Pasa así: el sitio va lento por la noche y nadie entiende por qué. En los logs hay cientos de peticiones a wp-login.php desde pocas direcciones, con nombres de usuario como admin o el nombre del dominio. Es un ataque de fuerza bruta en WordPress: ningún fallo que explotar, solo intentos hasta que una contraseña cede.
Qué hace el plugin cuando empieza un ataque de fuerza bruta
Cada login fallido de un posible ataque de fuerza bruta se anota: IP, usuario probado, resultado, hora. La contraseña no, nunca. Cuando una IP supera el umbral que has fijado, el plugin añade una regla a .htaccess (compatible con Apache 2.4 y 2.2). Desde ese momento las peticiones de esa dirección se detienen en el servidor web. WordPress ni siquiera se carga, así que el sitio vuelve a respirar.
Un detalle que importa: el contador es una operación atómica en la base de datos. Enviar cien intentos a la vez, en el mismo instante, no permite saltarse el umbral.
Dónde ver lo que ha pasado
En Ajustes › Cisilino Site Defense Network encuentras la pestaña de las IP bloqueadas, con filtro. Y también la lista de las últimas 50 detecciones de un posible ataque de fuerza bruta. Si un cliente se ha bloqueado a sí mismo, «Desbloquear» en la fila y listo.
Cuando las IP son muchas
El bloqueo por IP tiene un límite conocido. Si el ataque de fuerza bruta llega desde cientos de direcciones distintas, cada una tiene que superar antes el umbral. Con la red Cisilino, una IP ya vista fallar en otro sitio de tu cliente se bloquea antes incluso de llegar. En cualquier caso, usa nombres de usuario poco obvios y contraseñas largas: el plugin quita el ruido, pero no hace fuerte una contraseña débil.
Si quieres ir más allá, la guía de OWASP sobre cómo bloquear los ataques de fuerza bruta explica otras medidas.
En un hosting nginx el plugin registra los intentos pero no puede escribir la regla a nivel de servidor.
Preguntas frecuentes
¿Cómo se frena un ataque de fuerza bruta en WordPress?
Contando los logins fallidos por IP y bloqueando a quien supera un umbral. El plugin lo hace escribiendo una regla en .htaccess, de modo que la petición se detiene antes de WordPress.
¿El plugin guarda las contraseñas probadas?
No. Registra la IP, el usuario intentado, el resultado y la hora, nunca la contraseña.
¿Puedo desbloquear una IP bloqueada por error?
Sí, desde la lista de IP bloqueadas con el botón Desbloquear en cada fila.
Deja una respuesta