Dónde se encuentra

Abre la opción Plugins > Plugins instalados (punto 1 de la imagen). En la fila de Cisilino Site Defense Network (punto 3) encuentras el enlace Desactivar. Tras la desactivación (punto 4) la misma fila muestra Activar y Eliminar.

Qué pasa al desactivarlo

Desactivar el plugin lo detiene sin tocar los datos. Al desactivarse, el plugin hace cuatro cosas.

1. registra el evento «Plugin desactivado en este sitio» e intenta entregarlo al panel, si está configurado.
2. cancela las tres tareas programadas.
3. vacía los dos bloques de .htaccess, el de las IP bloqueadas y el del hardening.
4. actualiza las reglas de reescritura de WordPress.

Atención: desde que está desactivado no queda ninguna regla en vigor. Las IP bloqueadas vuelven a poder acceder y el hardening ya no se aplica. El plugin ni siquiera está cargado, así que no actúan las demás protecciones. También se detienen las cabeceras de seguridad, pero un navegador que ya recibió HSTS lo recuerda durante el tiempo configurado.

La base de datos permanece intacta. Si reactivas el plugin, los bloques de .htaccess se reconstruyen y encuentras los ajustes como los dejaste.

Cómo desinstalar el plugin

Para desinstalar el plugin debes pulsar Eliminar en Plugins instalados, después de haberlo desactivado. Antes de hacerlo, sigue estos pasos.

1. En la pestaña Registro de actividad comprueba que la fila «pendientes de enviar al panel» esté en cero, si usas el panel.
2. En la pestaña Registro de depuración, descarga los archivos que necesites. Luego, si quieres, pulsa Eliminar todos los archivos.
3. Haz una copia de seguridad, si todavía no la tienes.
4. Desactiva el plugin y pulsa Eliminar.

Qué se elimina y qué queda

Cuando decides desinstalar el plugin, al principio registra «Plugin desinstalado de este sitio: datos locales eliminados» e intenta entregarlo al panel. Luego borra, sea cual sea el resultado de la entrega.

Se elimina lo siguiente.

• las cuatro tablas csdn_events, csdn_overrides, csdn_rate_hits y csdn_activity.
• casi todas las opciones cuyo nombre empieza por csdn_, incluidas las credenciales del panel, la whitelist y los ajustes de las pestañas. Quedan tres, enumeradas más abajo.
• el dato de suspensión del rate limiting en todos los usuarios.
• los datos temporales del plugin.
• las reglas de los dos bloques del plugin en .htaccess y las reglas de reescritura. Los marcadores # BEGIN y # END se quedan en el archivo, vacíos.

Queda, en cambio, lo siguiente.

• los archivos del registro de depuración en la carpeta csdn-debug-* dentro de uploads, porque son datos tuyos: elimínalos a mano o con el botón Eliminar todos los archivos antes de desinstalar.
• el histórico ya entregado al panel, que está en el panel y no en tu sitio.
• las líneas de .htaccess que quedan fuera de los marcadores del plugin.
• tres opciones menores: csdn_registration_lock (la política de Registro de usuarios), csdn_remote_ban_reasons (motivos de los bloqueos recibidos) y csdn_trigger_token (token recibido del panel). Quedan también el dato de usuario csdn_registration_blocked_at, si está presente, y los datos temporales csdn_rl_block_*, que vencen solos. Se pueden quitar a mano de la base de datos.

Atención: desinstalar el plugin borra también el registro de actividad local. Las filas no entregadas todavía al panel, si el panel no responde, se pierden.

Datos personales tratados por el plugin

El plugin guarda los datos en tu sitio, en la base de datos. Nunca la contraseña. Esto es lo que trata.

• Inicios de sesión fallidos: dirección IP, nombre de usuario probado, número de intentos, primera y última aparición, estado de bloqueo. No hay un borrado automático: se quedan en la base de datos hasta que desinstalas el plugin.
• Registro de actividad: fecha y hora, usuario de WordPress (id, login, rol), IP, tipo de acción, objeto implicado (para los contenidos, el título) y una breve descripción. En algunos casos añade detalles: para un nuevo usuario el correo y los roles, para un cambio de perfil el valor anterior y el nuevo de correo, login, nombre visible y sitio web. No guarda el contenido de artículos, comentarios o archivos. Para los ajustes con nombre sospechoso, como claves o tokens, registra solo que han cambiado.
• Rate limiting: IP y tipo de envío de los invitados, conservados un día. Las suspensiones de los autores están en los datos del usuario.
• Anulaciones de IP, whitelist y lista negra recibida.
• Registro de depuración, si lo activas: archivos que pueden contener rutas y fragmentos de datos.

El registro local conserva por defecto 30 días y como máximo 500 filas. Puedes cambiar ambos valores en la pestaña Registro de actividad.

Qué sale del sitio

Solo si conectas el panel. Cada 15 minutos el plugin envía los inicios de sesión fallidos: IP, nombre de usuario, resultado «failed» y fecha. Envía hasta 200 por vez. Añade el customer code y la URL del sitio. Recibe las IP bloqueadas. El registro de actividad, con los detalles de arriba, se envía normalmente al momento, al final de la petición. Lo que queda en cola sale con el ciclo de los 15 minutos. Solo se envía si están activos tanto el registro como la opción «Enviar las actividades al panel». Las anulaciones manuales nunca se envían.

Qué escribir en el aviso de privacidad

Mientras no decidas desinstalar el plugin, en el aviso de privacidad del sitio indica al menos estos puntos.

• que el sitio registra IP y nombre de usuario de los intentos de acceso fallidos, por razones de seguridad.
• que mantiene un registro de las acciones de los usuarios, con IP, y durante cuántos días lo conserva.
• que, si has conectado el panel, algunos de estos datos se envían al servicio externo.
• quién es el responsable y cómo pueden los usuarios ejercer sus derechos.

Adapta el texto a tu situación, con tu asesor si tienes uno: el manual no sustituye un dictamen legal. Para las bases sobre los plugins, la guía oficial de WordPress explica también la diferencia entre desactivar y eliminar.

Si algo no funciona

Si tras la desactivación el sitio da error, revisa .htaccess por FTP y mira el capítulo Resolución de problemas y preguntas frecuentes. Si decidiste desinstalar el plugin por error, los datos locales no vuelven: hace falta una copia de seguridad del sitio.

Capítulo anterior: Resolución de problemas y preguntas frecuentes. Vuelve al índice con la introducción al manual CSDN.

The post Desinstalar el plugin CSDN: qué queda y datos personales first appeared on Matteo Cisilino.

Resolución de problemas: por dónde empezar

Antes de buscar la respuesta exacta, repasa esta lista de comprobación.

1. ¿Todavía puedes abrir wp-admin? Si es así, casi todo se resuelve desde la página Ajustes del plugin.
2. Lee los avisos de arriba. El plugin explica el resultado de las acciones con mensajes en recuadros coloreados.
3. Recuerda lo último que cambiaste: una regla de hardening, una política, un límite.
4. Si existe un botón Verificar ahora, úsalo antes de intentar adivinar.
5. Si ya no entras en el sitio, prepara el acceso FTP o el gestor de archivos del hosting.

Accesos y bloqueos

Me he bloqueado yo solo: ¿qué hago?

Si todavía tienes acceso a WordPress, por ejemplo desde el teléfono con datos móviles, abre la pestaña IP bloqueadas. Busca tu IP y pulsa Desbloquear. Si tu IP no está en la lista pero estás bloqueado (puede venir de la lista de seguridad opcional), ve a la pestaña General, sección «Anulaciones locales de IP»: escribe la IP, elige «Desbloquear siempre (unban)» y pulsa Guardar anulación. Luego, en la pestaña General, pulsa Añadir a la whitelist.

Si también estás bloqueado desde el sitio, y ves un error 403, entra por FTP y abre .htaccess. Quita la línea con tu IP, o todo el bloque entre # BEGIN Cisilino Site Defense Network y # END Cisilino Site Defense Network.

Atención: la modificación a mano es temporal. El bloqueo se vuelve a escribir desde la misma fuente en el siguiente evento: un inicio de sesión fallido, una sincronización o el ciclo cada 15 minutos. En cuanto estés dentro, usa Desbloquear y la whitelist.

