquitectura, la verifica contra SHA256SUMS y la instala en /usr/local/bin. A partir de ahí la configuración detecta qué servicios funcionan, qué puertos escuchan y dónde guarda esta distribución sus registros, y escribe ella misma la configuración. Usa la segunda forma siempre que esto lo lance un script, porque no pregunta nada y no necesita terminal.
reportedip-agent syncLa instalación no toca ninguna regla del cortafuegos: ni cadena, ni conjunto, ni salto. Es esta ejecución la que crea todo eso y carga las cinco listas por servicio, y por eso el instalador termina diciéndote que la lances. Hasta entonces el host está exactamente como estaba, y una instalación que descartes cuesta un rm de dos directorios.
reportedip-agent status
reportedip-agent doctor
reportedip-agent test /var/log/auth.log
reportedip-agent rules list«status» muestra el recuento de entradas por lista, el estado de la cadena, la Whitelist y el estado de la licencia de este host, por lo que en una sola pantalla se puede comprobar si la instalación ha funcionado. «doctor» indica qué tiene este host y qué le falta, y no modifica nada: ni archivos, ni reglas, ni conjuntos. «test» ejecuta los detectores sobre un registro real, incluidos los archivos comprimidos con gzip, y muestra qué dirección habría superado qué umbral y cuándo, sin notificar ni bloquear nada. «rules list» muestra cada detector tal y como es, con la capa de la que procede y si está activado.
Este host descarta desde su primera sincronización, porque eso es lo que escribe la instalación. Responde log si quieres leer primero durante una semana lo que se habría cortado. La documentación recorre la misma instalación por completo: cada opción, cada clave de configuración y las preguntas más finas que se salta la vía rápida.
Notas de versión, guías e informes, de lo más reciente a lo más antiguo.
Cuatro cosas lo impiden, y las tres primeras no se pueden desactivar. Los rangos privados, el loopback, las direcciones propias de este servidor y la dirección SSH desde la que se lanzó la instalación nunca se notifican ni se bloquean. Tu propia whitelist actúa antes de cada descarte. La lista está puntuada y el umbral lo eliges tú: desde 75 en un servidor con licencia, o más alto para quedarte solo con las entradas más seguras. El host descarta desde la primera sincronización, y si quieres leer eso primero durante una semana, responde log en vez de drop durante la instalación.
Un comando. El instalador comprueba qué servicios están en marcha, qué puertos escuchan y dónde guarda esta distribución sus registros, y después escribe la configuración él mismo, con un umbral por fuente en lugar de un único valor global. Unas decenas de líneas de configuración cubren cientos de registros de hosts virtuales. No hay ninguna regla de captura que escribir por servicio ni ninguna que mantener cuando se añade un sitio, porque las rutas se recogen con globs.
La dirección, los identificadores de Threat Category y una frase generada. Nunca una línea de registro, un nombre de usuario, el cuerpo de una solicitud, un User-Agent ni una URL. Un servidor se identifica mediante un install id aleatorio creado durante la instalación, no con su nombre.
Solo se detiene la descarga del feed. La lista que ya se encuentra en el núcleo permanece y sigue bloqueando; la detección local y el bloqueo local siguen funcionando; los Reports siguen generándose y el agente sigue actualizándose. Un servidor nunca queda desprotegido por una factura pendiente.
Cada licencia adicional cuesta 4,90 € al mes o 49 € al año, IVA incluido, y el precio por licencia se reduce a medida que aumenta el número: 3,90 € a partir de cinco licencias, 2,90 € a partir de diez, 1,90 € a partir de veinticinco y 1,40 € a partir de cincuenta. El nivel alcanzado se aplica a todas las licencias, no solo a las que están por encima de él. Sin licencia, el agente también funciona con el plan Free: detecta y bloquea en local por completo y notifica lo que encuentra. Solo el feed de la comunidad necesita una licencia de servidor; Pro incluye una y Business, tres.
No. Los servidores forman un grupo propio y se contabilizan por separado de los dominios del plugin Hive. El multiplicador de volumen de Business aumenta el número de dominios, pero no el número de servidores incluidos.
En un servidor con licencia del plan Pro, el agente actualiza los datos cada 15 minutos y recoge todo lo que haya obtenido un Confidence Score de 75 o superior. La solicitud es condicional, por lo que una lista que no haya cambiado responde con un 304 y no transfiere nada, lo que hace que un intervalo corto resulte económico. El intercambio con los conjuntos del núcleo es atómico, por lo que nunca hay un momento en el que un conjunto esté vacío. Lo que se adquiere con el plan es la actualidad y la profundidad de la fuente de datos; la detección local, el bloqueo local y la generación de informes no dependen de ello.
