Miles de direcciones que han atacado otros servidores esta mañana se bloquean en ipset o nftables antes de que su primer intento te alcance, y todos los ataques en tus propios registros se detectan y notifican. Un único binario estático para proveedores de alojamiento y administradores que ejecutan servicios web, de correo, FTP y DNS en las mismas máquinas. Se incluye un servidor con el plan Professional.
12.545
direcciones en la lista que recibió un servidor con licencia con una confidence de 75, medido el 29 de septiembre de 2026. Con una confidence de 90 son 4.173, y el umbral lo decides tú.
196 registros, 62 líneas
de configuración: esto es lo que el instalador encontró por sí solo en un servidor de alojamiento en producción, en siete tipos de servicio, sin una sola regla de captura escrita a mano.
50 MB
de memoria residente mientras vigila esos 196 archivos, medido a lo largo de tres horas y media de funcionamiento. En un servidor pequeño con siete archivos son 16,6 MB.
Cero
líneas de registro, payloads o User-Agents se nos envían. Un informe consta de una dirección, identificadores de categoría y una frase generada.
Un servidor de alojamiento no es un solo servicio. Es web, correo, FTP, DNS y un panel de control en la misma máquina, que entre todos escriben unos cientos de archivos de registro, y cada tipo de ataque aparece en uno distinto. Vigilar todo eso a mano es un día de trabajo y el techo sigue ahí: una lista de bloqueo creada a partir de tus propios registros solo contiene lo que te encontró primero. Así, cada servidor de Internet aprende la misma lección por separado, a su costa, intento a intento.
Las dos columnas son la misma máquina con los mismos registros. La diferencia está en si es la única que los lee. La última fila cuesta dinero en ambos casos.
| La situación | Este servidor por sí solo | Este servidor en la red |
|---|---|---|
| Una dirección que esta mañana ha atacado otros cuarenta servidores y ahora llega hasta ti | Un primer intento, y un segundo, hasta que se supera un umbral. Lo que haya conseguido entretanto, lo consiguió. | Ya está en el conjunto del núcleo antes de llegar, porque cuarenta operadores la denunciaron mientras dormías. |
| Una oleada de fuerza bruta contra tus puertos de correo desde un grupo de direcciones que nunca has visto | Se aprende dirección por dirección, a partir de tus propios fallos. | Se aprende una vez, gracias a quien recibió el primer golpe, y se descarta solo en tus puertos de correo. |
| Un patrón de ataque nuevo que aparece primero en otro continente | Llega aquí como algo desconocido. La detección empieza de cero. | Llega aquí como una dirección con un Confidence Score y una categoría. |
| Ataques en los propios registros de esta máquina | Sigue siendo la única fuente capaz de visualizarlos, y se mantiene al completo: catorce tipos de fuentes, cada uno con su propio umbral, y cada uno de ellos es un archivo de reglas que puedes ampliar. | La misma detección, y además cada hallazgo se denuncia para que el siguiente operador se lo ahorre. |
| Lo que te cuesta el aprendizaje | Un intento con éxito por lección, pagado con tu propio tráfico. | 4,90 euros al mes por servidor, IVA incluido, a partir del plan Professional. Un servidor está incluido. |
Agente de servidor Linux · para proveedores de alojamiento y administradores
A quién va dirigido
Proveedores de alojamiento, agencias y administradores que gestionan toda la pila de Linux: web, correo, FTP, DNS y un panel de control en las mismas máquinas, con un servidor o con cincuenta.
Precios
Un servidor incluido desde Professional, tres con Business. Servidores adicionales a partir de 4,90 € al mes, IVA incluido.