¿Por qué la whitelist no me ha desbloqueado?

La whitelist solo evita que los inicios de sesión fallidos se cuenten. No quita los bloqueos ya presentes. Para quitar un bloqueo hace falta Desbloquear, que crea una anulación permanente de desbloqueo en este sitio.

Un usuario legítimo ha sido bloqueado

El contador de intentos es acumulativo por IP y no se reinicia solo. Incluso errores dispersos en semanas pueden llegar al umbral, que por defecto es 10. Desbloquea la IP y ponla en la whitelist, o sube el umbral en Ajustes remotos, donde el campo es «Umbral de bloqueo local (intentos fallidos)».

El bloqueo de una IP no termina nunca

Un bloqueo local no vence. Un bloqueo manual vence con la duración elegida, de 1 hora a 7 días. Si elegiste «Permanente (hasta que lo quites)», no vence. Un bloqueo recibido del panel desaparece cuando el panel lo quita de la lista. Un desbloqueo con tiempo, al vencer, hace volver el bloqueo si la fuente original todavía está ahí. Para un desbloqueo definitivo usa Desbloquear, que es permanente.

Detrás de un proxy o una CDN los bloqueos son extraños

El plugin lee la IP solo desde REMOTE_ADDR e ignora la cabecera X-Forwarded-For, porque se puede falsificar. Mira la frase «Tu IP actual es …» bajo el campo Dirección IP de la pestaña General. Si no es tu IP pública, el plugin está viendo la dirección del proxy. En ese caso evita bloquear o poner en whitelist esa dirección, hasta que hayas aclarado la situación con quien gestiona el proxy.

Errores tras las reglas en .htaccess

Esta parte de la resolución de problemas trata las reglas escritas en el archivo del servidor.

El sitio da error 500 tras guardar el hardening

El plugin no crea una copia de .htaccess y no comprueba la sintaxis después de escribir. Un error, o una regla que el servidor no acepta, se ve de inmediato como error 500.

1. Entra por FTP o desde el gestor de archivos.
2. Haz una copia de .htaccess.
3. Elimina el bloque entre # BEGIN Cisilino Site Defense Network - Hardening y # END Cisilino Site Defense Network - Hardening.
4. Recarga el sitio, luego corrige los ajustes en la pestaña Hardening / IDS.

El bloque del hardening solo se reescribe cuando guardas la pestaña o reactivas el plugin, no en el ciclo cada 15 minutos. Tu modificación a mano, por tanto, se queda.

Escribí una ruta personalizada y todo el sitio da 403

En la casilla de rutas personalizadas cada línea es texto literal, sin comodines. La regla bloquea cada dirección que contenga esa cadena. Escribir / o wp bloquea todo, incluido wp-admin. Quita por FTP el bloque del hardening, como arriba. Luego, en la pestaña Hardening / IDS, corrige o vacía la casilla «Rutas personalizadas para bloquear» y guarda. Si no la corriges, un nuevo guardado o una reactivación del plugin reescribe la regla y el sitio vuelve a dar 403.

Aparece «Ajustes guardados, pero la escritura en .htaccess ha fallado»

El archivo .htaccess no se puede escribir: revisa los permisos. Las reglas de ese bloque no están activas. Siguen activos, en cambio, los dos interruptores que actúan en PHP, es decir XML-RPC y ?author=N.

La prueba dice que el bloqueo de PHP en uploads no funciona

En la pestaña Test, el recuadro «Verificar bloqueo de ejecución PHP en uploads» señala si el archivo de prueba se ha ejecutado. Comprueba que el hosting permita .htaccess en esa carpeta y que no exista un bloqueo <Directory> más específico. En nginx las reglas no tienen efecto. La regla cubre solo la carpeta uploads estándar.

Un plugin o el tema han dejado de funcionar

Apaga la última regla que activaste y guarda. Los casos más comunes: el bloqueo del PHP en uploads rompe los plugins que escriben archivos PHP ahí; la desactivación de XML-RPC detiene apps y funciones remotas; el bloqueo de subidas ejecutables rechaza también archivos como .svg.

Usuarios, autores y visitantes

Un autor ya no puede publicar: «tu cuenta está suspendida»

El rate limiting ha visto demasiado contenido creado en poco tiempo. Por defecto el límite es 150 contenidos en 300 segundos, con suspensión de 3600 segundos. Desde la pestaña Rate limiting, en la tabla de usuarios suspendidos, pulsa Revocar suspensión. O espera al vencimiento.

Apagar «Rate limit activo» no quita una suspensión ya en curso. Antes de una importación grande sube el límite N o desactiva el límite.

Un visitante ve «Demasiados envíos»

Un invitado ha enviado demasiados comentarios o formularios en poco tiempo: por defecto más de 2 en 60 segundos, y el bloqueo dura 3600 segundos. El bloqueo es por IP, así que puede afectar a varias personas en la misma oficina. Sube el valor N de la sección de visitantes. No existe una lista de excepciones.

No consigo crear un usuario editor o administrador

Es intencionado. La política predeterminada de Registro de usuarios es «Solo roles de bajo privilegio» y no hace excepciones, ni siquiera para ti. Pasa de forma temporal a «Sin restricción», crea el usuario, luego vuelve atrás. Con «Ningún registro (exclusivo)» nadie puede crear usuarios. Revisa también el rol predeterminado en Ajustes > Generales de WordPress: si es un rol prohibido, los registros se rechazan.

Conexión al panel

La conexión al panel no aparece

El estado está en el recuadro «Estado de la conexión al panel:» en lo alto de la pestaña Ajustes remotos. Si el recuadro falta, los campos estaban incompletos: hacen falta Customer code, Clave API y URL del panel. Tras «Guardar y verificar conexión» no aparece un aviso aparte.

• «URL del panel insegura: se necesita https …»: la dirección debe empezar por https. El plugin rechaza también guardar una URL http.
• «Autenticación rechazada por el panel: customer_code o clave API incorrectos.»: revisa los dos valores.
• «No se puede alcanzar el panel: …»: problema de red, DNS o certificado.
• «Respuesta del panel no válida (no es JSON).»: la dirección no apunta al panel correcto.

Si el panel no responde, la protección local sigue funcionando y los datos en cola se envían en el siguiente ciclo. El plugin funciona también sin panel.

Las actividades no llegan al panel

En la pestaña Registro de actividad mira la tabla de diagnóstico y la fila «pendientes de enviar al panel». Pulsa Probar a enviar ahora: el resultado aparece en el diagnóstico. El tope de filas, por defecto 500, borra las más antiguas aunque no se hayan entregado.

Registro de depuración, integridad y cabeceras

El registro de depuración no se enciende

Hay dos mensajes posibles. «la carpeta de las subidas no se puede escribir»: arregla los permisos de uploads. «los archivos de su carpeta resultan accesibles desde internet»: probable servidor sin .htaccess, como nginx. Bloquea el acceso a la carpeta csdn-debug-* en la configuración del servidor y vuelve a intentarlo. Si se ha detenido por el tope de 200 MB, descarga o elimina los archivos y vuelve a encenderlo.

La integridad señala «los archivos del plugin no coinciden»

Si has modificado a mano un archivo del plugin, es normal. En caso contrario, trata el sitio como potencialmente comprometido: reinstala el plugin desde una copia fiable y revisa el resto. Si el mensaje dice que no hay ninguna referencia, reactiva el plugin para que tome una nueva fotografía.

HSTS no se activa, o no se apaga

Para activarlo hay que abrir los ajustes del plugin en https, de lo contrario aparece «HSTS NO se ha activado». Guarda siempre desde una página https. Apagar la casilla detiene el envío de la cabecera, pero los navegadores que ya la recibieron la recuerdan durante mucho tiempo.

Si no encuentras la respuesta

Si la resolución de problemas no basta, enciende el registro de depuración, reproduce el problema y lee la entrada. Luego abre una conversación en el foro de soporte del plugin: es el lugar para recibir ayuda y ver los problemas ya señalados. No pegues rutas del servidor ni datos sensibles.

Capítulo anterior: Registro de depuración: los errores PHP en un archivo propio. Capítulo siguiente: Desactivación, desinstalación y datos personales. Para el índice: manual CSDN.

The post Resolución de problemas y preguntas frecuentes first appeared on Matteo Cisilino.

