Dónde se encuentra

En el menú lateral de WordPress abre Ajustes > Cisilino Site Defense Network (punto 1 de la imagen). Luego elige la pestaña General (punto 2). Más abajo encuentras tres secciones:

• punto 3: «Registro de actividad reciente».
• punto 4: «Anulaciones locales de IP».
• punto 5: «IP de confianza (whitelist)».

Tras cada acción vuelves siempre a la pestaña General, aunque hayas partido de la pestaña «IP bloqueadas». El mensaje de confirmación aparece ahí.

Para qué sirve

Las anulaciones te permiten forzar el bloqueo o el desbloqueo de una sola dirección. No importa el umbral de intentos fallidos ni la lista recibida del panel. Valen solo en este sitio: nunca se envían al panel.

La whitelist sirve para otra cosa. Enumera las direcciones que nunca deben contarse como intentos de inicio de sesión fallidos, por ejemplo la red de tu oficina.

Cómo se usa

Leer el registro (punto 3)

La sección «Registro de actividad reciente» muestra los «Últimos 50 intentos de inicio de sesión fallidos detectados en este sitio.» Las columnas son IP, Nombre de usuario probado, Intentos, Estado y Última vez vista. El estado es «Bloqueada» u «Observada». Hay una fila por cada IP, con un contador acumulativo, y el usuario es el último que se probó. Si no hay nada, lees «No hay eventos registrados.» No confundas esta lista con la pestaña «Registro de actividad», que es otro tema.

Bloquear o desbloquear una IP (punto 4)

Esta es la parte que sirve para bloquear IP WordPress a mano.

1. En el campo «Dirección IP» escribe una sola dirección, por ejemplo 203.0.113.5.
2. En «Acción» elige «Bloquear (ban)» o «Desbloquear siempre (unban)».
3. En «Duración» elige «Permanente (hasta que lo quites)», «1 hora», «6 horas», «24 horas» o «7 días».
4. Pulsa «Guardar anulación». Si la IP es válida lees «Anulación guardada y .htaccess actualizado.» El mensaje aparece también si .htaccess no se puede escribir: no demuestra que el bloqueo esté activo.

Bajo el formulario está la tabla de anulaciones activas, con las columnas IP, Acción, Vencimiento y Creado el. Cada fila tiene el botón «Quitar». Al quitar una anulación lees «Anulación quitada y .htaccess actualizado.» Si la tabla está vacía encuentras «Ninguna anulación activa.»

Usar la whitelist (punto 5)

1. En la casilla escribe una dirección o una red por línea, por ejemplo 203.0.113.5 o 203.0.113.0/24.
2. Pulsa «Guardar whitelist». Lees «Whitelist guardada.»

Si tu IP no está en la lista aparece un aviso: «Tu IP actual (…) no está en la whitelist.» El botón «Añadir a la whitelist» inserta solo esa entrada y deja intactas las demás.

Valores predeterminados y límites

• La acción predeterminada es «Bloquear (ban)», la duración predeterminada es «Permanente (hasta que lo quites)».
• El campo «Dirección IP» acepta solo una dirección IPv4 o IPv6 única. Un CIDR como 203.0.113.0/24 se rechaza con «IP no válida.»
• Para cada IP existe una sola anulación. Si guardas una segunda sobre la misma dirección, sustituye a la primera.
• La whitelist acepta IP únicas y redes CIDR IPv4 con prefijo de 0 a 32. Atención: 0.0.0.0/0 se acepta y cubre todas las IPv4. Eso apaga el recuento de inicios de sesión fallidos para todos. Para IPv6 solo vale la dirección exacta.
• Las líneas no válidas de la whitelist se descartan. El mensaje te dice cuántas, por ejemplo «1 línea descartada por no ser válida.» Los duplicados se eliminan.
• Guardar la whitelist sustituye toda la lista anterior.

Atención: el campo «Dirección IP» ya viene rellenado con tu IP, y debajo lees «Tu IP actual es …». La acción predeterminada es «Bloquear (ban)». Si pulsas «Guardar anulación» sin mirar, te bloqueas a ti mismo de inmediato. Verás un error 403 en todo el sitio. Revisa siempre la acción y la dirección antes de guardar.