# At a terminal: it shows the terms of use and takes a yes, then
# asks for your key, then three short questions, and Enter takes the
# safe answer every time.
curl -fsSL https://reportedip.com/agent/install.sh | sh
# For automation, and for fifty hosts: nothing is asked, the terms
# are accepted up front.
curl -fsSL https://reportedip.com/agent/install.sh | REPORTEDIP_ACCEPT_TERMS=1 REPORTEDIP_KEY="YOUR_API_KEY" shLo primero que muestra el script son las condiciones de uso, y necesita un yes antes de descargar nada. Comprueba que se ejecuta como root, que la plataforma es Linux, que la arquitectura es amd64 o arm64 y que existe una herramienta de suma de comprobación. Después descarga con tu clave la versión para tu arquitectura, la verifica contra SHA256SUMS y la instala en /usr/local/bin. A partir de ahí la configuración detecta qué servicios funcionan, qué puertos escuchan y dónde guarda esta distribución sus registros, y escribe ella misma la configuración. Usa la segunda forma siempre que esto lo lance un script, porque no pregunta nada y no necesita terminal.
reportedip-agent syncLa instalación no toca ninguna regla del cortafuegos: ni cadena, ni conjunto, ni salto. Es esta ejecución la que crea todo eso y carga las cinco listas por servicio, y por eso el instalador termina diciéndote que la lances. Hasta entonces el host está exactamente como estaba, y una instalación que descartes cuesta un rm de dos directorios.
reportedip-agent status
reportedip-agent doctor
reportedip-agent test /var/log/auth.log
reportedip-agent rules list«status» muestra el recuento de entradas por lista, el estado de la cadena, la Whitelist y el estado de la licencia de este host, por lo que en una sola pantalla se puede comprobar si la instalación ha funcionado. «doctor» indica qué tiene este host y qué le falta, y no modifica nada: ni archivos, ni reglas, ni conjuntos. «test» ejecuta los detectores sobre un registro real, incluidos los archivos comprimidos con gzip, y muestra qué dirección habría superado qué umbral y cuándo, sin notificar ni bloquear nada. «rules list» muestra cada detector tal y como es, con la capa de la que procede y si está activado.
Este host descarta desde su primera sincronización, porque eso es lo que escribe la instalación. Responde log si quieres leer primero durante una semana lo que se habría cortado. La documentación recorre la misma instalación por completo: cada opción, cada clave de configuración y las preguntas más finas que se salta la vía rápida.
Cuatro cosas lo impiden, y las tres primeras no se pueden desactivar. Los rangos privados, el loopback, las direcciones propias de este servidor y la dirección SSH desde la que se lanzó la instalación nunca se denuncian ni se bloquean. Tu propia whitelist actúa antes de cada descarte. La lista está puntuada y el umbral lo eliges tú: con una confidence de 75, un servidor con licencia recibió 12.545 direcciones el 29 de septiembre de 2026; con una confidence de 90 fueron 4.173. El host descarta desde la primera sincronización, y si quieres leer eso primero durante una semana, responde log en vez de drop durante la instalación.
Un comando. El instalador comprueba qué servicios están en marcha, qué puertos escuchan y dónde guarda esta distribución sus registros, y después escribe la configuración él mismo. En un servidor de alojamiento en producción fueron 196 registros de hosts virtuales cubiertos por 62 líneas, con un umbral por fuente en lugar de un único valor global. No hay ninguna regla de captura que escribir por servicio ni ninguna que mantener cuando se añade un sitio, porque las rutas se recogen con globs.
La dirección, los identificadores de Threat Category y una frase generada. Nunca una línea de registro, un nombre de usuario, el cuerpo de una solicitud, un User-Agent ni una URL. Un servidor se identifica mediante un install id aleatorio creado durante la instalación, no con su nombre.
Solo se detiene la descarga del feed. La lista que ya se encuentra en el núcleo permanece y sigue bloqueando; la detección local y el bloqueo local siguen funcionando; los Reports siguen generándose y el agente sigue actualizándose. Un servidor nunca queda desprotegido por una factura pendiente.
Cada licencia adicional cuesta 4,90 € al mes o 49 € al año, IVA incluido, y el precio por licencia se reduce a medida que aumenta el número: 3,90 € a partir de cinco licencias, 2,90 € a partir de diez, 1,90 € a partir de veinticinco y 1,40 € a partir de cincuenta. El nivel alcanzado se aplica a todas las licencias, no solo a las que están por encima de él. Sin licencia, el agente también funciona con el plan Free: detecta y bloquea en local por completo y notifica lo que encuentra. Solo el feed de la comunidad necesita una licencia de servidor; Professional incluye una y Business, tres.