Dónde se encuentra

Ve a Ajustes > Cisilino Site Defense Network (punto 1 de la imagen) y abre la pestaña Registro de depuración (punto 2). Las secciones son tres:

• punto 3: «Registro de depuración del sitio», con estado y activación.
• punto 4: «Archivos recogidos».
• punto 5: «Últimas entradas».

Para qué sirve el registro de depuración WordPress

Te resulta útil cuando el sitio muestra una página blanca o un error crítico, cuando algo se rompe tras una actualización, o cuando tu hosting no te deja modificar wp-config.php ni leer los logs. Las constantes WP_DEBUG y WP_DEBUG_LOG se definen antes de cargar los plugins, así que un plugin no puede activarlas. Este registro usa un gestor de errores PHP conectado a la carga del plugin.

Este registro se añade, no sustituye nada. Los errores siguen llegando también donde llegaban antes, es decir en debug.log y en el log del servidor. No envía nada al panel.

Cómo se usa

1. Abre la pestaña Registro de depuración.
2. Elige Sigue encendido durante: 1 hora, 24 horas (predeterminado) o 7 días.
3. Elige Tamaño máximo por archivo.
4. Pulsa Encender el registro de depuración. Lee «Registro de depuración encendido. Se apaga solo al vencer el tiempo elegido; los archivos se quedan.».
5. Reproduce el problema en el sitio.
6. Vuelve a la pestaña. Lee «Últimas entradas» o descarga el archivo desde la sección «Archivos recogidos».
7. Cuando termines pulsa Apagar el registro de depuración, o espera al vencimiento. Verás «Registro de depuración apagado. Los archivos recogidos siguen aquí abajo.».

El «Estado:» te dice si el registro está «encendido, se apaga el dd/mm/aaaa hh:mm», «apagado (venció el …)» o «apagado». Con el registro encendido puedes cambiar el tamaño con Guardar tamaño.

Archivos recogidos

La tabla enumera nombre, tamaño y los botones Descargar y Eliminar. Debajo encuentras Eliminar todos los archivos. Antes de borrar el plugin pide confirmación: «¿Eliminar este archivo? La operación no se puede anular.». Para Eliminar todos los archivos el texto es «¿Eliminar todos los archivos del registro de depuración? La operación no se puede anular.». Si no hay nada lees «Ningún archivo: el registro nunca se ha encendido o todavía no ha registrado nada.».

Últimas entradas

El recuadro muestra las 200 entradas más recientes, de la más nueva a la más vieja. El menú Todos los niveles te permite filtrar por Fatal error, Parse error, Recoverable error, Warning, Notice o Deprecated. Luego pulsa Filtrar. Para todo lo demás descarga los archivos. Si el filtro no encuentra nada lees «Ninguna entrada con este filtro.».

Una entrada tiene esta forma:

[2026-10-29 10:15:03 UTC] Warning: mensaje en /ruta/archivo.php:12 | GET /pagina

• La hora está en UTC, distinta de la hora del sitio que ves en el Registro de actividad.
• Tras la barra vertical encuentras el método y la ruta de la petición, sin cadena de consulta. Desde la línea de comandos o el cron ves «cli/cron».
• Un mensaje de varias líneas, como una traza de pila, sigue siendo una sola entrada, con las líneas siguientes sangradas.
• Las líneas «Info: registro de depuración activado (usuario N)» e «Info: registro de depuración desactivado (usuario N)» no tienen nivel: con un filtro no aparecen.

Valores predeterminados y límites

• Duración del registro de depuración WordPress: 1 hora, 24 horas o 7 días. Otro valor se convierte en 24 horas.
• Tamaño por archivo: 1, 5, 10, 25 o 50 MB. El predeterminado es 5 MB. El tamaño elegido se guarda al pulsar Encender el registro de depuración o Guardar tamaño. Atención: Apagar el registro de depuración devuelve el tamaño a 5 MB, porque ese módulo no contiene el menú del tamaño.
• Tope total: 200 MB, sumando archivos .log y .zip.
• Cada mensaje se trunca a 4000 caracteres.
• Registra solo errores PHP: no consultas lentas, errores de JavaScript ni peticiones HTTP.

Ejemplos

• Error crítico tras la actualización de un plugin: enciéndelo durante 1 hora, recarga la página, filtra «Fatal error». La entrada indica el archivo y la línea, por ejemplo /…/plugins/xyz/archivo.php:210 | GET /tienda/.
• Avisos esporádicos: 24 horas, filtro Warning o Deprecated. Si el archivo se ha rotado, descarga el zip.
• Sitio lento sin una causa clara: 7 días con archivos de 25 MB, luego busca Notice y Warning que se repiten.

Mantén encendido lo mínimo necesario: a menudo basta 1 hora.

Atención: los archivos del registro de depuración contienen rutas del servidor y fragmentos de datos. No los compartas en público. Se quedan en el disco también después de apagarlo y después de desinstalar el plugin, que borra las opciones pero no los archivos. Elimínalos tú cuando termines. El tope total es de 200 MB.

Atención: en servidores nginx el encendido puede rechazarse mientras el servidor no bloquee la carpeta csdn-debug-*. El mensaje es «Registro de depuración no encendido: los archivos de su carpeta resultan accesibles desde internet (probable servidor sin soporte de .htaccess, como nginx). Los registros pueden contener rutas y datos: bloquea el acceso a la carpeta csdn-debug-* en la configuración del servidor y vuelve a intentarlo.». Si no gestionas el servidor, pregunta a quien lo gestione.

Atención: el registro no ve los errores silenciados con @ ni los generados antes de cargar el plugin. Por ejemplo no ve los errores de wp-config.php. El registro de depuración WordPress del plugin no sustituye los logs del servidor.

Qué pasa entre bastidores

El registro de depuración WordPress guarda los archivos en una carpeta wp-content/uploads/csdn-debug- seguida de 16 caracteres aleatorios. Dentro hay un index.php, un .htaccess que niega el acceso y el archivo en uso csdn-debug.log. Al encenderse, el plugin escribe un archivo de prueba e intenta leerlo por HTTP. Si responde, se niega a encender el registro.

Cuando el archivo en uso supera el tamaño elegido se cierra, se comprime en .zip y arranca uno nuevo. No se pierde ninguna entrada. El .log original se borra solo después de comprobar el zip. Si la compresión falla, el .log se queda. Las entradas de «Últimas entradas» se leen solo del archivo en uso, así que tras una rotación las antiguas están en los zips.

Antes de rotar, el plugin comprueba el tope de 200 MB. Si se alcanza, el registro se detiene para no sobrescribir nada. Aparece el aviso amarillo: «El registro se ha detenido porque los archivos han alcanzado el tope de espacio (200 MB): para no sobrescribir los datos, deja de escribir. Descarga o elimina los archivos, luego vuelve a encenderlo.». Para reanudar, elimina los archivos y vuelve a encenderlo.

Al vencer, el registro se apaga solo, pero los archivos se quedan. El plugin no los trunca ni los borra nunca: lo haces solo tú con Eliminar o Eliminar todos los archivos. Para los errores fatales, la entrada se escribe al final de la petición.

Si el registro de depuración WordPress no funciona

• «Registro de depuración no encendido: la carpeta de las subidas no se puede escribir.»: revisa los permisos de la carpeta wp-content/uploads.
• El registro no escribe: si la escritura falla, el plugin lo señala con una entrada «Registro de depuración del sitio: …» en los «Últimos intentos» de la pestaña Registro de actividad.
• El registro está detenido por el tope: descarga lo que necesites, elimina los archivos y vuelve a encenderlo.

La guía general del manual explica dónde se ubica esta pestaña. Para entender mejor las constantes de WordPress mira la guía oficial de depuración de WordPress: explica WP_DEBUG y WP_DEBUG_LOG, que este plugin no puede sustituir.

Capítulo anterior: Registro de actividad. Capítulo siguiente: Resolución de problemas y preguntas frecuentes.

The post Registro de depuración WordPress: errores PHP first appeared on Matteo Cisilino.

