El umbral de bloqueo decide tras cuántos inicios de sesión fallidos el plugin bloquea una IP. La pestaña General también te muestra los últimos intentos detectados. Aquí aprendes a leerlos y a entender por qué una IP aparece bloqueada o solo observada.
Dónde se encuentra
Abre Ajustes y luego «Cisilino Site Defense Network» (punto 1 de la imagen). La pestaña «General» (punto 2) es la que se abre primero. En lo alto de la página hay una fila de contadores. Muestran las IP bloqueadas localmente, las recibidas del panel y las de la lista de seguridad opcional. Debajo, la pestaña tiene cuatro secciones. El punto 3 es «Registro de actividad reciente». El punto 4 es «Anulaciones locales de IP». El punto 5 es «IP de confianza (whitelist)». El punto 6 es «Vigilancia de subidas de archivos».
En este capítulo tratamos el punto 3 y el umbral. El bloqueo y el desbloqueo manuales y la whitelist (puntos 4 y 5) están en el capítulo 5. La vigilancia de subidas (punto 6) está en el capítulo 8.
El registro de actividad reciente
La sección muestra los «Últimos 50 intentos de inicio de sesión fallidos detectados en este sitio.» Las columnas son estas.
- «IP»: la dirección desde la que llegan los intentos.
- «Nombre de usuario probado»: el último nombre de usuario probado desde esa IP.
- «Intentos»: el total de inicios de sesión fallidos de esa IP.
- «Estado»: «Bloqueada» u «Observada».
- «Última vez vista»: fecha y hora, en la zona horaria del sitio.
Atención a un detalle: hay una fila por IP, no una fila por intento. Si la misma IP prueba diez nombres distintos, ves una sola fila con «Intentos» en 10 y el último nombre probado. Si no hay nada que mostrar, lees «No hay eventos registrados.»
«Observada» significa que la IP ha fallado algún inicio de sesión pero todavía no ha llegado al umbral. Las IP observadas también se envían al panel, si has hecho la conexión del capítulo 3.
Cómo funciona el umbral de bloqueo
El valor se define en la pestaña «Ajustes remotos», en el campo «Umbral de bloqueo local (intentos fallidos)». El valor predeterminado es 10. El campo del formulario acepta de 3 a 100, pero solo el navegador lo impone: el servidor no controla los límites y un valor vacío o 0 se convierte en 10. Por cada inicio de sesión fallido el plugin lee la IP, aumenta el contador de esa fila y comprueba el total. Cuando el total llega al umbral, la fila pasa a «Bloqueada». El archivo .htaccess se reescribe de inmediato, sin esperar la sincronización. En un servidor que ignora .htaccess (por ejemplo nginx) el bloqueo no tiene efecto sobre el tráfico.
Ejemplo técnico: con umbral 3, dos intentos fallidos desde 203.0.113.7 la dejan «Observada». El tercero la bloquea.
El umbral de bloqueo funciona también sin panel. La conexión solo sirve para intercambiar listas de IP, no para bloquear en local.
El umbral es acumulativo
Este es el punto que más sorprende del umbral de bloqueo. El contador no tiene ventana de tiempo y no se reinicia. Cada inicio de sesión fallido se suma a los anteriores, aunque hayan pasado semanas. Un colaborador que falla la contraseña de vez en cuando puede llegar, con el tiempo, al umbral y quedar fuera del sitio.
Atención: para las redes que conoces (oficina, sede) usa la whitelist, descrita en el capítulo 5. Las IP en la whitelist ni siquiera se cuentan. Un desbloqueo manual («Desbloquear siempre») mantiene la IP fuera de .htaccess mientras exista la anulación. Pero no reinicia el contador, y la fila sigue «Bloqueada». Si la anulación caduca o la quitas, la IP vuelve a bloquearse.
Para profundizar en por qué el simple recuento de intentos no basta como defensa, hay una guía útil en la página de OWASP sobre cómo bloquear los ataques de fuerza bruta, que discute las ventajas y los inconvenientes de los bloqueos automáticos.
El riesgo del proxy o de la CDN
El plugin lee la dirección del visitante solo desde REMOTE_ADDR. Ignora a propósito cabeceras como X-Forwarded-For, porque quien ataca puede falsificarlas. Si el sitio está detrás de un proxy, una CDN o un balanceador, REMOTE_ADDR puede ser la IP del proxy y no la del visitante.
Atención: en ese caso todos los inicios de sesión fallidos se atribuirían a la misma IP. Al llegar al umbral, podrías bloquear la IP del proxy, y con ella a todos los visitantes. Revisa la columna «IP» del registro: si ves siempre la misma dirección, incluso con usuarios distintos, estás en esta situación. Poner en whitelist la IP del proxy desbloquea a los visitantes. Pero desde ese momento ningún inicio de sesión fallido que pase por ahí se cuenta ya. El bloqueo de los intentos repetidos deja de funcionar. Usa una defensa aguas arriba (en el proxy o en la CDN) y no confíes solo en el umbral de bloqueo.
Si algo no funciona
- Un usuario legítimo aparece «Bloqueada»: añade su red a la whitelist y desbloquéala como se explica en el capítulo 5.
- Siempre ves la misma IP para personas distintas: sospecha de un proxy, como se describe arriba.
- Quieres cambiar el umbral de bloqueo: ve a «Ajustes remotos», modifica el campo y haz clic en «Guardar y verificar conexión». Si no tienes panel, los campos de la conexión quedan vacíos.
El umbral de bloqueo sigue siendo local: decides tú cuán estricto ser.
Capítulo anterior: Conectar el plugin al panel: Ajustes remotos. Capítulo siguiente: Bloquear, desbloquear y whitelist: las anulaciones manuales. El índice completo está en el capítulo 1.
Deja una respuesta