Instalar el plugin CSDN

Para instalar el plugin CSDN te bastan pocos minutos y ningún dato externo: subes el archivo zip, lo activas y la protección local arranca sola. En este capítulo ves los pasos, qué pasa al activarlo y qué revisar en el primer arranque.

Dónde se encuentra

Todo empieza en la opción Plugins del menú lateral de WordPress, el punto 1 de la imagen. Desde ahí abres Añadir plugin.

Cómo instalar el plugin

Antes de empezar haz una copia de seguridad del sitio. El plugin escribe en el archivo .htaccess y no crea una copia de él, así que la prudencia es cosa tuya.

1. En el menú lateral ve a Plugins y luego a Añadir plugin.
2. Pulsa Subir plugin.
3. En el punto 3 de la imagen, bajo Archivo zip del plugin, elige el archivo zip del plugin, por ejemplo cisilino-site-defense-network-1.0.15.zip.
4. Pulsa Instalar ahora.
5. En el punto 4 de la imagen, terminada la instalación, pulsa Activar el plugin.

Como alternativa puedes copiar la carpeta del plugin en /wp-content/plugins/ por FTP. Luego lo activas desde Plugins > Plugins instalados. El resultado es el mismo.

Qué pasa al activarlo

• Crea cuatro tablas en la base de datos, con el prefijo de tu sitio: csdn_events, csdn_overrides, csdn_rate_hits y csdn_activity.
• Prepara los dos bloques marcados en .htaccess, uno para las IP bloqueadas y otro para el hardening. En la primera activación están vacíos.
• Registra tres tareas programadas de WordPress: la sincronización cada 15 minutos, la limpieza diaria del registro y el control de integridad diario.
• Toma una fotografía de los hashes de los archivos PHP del plugin, usada luego por el control de integridad.

Las tareas programadas usan WP-Cron. Se ejecutan cuando el sitio recibe visitas, salvo que el hosting use un cron de sistema.

Primer arranque

En cuanto termines de instalar el plugin, abre Ajustes > Cisilino Site Defense Network. Se abre la pestaña General. Arriba ves una fila con tres contadores: las IP bloqueadas localmente, las recibidas del panel y las de la lista de seguridad opcional. Recién instalado, todos están en cero.

No tienes que configurar nada para estar protegido. Esto ya está activo con los valores predeterminados:

• La detección de inicios de sesión fallidos, con umbral de bloqueo 10.
• La política de registro «Solo roles de bajo privilegio».
• El rate limiting para autores e invitados, y el correo obligatorio al crear usuarios.
• El registro de actividad, con retención de 30 días y tope de 500 filas.
• El registro de las subidas de archivos. Su bloqueo, en cambio, está apagado.

Están apagadas por defecto todas las reglas de hardening, las cabeceras de seguridad, la desconexión por inactividad y el registro de depuración. Las activas tú, una a una, en los capítulos dedicados.

Tres comprobaciones que hacer de inmediato

1. En la pestaña General, sección IP de confianza (whitelist), pulsa Añadir a la whitelist si ves el recuadro «Tu IP actual (…) no está en la whitelist.». Así tus errores de contraseña no cuentan.
2. Mira el valor bajo Dirección IP en la sección Anulaciones locales de IP: el campo viene precompletado con tu IP. No pulses Guardar anulación con «Bloquear (ban)», o te bloqueas a ti mismo.
3. Recorre las diez pestañas y lee los textos introductorios. Las demás tablas del manual te dicen qué hace cada una.

Atención: el contador de inicios de sesión fallidos es acumulativo y no caduca. Incluso un usuario legítimo, al fallar la contraseña de vez en cuando, puede llegar al umbral. Pon tus redes de confianza en la whitelist.

Valores predeterminados y límites

• El plugin vive en la página Ajustes solo para quien tiene el permiso adecuado. Quien no lo tiene no ve la página; si intenta abrir una acción recibe «No autorizado.».
• En una red multisitio la página queda reservada al superadministrador, porque .htaccess es el de la red. Conecta al panel un solo sitio por red.
• Si .htaccess no se puede escribir, el sitio sigue funcionando pero las reglas a nivel de servidor no se aplican.
• El plugin lee la IP del visitante solo desde REMOTE_ADDR e ignora cabeceras como X-Forwarded-For. Si el sitio está detrás de un proxy o una CDN, todos los visitantes pueden aparecer con la misma IP del proxy: antes de confiar en los bloqueos, comprueba que la IP que se muestra en Tu IP actual sea realmente la tuya.

Qué pasa entre bastidores

Tras una actualización, el plugin compara la versión de la base de datos con la actual. Si son distintas, actualiza las tablas y vuelve a tomar la fotografía de los archivos, para que la actualización no parezca una manipulación. No tienes que reactivar el plugin.

Para las bases de instalar el plugin en WordPress, la guía oficial de gestión de plugins explica también la instalación por FTP y la diferencia entre desactivar y eliminar.

Si algo no funciona

Si no consigues instalar el plugin, comprueba que elegiste el archivo zip correcto y que tu usuario puede instalar plugins. Si después de activarlo obtienes un error del servidor, pasa al capítulo Resolución de problemas y preguntas frecuentes.

Capítulo anterior: la introducción al manual. Capítulo siguiente: Conectar el plugin al panel: Ajustes remotos.