Dónde se encuentra

En el backend ve a Ajustes > Cisilino Site Defense Network (punto 1 de la imagen). Abre la pestaña Registro de actividad (punto 2). De arriba abajo encuentras estas secciones:

• punto 3: «Ajustes del registro de actividad».
• punto 4: la fila de estado sobre el formulario, con los contadores de filas.
• punto 5: «Diagnóstico del envío al panel».
• punto 6: «Actividades registradas», la tabla con los filtros.
• punto 7: «Vacía el registro local».

Para qué sirve el registro de actividad WordPress

Te ayuda a responder preguntas como «¿quién desactivó ese plugin?» o «¿desde qué IP entró ese usuario?». Cada evento es una fila en la tabla de la base de datos del sitio.

No lo confundas con el contador de inicios de sesión fallidos por IP, que sirve para decidir los bloqueos. Son dos datos separados, con reglas de conservación distintas. El intento de inicio de sesión fallido, sin embargo, también aparece aquí, una fila por intento.

Para el histórico largo y las búsquedas serias conviene el panel. El registro local funciona también sin panel. La conexión se configura en Ajustes remotos.

Cómo se usa

1. Abre la pestaña y mira la fila «Filas en el registro local: N — pendientes de enviar al panel: M».
2. En el formulario elige los ajustes descritos abajo.
3. Pulsa Guardar ajustes del registro. Aparece «Ajustes del registro de actividad guardados.».
4. Para leer los eventos ve a «Actividades registradas». Elige un grupo en el menú Todos los grupos, o escribe en el campo Usuario, objeto o IP, y luego pulsa Filtrar.

Los ajustes del formulario

• «Registra las actividades en este sitio»: si lo apagas, no se escriben filas nuevas. Las antiguas se quedan.
• «Retención local (días)»: de 0 a 3650. Con 0 no se borra nunca por antigüedad.
• «Tope de filas conservadas»: de 0 a 1.000.000. Con 0 no hay tope.
• «Envía las actividades al panel»: requiere la conexión en Ajustes remotos.
• «Entrega inmediata»: el envío arranca al final de la petición, sin hacer esperar al visitante. Si lo apagas, el envío solo ocurre con la sincronización cada 15 minutos.
• «Qué registrar»: una casilla para cada uno de los 18 grupos de eventos.

Los grupos de eventos

Los grupos tienen estas etiquetas, idénticas en las casillas de «Qué registrar» y en el menú Todos los grupos. Son: Accesos (inicio de sesión, cierre de sesión, intentos fallidos). Usuarios (creación, modificación de perfil, roles, eliminación). Contenidos (artículos, páginas, tipos de contenido personalizados). Categorías y etiquetas. Comentarios. Medios (adjuntos). Plugins (activación, desactivación, instalación, actualización). Temas (cambio de tema, actualización, personalización). Actualizaciones de WordPress. Ajustes de WordPress. Menús de navegación. Widgets. Editor de archivos de temas y plugins desde wp-admin. Exportación de contenidos. Subidas de archivos (incluidas las que no pasan por la biblioteca de medios). Integridad de los archivos del plugin. Ajustes de los plugins (incluidos los de este plugin). Ciclo de vida del plugin (desactivación, desinstalación, vaciado del registro).

Para los ajustes de WordPress se registra solo una selección de opciones principales: blogname, siteurl, admin_email, default_role y active_plugins. Para los demás plugins se ven solo los ajustes declarados con register_setting() o guardados por options.php. El editor de archivos registra el intento, no el resultado.

Cómo leer la tabla

Las columnas son Cuándo, Usuario, IP, Grupo, Acción, Detalle y Enviado. Las filas son 50 por página, las más recientes primero. Usa Anteriores y Siguientes para moverte. Si no hay nada lees «Ninguna actividad registrada (con estos filtros).».

Grupo y Acción aparecen con el nombre en bruto, por ejemplo plugins y deactivated. Quien no está autenticado aparece como «(no autenticado)». En la columna Enviado encuentras la fecha de confirmación del panel, o «—» si la fila sigue en cola. El campo de detalles técnicos no es visible aquí: se lee en el panel.

Un ejemplo de fila: 12/10/2026 09:14:02, usuario mario (administrator), IP 203.0.113.5, grupo plugins, acción deactivated.

Ejemplos de lectura

• Grupo «Accesos (inicio de sesión, cierre de sesión, intentos fallidos)» y una IP sospechosa: una serie de failed seguida de un success puede significar que alguien ha adivinado la contraseña.
• Una fila users con acción role_changed y un usuario inesperado: comprueba si es una escalada de privilegios.
• Una fila del grupo Subidas con un aviso de bloqueo: alguien ha intentado subir un archivo peligroso.

Valores predeterminados del registro de actividad WordPress

• Registro encendido, envío al panel encendido, entrega inmediata encendida, todos los grupos activos.
• Retención: 30 días. El borrado por antigüedad se hace una vez al día.
• Tope de filas: 500. El control se activa cada 100 inserciones, así que la tabla puede superarlo en unas 100 filas.
• Si guardas sin marcar ningún grupo, el registro sigue encendido pero no escribe nada.
• No registra las visitas normales y no exporta los datos.

Atención: un inicio de sesión fallido guarda el nombre de usuario escrito. Si alguien escribe la contraseña en el campo de usuario, ese texto queda en el registro, que puede ir al panel. El plugin no lo filtra. Tenlo en cuenta cuando compartes o consultas el registro.

Atención: el tope de filas (por defecto 500) borra las filas más antiguas aunque no se hayan enviado al panel todavía. El tope tiene prioridad sobre la garantía de entrega. En sitios con mucho tráfico no autenticado, 500 filas pueden agotarse pronto. Si necesitas el histórico completo, sube el tope. Ten en cuenta que con 0 quitas el límite de espacio en disco.

Atención: «Vaciar registro de actividad» es irreversible en local. Primero pide confirmación: «¿Vaciar todo el registro de actividad local? La operación no es reversible.».

Qué no se guarda

Las contraseñas en claro nunca se registran. Al modificar un perfil solo se guarda la indicación de que la contraseña cambió. El campo «Clave API» del plugin se muestra como ***. Los ajustes de otros plugins cuyo nombre contenga palabras como key, secret, token, password, auth, salt, nonce, license o credential tienen el valor sustituido por «*** (valor no registrado)». Los valores de los ajustes se truncan a 200 caracteres.

Diagnóstico del envío al panel

La sección del punto 5 sirve cuando las actividades no llegan al panel. Un envío que falla no da errores visibles: las filas quedan en cola y se reintentan. El único síntoma es el contador «pendientes» que no baja.

La tabla muestra, entre otros valores, «Conexión al panel», «Registro de actividad», «Envío al panel» y «Entrega inmediata». Muestra también «Filas en cola», «Destino de error_log()» y «Último intento de envío». Los valores problemáticos están en rojo. Si el último intento muestra menos filas aceptadas que enviadas, aparece «Filas descartadas por el panel»: esas filas no se reintentan.

Los botones son tres:

• Probar a enviar ahora: hace un envío de prueba al instante. El resultado está en la tabla.
• Activar registro detallado (luego Desactivar registro detallado): registra también los envíos correctos.
• Vaciar registro de diagnóstico: borra solo el listado «Últimos intentos», que conserva como máximo 25 entradas. Aparece solo si hay entradas.

Qué pasa entre bastidores

Al final de la petición el plugin cierra la respuesta al visitante, cuando el servidor lo permite. Luego envía las filas al panel en lotes de máximo 200, desde las más antiguas. Una fila se cuenta como entregada solo cuando el panel confirma su recepción. Una sincronización cada 15 minutos hace de red de seguridad.

La retención por antigüedad borra las filas viejas una vez al día. Si el envío está encendido y el panel configurado, borra solo las ya confirmadas. En caso contrario borra solo por antigüedad.

El vaciado intenta primero enviar lo atrasado, luego borra todo. Registra el evento de vaciado, que se convierte en la primera fila del registro nuevo. No envía ninguna orden de borrado al panel: el histórico ya enviado se queda ahí. Tras el vaciado lees «Registro de actividad local vaciado. El histórico ya enviado al panel no se ha tocado.». Si había filas nunca entregadas, un aviso en negrita te dice cuántas se perdieron.