Atención: el botón «Desbloquear» de la pestaña «IP bloqueadas» no pide confirmación. Crea de inmediato una anulación permanente. La whitelist no quita los bloqueos ya existentes: una IP ya bloqueada sigue bloqueada aunque la añadas a la lista, hasta que la desbloquees. Tampoco detiene los bloqueos del panel, de la lista de seguridad y los bans manuales: solo impide contar los inicios de sesión fallidos. Además el bloqueo solo funciona con Apache o LiteSpeed y con el archivo .htaccess escribible. Con otros servidores el ban existe en las tablas, pero el servidor no lo aplica.

Qué pasa entre bastidores

Cuando decides bloquear IP WordPress con una anulación, el plugin reescribe un bloque de .htaccess comprendido entre # BEGIN Cisilino Site Defense Network y # END Cisilino Site Defense Network. El resto del archivo no se toca. Las IP bloqueadas son la unión de cuatro fuentes: el bloqueo local por inicios de sesión fallidos, la lista del panel, la lista opcional del «Nivel de seguridad» y los bans manuales. El unban quita de la unión la entrada que coincide con la dirección escrita. Una red del panel (por ejemplo 198.51.100.0/24) sale solo si desbloqueas 198.51.100.0, no una IP concreta dentro de la red. El desbloqueo vale también para la lista opcional del «Nivel de seguridad» (Noob, Casual, Berserk). Esas IP no aparecen en la pestaña «IP bloqueadas», pero un unban las neutraliza.

El plugin lee la IP del visitante desde REMOTE_ADDR e ignora X-Forwarded-For. Detrás de un proxy o una CDN, la dirección vista puede ser la del proxy. En ese caso un bloqueo arriesga golpear a todos los visitantes.

Los vencimientos funcionan así:

• Un ban manual con tiempo se elimina al vencer. La dirección sale de .htaccess en el siguiente ciclo de control, en unos 15 minutos.
• Un ban local, el que salta por demasiados inicios de sesión fallidos, no vence solo. Solo se quita con un unban.
• Un unban con tiempo, al vencer, devuelve el bloqueo si la fuente original sigue ahí.

Cada guardado o eliminación de una anulación, y cada cambio en la whitelist, se escribe en el registro de actividad.

Ejemplos prácticos

Bloquear IP WordPress por un día

Quieres detener la dirección 203.0.113.5 durante 24 horas. Escríbela en «Dirección IP», deja «Bloquear (ban)», elige «24 horas» y pulsa «Guardar anulación». En la pestaña «IP bloqueadas» aparece con origen «manual».

Whitelist para la red de la oficina

Escribe 203.0.113.0/24 en la whitelist y pulsa «Guardar whitelist». Desde ese momento los fallos de inicio de sesión de esa red ya no se cuentan. Hazlo antes de hacer pruebas con contraseñas erróneas.

Me he bloqueado yo solo

Si todavía puedes abrir el área de administración, por ejemplo desde el teléfono con datos móviles, ve a «IP bloqueadas» y pulsa «Desbloquear» sobre tu IP. Luego añádela a la whitelist. Si en cambio ves un 403 en todo el sitio, puedes conectarte por FTP y quitar del archivo .htaccess la línea con tu IP. Atención: el plugin puede reescribirla en el siguiente evento, así que en cuanto entres de nuevo usa «Desbloquear» y la whitelist.

Para profundizar en cómo gestiona Apache estos controles de acceso, lee la guía de Apache sobre el control de accesos: explica las directivas que el plugin escribe por ti.

En resumen, bloquear IP WordPress con cuidado significa revisar la acción y la dirección antes de guardar. Capítulo anterior: Pestaña General: umbral de bloqueo y estado del plugin. Capítulo siguiente: Pestaña IP bloqueadas: leer la lista negra. El índice está en el manual CSDN.

The post Bloquear IP WordPress: anulaciones manuales first appeared on Matteo Cisilino.