Sí. El agente solo escribe sus propios conjuntos y su propia cadena, y nunca toca una regla o un conjunto que no haya creado él, así que otra lista, una instalación de cortafuegos existente o una cadena escrita a mano siguen funcionando a su lado. Si quieres ver qué añadiría el agente antes de decidirte, ejecútalo en log mode y compara.
Sí, y cada detector incluido ya es una: un archivo YAML con un patrón, un bloque que indica dónde se encuentra la dirección en la línea, un umbral y sus propios ejemplos. Un archivo propio en la carpeta /etc/reportedip-agent/rules.d/ añade una regla o sobrescribe una de las incluidas, campo por campo, y el agente la detecta en menos de un minuto. reportedip-agent rules check nombra cada error con archivo y línea antes de que el demonio lo vea, y test con --rule ejecuta una regla sobre un registro real. Hay tres medidas que te protegen de que una regla lea el campo equivocado: los ejemplos se comprueban cada vez que se carga el archivo; una nueva regla que crees bloquea pero no notifica durante sus primeras 24 horas; y una regla cuyo umbral sea alcanzado por direcciones de tu propia Whitelist deja de notificar por sí misma.
Con el mismo comando que escribirías a mano, pero con las respuestas en variables de entorno: REPORTEDIP_ACCEPT_TERMS=1 y REPORTEDIP_KEY se saltan todas las preguntas, así que el instalador no necesita terminal. La documentación trae ejemplos listos para Ansible, cloud-init, servidores con panel de control y servidores de correo y de bases de datos. A partir de ahí la flota se mantiene sola: cada host busca una versión nueva cada seis horas y solo la instala después de verificar la firma Ed25519 en ese mismo host.
status devuelve el código de salida 0 cuando el host está sano, 1 cuando está degradado (por ejemplo, una lista vacía, una cadena que falta o un daemon detenido) y 2 cuando una persona tiene que revisar la configuración, así que Nagios, Icinga y Checkmk pueden ejecutarlo sin wrapper. status --json imprime el mismo diagnóstico como un único documento, con un motivo por cada problema y recuentos y antigüedades por sección, sin hacer ninguna solicitud a nuestra API. Para Zabbix 7 hay una plantilla oficial, y la guía de monitorización también cubre Prometheus.
Sí, con un grupo. Cada clave de tu cuenta puede unirse a un grupo, y cada dirección que notifica un miembro se descarta en todos los demás durante la ventana del grupo, 24 horas por defecto, en todos los puertos. Pro incluye un grupo con diez claves, y Business, tres grupos con cincuenta claves cada uno. Cada grupo tiene su propia Whitelist en el portal, y un Webhook firmado informa a tus propias herramientas de cada bloqueo.
Una notificación contiene la dirección atacante, los identificadores de categoría de amenaza y una frase que genera el agente. Ninguna línea de registro, nombre de usuario, URL, payload ni User-Agent sale de la máquina, así que no se transfiere nada sobre tus clientes ni sobre sus visitantes. La API y el feed funcionan sobre infraestructura en la UE, operada desde Alemania, y el instalador deja fuera cualquier registro de acceso escrito con direcciones anonimizadas, para que nunca se notifique una dirección de red como atacante.
El mismo conjunto de datos, pero con una forma diferente.
Plugin de WordPress · Gratuito
Seguridad en tiempo real para WordPress con 16 sensores de detección, un Web Application Firewall, cuatro métodos de autenticación 2FA y una red comunitaria de amenazas de participación voluntaria. Gratuito y de código abierto para siempre.
REST Threat Intelligence · Plan Free
El motor de reputación que lo gestiona todo. Consulta direcciones IP, envía informes, recupera la Blacklist y realiza operaciones masivas desde cualquier lenguaje, tu SIEM, tu cortafuegos o tu panel de hosting.
Feed descargable · Gratis
Community Blacklist, con puntuación automática a partir de Reports en tiempo real. Texto sin formato, JSON y CSV, compatible con iptables, nftables, nginx o cualquier otro programa que utilice Blocklists.
Add-on DNSBL en tiempo real · de Pro
En lugar de descargar una lista, haz una consulta al DNS: tu servidor de correo busca la dirección en tiempo real, del mismo modo que ya consulta a Spamhaus. Sin importaciones, siempre actualizada.
Diagnóstico de DNS · Gratis
Diagnóstico de dominios con unos 100 servidores de resolución en más de 50 países. Valida SPF, DKIM, DMARC y DNSSEC, consulta listas DNSBL y sigue la propagación durante las migraciones.
Comprobación de PTR · Gratis
Resuelve el registro PTR de una dirección IPv4 o IPv6 y comprueba si se resuelve a su vez. Un registro PTR que nadie confirma es la razón más habitual por la que se rechaza un servidor de correo en la entrada.
Un servidor incluido desde Pro, tres con Business. Servidores adicionales a partir de 4,90 € al mes, IVA incluido.