Si el registro de actividad WordPress no envía

• El contador «pendientes» no baja: abre el diagnóstico, mira el último intento y el código HTTP, luego pulsa «Probar a enviar ahora».
• Recuadro amarillo con el panel que no confirma: el panel podría no estar actualizado. Las filas quedan en cola y no se pierde nada.
• Conexión «NO configurada»: sin customer code, clave API y URL no se envía nada. Vuelve a Ajustes remotos.

Para una guía más amplia sobre las buenas prácticas de registro, lee la guía de OWASP sobre logging: explica qué conviene registrar y qué evitar.

Vuelve al capítulo 1, el índice del manual. Capítulo anterior: Rate limiting. Capítulo siguiente: Registro de depuración.

The post Registro de actividad WordPress: guía de la pestaña first appeared on Matteo Cisilino.

Dónde se encuentra

Ve a Ajustes y elige Cisilino Site Defense Network (punto 1 de la imagen). Abre la pestaña «Rate limiting» (punto 2). Para guardar hace falta el permiso manage_options; en multisitio hace falta manage_network_options.

Las secciones son cuatro. El punto 3 es «Cómo funciona, en concreto: qué se cuenta». El punto 4 es «1. Autores: publicaciones demasiado frecuentes». El punto 5 es «2. Visitantes: comentarios y formularios de contacto». El punto 6 es «Usuarios actualmente suspendidos». Los valores de tiempo están todos en segundos.

Para qué sirve

El límite sobre los autores detiene a una cuenta que publica a ráfagas, antes de que llene el sitio de contenido. El límite sobre los visitantes frena a quien inunda comentarios y formularios. El código conoce también un tercer límite, el correo obligatorio. Lo encuentras en la pestaña «Registro de usuarios», descrita en el capítulo anterior.

Cómo se usa

Así se configura el rate limiting WordPress, sección por sección.

Qué se cuenta (punto 3)

El recuadro informativo explica las reglas. Para los autores, el control se activa cuando WordPress guarda un artículo o una página. El plugin cuenta cuántos artículos y páginas de ese autor tienen fecha de creación o publicación en los últimos T segundos. Si son más de N, el autor se suspende. El guardado que supera el límite se completa: la suspensión bloquea los siguientes.

No cuentan los plugins y los temas, los inicios de sesión, los cambios en contenidos más antiguos que la ventana, los borradores automáticos, las revisiones, la papelera, los medios, los comentarios y los demás tipos de contenido. Los entornos temporales, como el de prueba del Plugin Check, se ignoran.

Atención: el ejemplo escrito en ese recuadro todavía cita N=3. Es un texto antiguo. El valor predeterminado real es 150 contenidos en 5 minutos, desde la versión 1.0.13.

Autores (punto 4)

1. Marca «Rate limit activo» para limitar las publicaciones de los autores.
2. Decide si quieres mantener «Alert via email»: recibes un correo cuando se suspende un autor.
3. Define «N: contenidos permitidos», de 1 a 1000. Predeterminado 150.
4. Define «T: ventana (segundos)», de 10 a 86400. Predeterminado 300, es decir 5 minutos.
5. Define «S: suspensión (segundos)», de 60 a 2592000. Predeterminado 3600, es decir 1 hora.
6. Pulsa Guardar ajustes de rate limiting.

El correo va a la dirección de administrador de Ajustes > Generales. Contiene el usuario, los contenidos en la ventana, el vencimiento y el listado de hasta 20 contenidos recientes para revisar. La suspensión no modifica esos contenidos.

Visitantes (punto 5)

1. Marca «Rate limit activo» para limitar los envíos de los invitados.
2. El «Alert via email» está desactivado por defecto. En un sitio expuesto puede generar muchos correos. Llega a la misma dirección de administrador de Ajustes > Generales, una vez por cada bloqueo.
3. «N: envíos permitidos», de 1 a 100. Predeterminado 2.
4. «T: ventana (segundos)», de 5 a 3600. Predeterminado 60.
5. «S: bloqueo de IP (segundos)», de 60 a 2592000. Predeterminado 3600.

El límite afecta solo a quien no ha iniciado sesión. Cuenta los envíos por IP y por tipo, comentarios o formularios. Un bloqueo en los comentarios no bloquea los formularios. Los formularios de contacto cubiertos son los de Contact Form 7. El comentario rechazado muestra «Demasiados envíos» con error 429.

Si un valor queda fuera de los límites, el plugin lo lleva al más cercano permitido. El guardado muestra «Ajustes del rate limiting guardados. Los valores fuera de los límites permitidos se han llevado al más cercano permitido.»

Rate limiting WordPress: suspensiones y bloqueos

Un autor suspendido mantiene su rol y puede usar el resto del panel. Pierde, sin embargo, los permisos de crear y publicar artículos y páginas. Desaparecen «Añadir artículo» y las opciones de las páginas, y si abre esas pantallas recibe «permiso denegado». En el escritorio aparece un aviso que no se puede cerrar.

Atención: la suspensión de autores afecta también a los administradores. Un administrador suspendido pierde la creación y la publicación, pero puede seguir abriendo los Ajustes y revocar la suspensión él mismo. No existe una lista de excepciones para usuarios, roles o IP: la whitelist de IP de la pestaña General no exime del rate limiting.

Atención: el bloqueo de los visitantes es por IP. Varias personas detrás de la misma IP, como una oficina, pueden quedar bloqueadas juntas. En ese caso sube N. El plugin lee solo la dirección de conexión (REMOTE_ADDR) y no las cabeceras de proxy o CDN: detrás de un proxy inverso o una CDN todos los visitantes pueden aparecer con la misma IP y bloquearse entre ellos.

Cómo revocar una suspensión

Tienes dos opciones.

1. Espera. La suspensión termina sola tras S segundos.
2. En la sección del punto 6, «Usuarios actualmente suspendidos», pulsa Revocar suspensión en la fila del usuario. Verás «Suspensión revocada: el usuario puede volver a crear y publicar contenido.» Si la tabla está vacía lees «Ningún usuario suspendido.»

La tabla muestra como máximo 100 usuarios. Los avisos del escritorio tienen los enlaces «Revoca la suspensión» y «Revisa y revoca», que llevan a la misma pestaña.

Apagar «Rate limit activo» no quita una suspensión ya en curso. Para quitarla debes revocarla o esperar el vencimiento.

Qué pasa entre bastidores

La suspensión es un dato guardado en el usuario, con la fecha de vencimiento. Para los invitados, cada envío se registra durante 24 horas en una tabla del plugin y luego se cuenta dentro de la ventana. Si llegan dos peticiones juntas, alguna de más puede pasar. Las suspensiones y los bloqueos llegan al Registro de actividad, si está activo y si los grupos Usuarios y Comentarios están habilitados.

Atención: una importación legítima de muchos contenidos puede activar el límite de los autores. Antes de una migración desactiva el límite o sube N.

Ejemplos de rate limiting WordPress

• Blog con un solo autor: puedes bajar N a 10 o 20 con T=300. Detectas antes una cuenta comprometida. Son valores de prueba, no una regla del plugin.
• Redacción que duplica o importa páginas: mantén 150/300 o más.
• Oficinas con IP compartida: sube los envíos permitidos de los visitantes a 3 o 5.

Conversiones útiles: 300 segundos son 5 minutos, 3600 son 1 hora, 86400 son 1 día. Para profundizar en el tema general, lee la guía de OWASP Blocking Brute Force Attacks, que explica por qué limitar los intentos repetidos.

Anterior: Registro de usuarios: quién puede crear cuentas. Siguiente: Registro de actividad: qué ha pasado en el sitio. Para el índice general ve al capítulo 1 del manual.

The post Rate limiting WordPress: límites de autores y visitantes first appeared on Matteo Cisilino.

Dónde se encuentra

En el menú de WordPress abre Ajustes y luego Cisilino Site Defense Network (punto 1 de la imagen). Elige la pestaña «Registro de usuarios» (punto 2). Para guardar hace falta el permiso manage_options; en multisitio hace falta manage_network_options.

Las secciones son tres. El punto 3 es «Política de registro». El punto 4 es «Roles permitidos (solo nivel \»roles de bajo privilegio\»)». El punto 5 es «Correo obligatorio».

Para qué sirve

La política del registro de usuarios WordPress vale para toda vía de creación: el panel wp-admin, la REST API, XML-RPC, WP-CLI y cualquier plugin o tema que use las funciones de WordPress para crear usuarios. El control se hace en PHP, sin tocar el archivo .htaccess.