No. Los servidores forman un grupo propio y se contabilizan por separado de los dominios del plugin Hive. El multiplicador de volumen de Business aumenta el número de dominios, pero no el número de servidores incluidos.
En un servidor con licencia del plan Professional, el agente actualiza los datos cada 15 minutos y recoge todo lo que haya obtenido un Confidence Score de 75 o superior. La solicitud es condicional, por lo que una lista que no haya cambiado responde con un 304 y no transfiere nada, lo que hace que un intervalo corto resulte económico. El intercambio con los conjuntos del núcleo es atómico, por lo que nunca hay un momento en el que un conjunto esté vacío. Lo que se adquiere con el plan es la actualidad y la profundidad de la fuente de datos; la detección local, el bloqueo local y la generación de informes no dependen de ello.
Sí. El agente solo escribe sus propios conjuntos y su propia cadena, y nunca toca una regla o un conjunto que no haya creado él, así que otra lista, una instalación de cortafuegos existente o una cadena escrita a mano siguen funcionando a su lado. Si quieres ver qué añadiría el agente antes de decidirte, ejecútalo en log mode y compara.
Sí, y cada detector incluido ya es una: un archivo YAML con un patrón, un bloque que indica dónde se encuentra la dirección en la línea, un umbral y sus propios ejemplos. Un archivo propio en la carpeta /etc/reportedip-agent/rules.d/ añade una regla o sobrescribe una de las incluidas, campo por campo, y el agente la detecta en menos de un minuto. reportedip-agent rules check nombra cada error con archivo y línea antes de que el demonio lo vea, y test con --rule ejecuta una regla sobre un registro real. Hay tres medidas que te protegen de que una regla lea el campo equivocado: los ejemplos se comprueban cada vez que se carga el archivo; una nueva regla que crees bloquea pero no notifica durante sus primeras 24 horas; y una regla cuyo umbral sea alcanzado por direcciones de tu propia Whitelist deja de notificar por sí misma.
El mismo conjunto de datos, pero con una forma diferente.
Plugin de WordPress · Gratuito
Seguridad en tiempo real para WordPress con 16 sensores de detección, un Web Application Firewall, cuatro métodos de autenticación 2FA y una red comunitaria de amenazas de participación voluntaria. Gratuito y de código abierto para siempre.
REST Threat Intelligence · Plan Free
El motor de reputación que lo gestiona todo. Consulta direcciones IP, envía informes, recupera la Blacklist y realiza operaciones masivas desde cualquier lenguaje, tu SIEM, tu cortafuegos o tu panel de alojamiento.
Feed descargable · Gratis
Community Blacklist, con puntuación automática a partir de Reports en tiempo real. Texto sin formato, JSON y CSV, compatible con iptables, nftables, nginx o cualquier otro programa que utilice Blocklists.
Add-on DNSBL en tiempo real · de PRO
En lugar de descargar una lista, haz una consulta al DNS: tu servidor de correo busca la dirección en tiempo real, del mismo modo que ya consulta a Spamhaus. Sin importaciones, siempre actualizada.
Diagnóstico de DNS · Gratis
Diagnóstico del estado de los dominios a partir de 76 servidores de resolución repartidos por 6 continentes. Valida SPF, DKIM, DMARC y DNSSEC, realiza búsquedas en listas negras de DNS (DNSBL) y realiza un seguimiento de la propagación durante las migraciones.
Comprobación de PTR · Gratis
Resuelve el registro PTR de una dirección IPv4 o IPv6 y comprueba si se resuelve a su vez. Un registro PTR que nadie confirma es la razón más habitual por la que se rechaza un servidor de correo en la entrada.
Un servidor incluido desde Professional, tres con Business. Servidores adicionales a partir de 4,90 € al mes, IVA incluido.