Cómo se usa

Política de registro (punto 3)

Elige un solo nivel entre tres. No se suman.

• «Sin restricción (desactivado)»: el módulo está apagado y WordPress se comporta como siempre.
• «Solo roles de bajo privilegio (nunca administrador/editor/autor)»: es el nivel predeterminado. Valen los roles permitidos del punto 4.
• «Ningún registro (exclusivo)»: no se puede crear ningún usuario nuevo.

Roles permitidos (punto 4)

Vale solo para el nivel de roles de bajo privilegio. Puedes marcar subscriber (marcado por defecto), contributor y customer (útil con WooCommerce). Las casillas administrator, editor, author y shop_manager están siempre desactivadas, con el texto «nunca permitido».

Correo obligatorio (punto 5)

La casilla «No crear usuarios sin una dirección de correo válida» está activa por defecto. Impide la creación de usuarios sin un correo válido, desde cualquier vía. No afecta a los usuarios que ya existen. Este ajuste se guarda junto con los del rate limiting, pero se gestiona aquí.

Al final pulsa Guardar política de registro. Verás «Política de registro de usuarios guardada.» El guardado llega al Registro de actividad, con la etiqueta «Registro de usuarios».

Registro de usuarios WordPress: valores predeterminados y límites

• La política predeterminada es «Solo roles de bajo privilegio», activa incluso si nunca has guardado nada.
• El rol permitido de partida es solo subscriber.
• Los roles prohibidos se descartan siempre, incluso si alguien intenta enviarlos a mano.
• El listado de roles es fijo: no muestra los roles personalizados de tu sitio.
• No existen listas de dominios de correo, captcha ni controles antispam en los registros.

Atención: con «Ningún registro (exclusivo)» nadie puede crear usuarios, ni siquiera el administrador. La opción «Añadir nuevo usuario» desaparece del menú y abrir user-new.php a mano da un error 403. Si en el nivel de roles de bajo privilegio quitas la marca a todos los roles, la lista queda vacía y no se permite ningún usuario. Aquí, sin embargo, la opción de menú y la página siguen visibles: el error 403 llega solo al intentar crear el usuario.

Con el nivel predeterminado no puedes crear un editor o un autor ni siquiera como administrador. El plugin no prevé excepciones para quien ya está conectado. Para crear un usuario con un rol alto, pasa de forma temporal a «Sin restricción», crea el usuario y luego vuelve atrás.

Revisa también el «Rol predeterminado para los nuevos usuarios» en Ajustes > Generales de WordPress. Si es un rol prohibido, como Editor, cada registro sin rol explícito se rechaza.

Qué pasa entre bastidores

El control principal actúa sobre el filtro pre_insert_user_data, solo al crear un usuario. Los cambios en usuarios existentes siempre pasan. Un intento rechazado muestra el título «Registro no permitido» con error 403. En la REST API recibes un error JSON 403 en lugar de la página.

Con cualquier política activa, el plugin quita el método XML-RPC wp.newUser. Con la política exclusiva fuerza también a falso la opción «Cualquiera puede registrarse» de WordPress. Con el nivel de roles bajos, esa opción queda como tú la elegiste.

Hay también una red de seguridad después de la creación. Si una cuenta nace de todos modos y viola la política, el plugin le quita de inmediato el rol y escribe un evento en el Registro de actividad. La cuenta no se borra, para que puedas examinarla.

Atención: un plugin o un tema comprometido que escriba directamente en la tabla de usuarios con un INSERT en la base de datos no pasa por ningún filtro. Ningún plugin PHP puede detenerlo. El registro de usuarios WordPress protegido por esta pestaña es una barrera fuerte, pero no es absoluta.

Ejemplos

• Sitio escaparate sin usuarios públicos: elige «Ningún registro (exclusivo)».
• Sitio con suscriptores o comentarios: deja el nivel predeterminado con subscriber.
• Tienda con WooCommerce: añade customer.
• Necesitas añadir un colaborador con un rol alto: usa «Sin restricción» solo el tiempo necesario.

Si algo no funciona

Si un registro se rechaza con el mensaje sobre el rol no permitido, revisa el rol predeterminado de WordPress y los roles marcados en el punto 4. El Registro de actividad te dice si una cuenta ha perdido el rol por la red de seguridad. Para entender mejor los roles, lee la página roles y capacidades en la documentación de WordPress. Enumera qué puede hacer cada rol.

Anterior: Paranoic Hardening: cabeceras de seguridad y sesión administrativa. Siguiente: Rate limiting: límites para autores y visitantes. Para el índice general ve al capítulo 1 del manual.

The post Registro de usuarios WordPress: quién puede crear cuentas first appeared on Matteo Cisilino.

Dónde se encuentra

En el menú lateral de WordPress ve a Ajustes y elige Cisilino Site Defense Network (punto 1 de la imagen). Abre la pestaña « Paranoic Hardening» (punto 2). Para guardar hace falta el permiso manage_options; en multisitio hace falta manage_network_options.

La pestaña tiene cuatro secciones. En el punto 3 encuentras «Paranoic Hardening — Cabeceras de seguridad HTTP». En el punto 4 está «HTTP Strict Transport Security (HSTS)». El punto 5 es «Verificación de cabeceras de seguridad». El punto 6 es «Autologout de administradores por inactividad».

Para qué sirve

Las cabeceras son instrucciones que el sitio envía al navegador junto con cada página. El plugin las envía con el hook send_headers de WordPress, sin tocar el archivo .htaccess. Por eso no arriesgas un error 500 y funcionan también sin mod_headers.

Las cabeceras afectan solo al sitio público. Nunca se envían en el área de administración. El plugin no ofrece una Content-Security-Policy y no envía X-XSS-Protection.

Cómo se usa el Paranoic Hardening

Cabeceras de seguridad HTTP (punto 3)

• X-Content-Type-Options envía nosniff. El navegador ya no «adivina» el tipo de los archivos. El riesgo es prácticamente nulo.
• X-Frame-Options envía SAMEORIGIN. El sitio ya no puede incorporarse en un <iframe> de otro dominio. Si un sitio aliado muestra tus páginas, dejará de hacerlo.
• Referrer-Policy envía strict-origin-when-cross-origin. Hacia otros dominios viaja solo el dominio, no la ruta. Las estadísticas de terceros que quieran el referente completo no lo recibirán.

Marca las casillas que necesites y pulsa Guardar Paranoic Hardening. Verás el aviso «Ajustes de Paranoic Hardening guardados y aplicados.» Las casillas que no marcas se guardan como desactivadas.

HSTS (punto 4)

HSTS le dice al navegador que use siempre https con tu dominio. Hay tres casillas: «Activar HSTS», «includeSubDomains» y «Preload». La cabecera enviada tiene max-age=31536000, es decir un año. El valor es fijo y no se cambia.

El plugin rechaza la activación si la página no se abrió en https. En ese caso guarda el resto y muestra un aviso rojo: «Ajustes guardados, pero HSTS NO se ha activado: esta petición no llegó en https. Abre el panel en https y vuelve a intentarlo.» Si la página está en http, las tres casillas también están desactivadas.

Si apagas «Activar HSTS», al guardar también se vacían «includeSubDomains» y «Preload». Si reactivas HSTS, debes volver a marcarlas.

Verificación de cabeceras de seguridad (punto 5)

Pulsa Verificar ahora. El plugin hace una petición real a la portada del sitio y comprueba qué cabeceras llegan de verdad. El resultado aparece en el recuadro, con la fecha de la última prueba.

• Verde: «Todas las cabeceras esperadas están presentes en la respuesta real del sitio.»
• Rojo: las cabeceras activas que no llegaron. Puede ser un proxy, una CDN u otro plugin que las quita. HSTS aparece como ausente también si la dirección de la portada es http y no lleva a https, porque el plugin la envía solo en peticiones https.
• Azul: «Ninguna cabecera activa para verificar: activa al menos una opción aquí arriba y guarda.»
• Rojo con «La petición de verificación ha fallado»: la petición no se completó.

La prueba comprueba la presencia de la cabecera, no su valor. No se ejecuta sola: tienes que pulsarla tú.

Autologout de administradores (punto 6)

Esta sección del Paranoic Hardening tiene su propio botón, Guardar autologout de administradores. Marca «Activar» para desconectar a los administradores inactivos. Luego define el «Tiempo de inactividad (segundos)». Si el navegador bloquea el localStorage (por ejemplo en navegación privada), el control nunca se activa y no te desconectas.

El valor predeterminado es 900, es decir 15 minutos. El mínimo es 60 y el máximo es 86400. Si escribes un número fuera de los límites, el plugin lo lleva al valor permitido más cercano. Por ejemplo 30 se convierte en 60. El aviso sigue en verde, así que vuelve a leer el número en el campo tras guardar.

Se desconecta solo a los usuarios con el permiso manage_options. El editor y el autor no se ven afectados. La inactividad se mide en el navegador: cuentan el ratón, el teclado, el scroll y el tacto. La sesión se cierra como con «Salir», y los cambios no guardados en un formulario abierto se pierden.

Orden recomendado de activación

1. Abre el panel en https.
2. Activa X-Content-Type-Options, guarda y pulsa «Verificar ahora».
3. Activa Referrer-Policy, guarda y verifica.
4. Comprueba que ningún sitio incorpore el tuyo, luego activa X-Frame-Options, guarda y verifica.
5. Activa el autologout con un tiempo generoso, por ejemplo 1800. Redúcelo solo después de unos días.
6. Por último, valora HSTS, sin includeSubDomains y sin Preload.

Activa una opción cada vez. Si algo se rompe, sabrás de inmediato cuál fue.

El riesgo de HSTS, includeSubDomains y Preload

Atención: HSTS no se deshace desde el sitio. Si quitas la marca, el plugin deja de enviar la cabecera, pero los navegadores que ya la recibieron la recuerdan hasta que vence. El plugin nunca envía max-age=0, así que no tiene un «anular». Lo dice también el aviso de la pestaña: los efectos pueden seguir visibles durante semanas o meses.

Con HSTS activo el navegador rechaza toda conexión no https al dominio. Si el certificado vence o se rompe, el navegador ya no muestra ni siquiera la pantalla de «continuar de todos modos». El sitio queda inalcanzable desde ese navegador.

• includeSubDomains extiende la regla a todos los subdominios. Un solo subdominio sin https válido, incluso de prueba o futuro, se vuelve inalcanzable para quien ya visitó el sitio. Actívalo solo si todos los subdominios son y seguirán siendo https.
• Preload añade solo la bandera preload a la cabecera. Por sí sola no inscribe el sitio: el envío a la lista de los navegadores se hace a mano en hstspreload.org. La lista está dentro de los navegadores, y salir de ella lleva semanas. Considera Preload una decisión definitiva.

Guarda siempre desde la versión https del panel. Las casillas desactivadas no las envía el navegador: si guardas desde una página http, HSTS y sus subopciones se apagan.

Qué pasa entre bastidores

Los ajustes del Paranoic Hardening son opciones de WordPress, no reglas del servidor. El autologout imprime un script solo en las páginas de administración. El script registra la última actividad en el localStorage del navegador y cada 5 segundos comprueba el tiempo. Al vencer, pide a admin-ajax.php que ejecute el cierre de sesión y te lleva a la página de inicio de sesión. El guardado llega al Registro de actividad solo si has cambiado algo.

Si algo no funciona

• El recuadro está rojo tras «Verificar ahora»: un proxy, una CDN u otro plugin está quitando las cabeceras. Revisa su configuración.
• Un sitio aliado ya no muestra tus páginas: quita la marca a X-Frame-Options y guarda.
• No consigues activar HSTS: vuelve a abrir el panel con la dirección https.
• Para comprobar las cabeceras a mano puedes usar las herramientas de desarrollador del navegador o curl -I sobre la dirección https del sitio.

Para entender mejor cómo funciona HSTS, lee la página Strict-Transport-Security en MDN. Explica max-age, includeSubDomains y preload con precisión.

Anterior: Pestaña Test: comprobar que las protecciones funcionan. Siguiente: Registro de usuarios: quién puede crear cuentas. Para el índice general ve al capítulo 1 del manual.

The post Paranoic Hardening: cabeceras y HSTS first appeared on Matteo Cisilino.

Dónde se encuentra la prueba de seguridad WordPress

Abre Ajustes > Cisilino Site Defense Network (punto 1 de la imagen). Haz clic en la pestaña Test (punto 2). Encuentras dos recuadros:

• punto 3: «Verificar bloqueo de ejecución PHP en uploads».
• punto 4: «Integridad de los archivos del plugin».

Tras cada botón el sitio te devuelve a la pestaña General, con un aviso arriba. El resultado, sin embargo, se escribe en la pestaña Test. Vuelve a abrirla para leerlo.

Verificar bloqueo de ejecución PHP en uploads

Este recuadro prueba la regla «Bloquea ejecución PHP en wp-content/uploads» de la pestaña Hardening / IDS, descrita en el capítulo Hardening / IDS. El texto explica que es la única forma de saber si la regla es de verdad eficaz en este sitio. Un AllowOverride desactivado o un bloqueo más específico en el servidor podrían dejarla inútil sin avisarlo.

Cómo se usa

1. En la pestaña Hardening / IDS activa la regla y haz clic en «Guardar reglas de hardening».
2. Abre la pestaña Test.
3. En el recuadro «Verificar bloqueo de ejecución PHP en uploads» haz clic en «Verificar ahora».
4. Vuelve a la pestaña Test y lee el resultado, con la fila «Última prueba:» y la fecha.

Si la regla no está activa y guardada, el botón está desactivado. El recuadro muestra: «Activa y guarda la regla \»Bloquea ejecución PHP en wp-content/uploads\» en la pestaña Hardening / IDS antes de poder ejecutar la prueba.».

Qué hace la prueba

El plugin escribe en uploads un pequeño archivo .php de prueba. Lo solicita por HTTP, con un límite de 10 segundos. Luego lo borra enseguida, en cualquier caso. El archivo contiene solo una impresión de control.

Cómo se lee el resultado

• Verde: «Bloqueo eficaz: la petición al archivo de prueba recibió N.». El número es 403 o 404.
• Rojo: «ATENCIÓN: el archivo PHP de prueba se ha EJECUTADO (respuesta N).» La regla no bloquea nada. El mensaje sugiere comprobar que AllowOverride permita .htaccess en esa carpeta y que no exista un bloqueo <Directory> más específico.
• Amarillo: «Resultado poco claro (respuesta N, cuerpo no reconocido): verifica a mano con una petición directa al sitio.».
• Azul: «Regla desactivada: actívala y guárdala antes de ejecutar la prueba.».
• Rojo, por errores: «No se puede determinar la carpeta uploads.», «No se puede escribir el archivo de prueba en uploads (¿permisos?): prueba no ejecutada.» o «La petición de verificación ha fallado», con el motivo.

Atención: si el sitio no logra llamarse a sí mismo, por ejemplo por un firewall, una contraseña HTTP o un DNS local, la prueba da error o resultado poco claro. Un 404 se cuenta como bloqueo, pero podría depender de otra cosa. La prueba solo comprueba la carpeta uploads estándar. Durante unos segundos existe un archivo .php en uploads: si el bloqueo no funciona puede ejecutarse, pero contiene solo una impresión.

Integridad de los archivos del plugin

Es la segunda parte de la prueba de seguridad WordPress. El segundo recuadro compara los hashes MD5 de los archivos .php del plugin con los esperados. Busca archivos modificados, faltantes o añadidos. El control arranca solo una vez al día. El botón «Verificar ahora» lo ejecuta de inmediato.

El recuadro señala un límite fijo: quien ya tiene escritura sobre los archivos puede también reescribir los hashes o apagar el control. Es un detector de manipulaciones, no una barrera.

Cómo se usa

1. Abre la pestaña Test.
2. En el recuadro «Integridad de los archivos del plugin» haz clic en «Verificar ahora».
3. Lee el aviso: «Verificación de integridad ejecutada: el resultado está en el recuadro \»Integridad de los archivos del plugin\».».
4. Vuelve a abrir la pestaña Test y lee el recuadro.

Cómo se lee el resultado

Verde: «Todos los N archivos verificados coinciden. Último control: fecha.». Si la referencia es una fotografía, el recuadro añade que detecta los cambios posteriores, no un plugin ya comprometido al instalarse. Rojo: «ATENCIÓN: los archivos del plugin no coinciden con los esperados.», con las listas «Modificados», «Faltantes» y «No previstos». Amarillo: «Ninguna referencia disponible». En ese caso reactiva el plugin.

El botón manual no escribe en el registro de actividad. Solo lo hace el control programado, y solo si encuentra un problema o si los archivos vuelven a la normalidad tras una alarma. Para los detalles lee el capítulo Vigilancia de subidas y control de integridad.

Atención: si has modificado a mano un archivo del plugin, la alarma roja es normal. Si no lo has hecho, trata el sitio como potencialmente comprometido: reinstala el plugin desde una copia fiable y revisa el resto de la instalación.

Si algo no funciona

Repite la prueba de seguridad WordPress después de cada corrección. Si la prueba del PHP da rojo, la regla no protege. Pregunta a tu hosting si .htaccess está habilitado. Si el servidor no lee .htaccess, por ejemplo con nginx, la regla no tiene efecto. Repite la prueba después de cada corrección. Un 403 es la respuesta que quieres ver: la página sobre el código de estado 403 de MDN explica qué significa.

Capítulo anterior: Vigilancia de subidas y control de integridad. Capítulo siguiente: Paranoic Hardening: cabeceras de seguridad y sesión administrativa. Para el listado de capítulos vuelve a la introducción del manual.

The post Prueba de seguridad WordPress: pestaña Test first appeared on Matteo Cisilino.

Dónde se encuentra

Atención al lugar: el formulario no está en la pestaña «Hardening / IDS». Abre Ajustes > Cisilino Site Defense Network (punto 1), quédate en la pestaña General (punto 2) y baja hasta el final. Tras la whitelist encuentras la sección «Vigilancia de subidas de archivos» (punto 3). El control de integridad se lee en cambio en la pestaña Test, explicada en el capítulo Pestaña Test.

Para qué sirve la vigilancia de subidas de archivos

La sección dice: «Registra los archivos subidos al sitio, incluidos los que no pasan por la biblioteca de medios: formularios de plugins, endpoints admin-ajax, subidas arbitrarias de un tema.» Por ahí entra la mayoría de las webshells. Un registro que solo mire la biblioteca de medios no las ve.

Cómo se usa

1. Abre la pestaña General y baja hasta «Vigilancia de subidas de archivos».
2. Marca la fila «Vigilancia»: «Registra las subidas de archivos».
3. Marca la fila «Bloqueo de archivos ejecutables»: «Rechaza las subidas con extensión ejecutable (.php, .phtml, .phar, .sh, .htaccess…)».
4. Haz clic en «Guardar vigilancia de subidas».
5. Lee el aviso: «Ajustes de la vigilancia de subidas guardados.».

Registra las subidas de archivos

Esta opción está activa por defecto. Los eventos van al grupo «Subidas de archivos» del registro de actividad. En una petición sin archivo el coste es nulo. El plugin anota cada petición que contiene un archivo, con el campo y la dirección que lo recibió. Las acciones que verás en el registro son:

• «Archivo recibido en una petición POST».
• «Archivo subido».
• «ATENCIÓN: subido archivo potencialmente ejecutable».
• «Subida BLOQUEADA».

El registro local conserva como máximo 500 filas, si no cambias el tope en los ajustes del registro de actividad. Cómo leerlo se explica en el capítulo Registro de actividad.

Bloqueo de archivos ejecutables

Esta opción está desactivada por defecto. Funciona solo si también está activa «Registra las subidas de archivos»: con la vigilancia apagada el bloqueo no hace nada, aunque la casilla esté marcada. Si la activas, WordPress rechaza el archivo con el mensaje: «Tipo de archivo no permitido en este sitio (Cisilino Site Defense Network: subida de archivos ejecutables bloqueada).» El control reconoce también las dobles extensiones, como imagen.php.jpg.

Las extensiones consideradas peligrosas son: php, php3, php4, php5, php7, php8, phtml, phps, phar, pht, shtml, cgi, pl, py, rb, sh, bash, htaccess, htpasswd, jsp, asp, aspx, exe, so, dll, ini, svg y svgz.

Atención: la lista bloquea también .svg, así que los logos en SVG ya no se pueden subir. Bloquea también .ini, .py, .exe y .dll, que aparecen en adjuntos y paquetes. El plugin mira todas las partes después del primer punto. Un nombre como archivo.pl.zip se rechaza por tanto. El bloqueo vale solo para las subidas gestionadas por WordPress (filtro wp_handle_upload_prefilter). Un plugin que guarda el archivo por su cuenta queda registrado («Archivo recibido en una petición POST») pero no se detiene. Quien escribe directamente en disco, sin una petición con archivo, no deja rastro en este registro.

El control de integridad

A diferencia de la vigilancia de subidas de archivos, aquí no se miran las nuevas subidas sino los archivos ya presentes. El plugin compara los hashes MD5 de sus archivos .php con los esperados. Busca archivos modificados, faltantes o añadidos. Excluye las carpetas tests y dist. Los archivos que no son PHP no se comprueban.

El control se ejecuta una vez al día, mediante el sistema de programación de WordPress. Si el sitio tiene pocas visitas, puede retrasarse. La referencia es el archivo checksums.json en la carpeta del plugin, si está presente. En caso contrario el plugin usa una fotografía de los archivos tomada al activarse y en cada cambio de versión.

Cómo se lee el resultado

Lo encuentras en la pestaña Test, en el recuadro «Integridad de los archivos del plugin», donde también está el botón «Verificar ahora» para lanzar el control de inmediato. Hay cuatro casos:

• «Ninguna verificación ejecutada todavía.», si nunca se ha ejecutado.
• Recuadro verde: «Todos los N archivos verificados coinciden. Último control: fecha.».
• Recuadro amarillo: «Ninguna referencia disponible: no se puede verificar. Reactiva el plugin para capturar una nueva fotografía de los archivos.».
• Recuadro rojo: «ATENCIÓN: los archivos del plugin no coinciden con los esperados.», con tres listas: «Modificados», «Faltantes», «No previstos».

En la lista aparecen como máximo 15 nombres. Si ves el rojo y no has tocado los archivos a mano, el plugin te dice que trates el sitio como potencialmente comprometido. Reinstala el plugin desde una copia fiable y revisa el resto de la instalación.

Si la referencia es la fotografía, el recuadro verde lo indica. Esa comparación encuentra los cambios posteriores, no un plugin ya comprometido en el momento de la instalación.

Atención: la integridad es un detector, no una barrera. Quien ya ha escrito en los archivos puede también reescribir los hashes o apagar el control. Cambios hechos a mano o una subida a medias producen una alarma roja.

Qué pasa entre bastidores

La vigilancia de subidas de archivos y la integridad usan el mismo registro. El control diario escribe en el registro de actividad solo en dos casos: cuando encuentra un problema y cuando, tras un problema, todo vuelve a la normalidad. Cuando todo va bien no escribe nada. El registro se envía luego al panel, así una copia de la alarma queda fuera de tu servidor.

Si algo no funciona

La vigilancia de subidas de archivos sigue siendo útil incluso con el bloqueo apagado. Si un plugin legítimo deja de subir archivos, apaga «Bloqueo de archivos ejecutables» y vuelve a probar. Para entender qué subidas llegan al sitio, deja activa la vigilancia y consulta el registro. Para las reglas sobre archivos en uploads mira también el capítulo Hardening / IDS.

El riesgo que aquí se intenta reducir lo describe OWASP: lee la página sobre la subida de archivos sin restricciones, útil para entender por qué las subidas son un punto débil.

Capítulo anterior: Hardening / IDS: las reglas para .htaccess. Capítulo siguiente: Pestaña Test: comprobar que las protecciones funcionan. Índice: introducción del manual.

The post Vigilancia de subidas y control de integridad first appeared on Matteo Cisilino.

Dónde encuentras el hardening WordPress

Abre Ajustes > Cisilino Site Defense Network (punto 1 de la imagen). Luego haz clic en la pestaña Hardening / IDS (punto 2). En la pestaña encuentras tres secciones, en este orden:

• punto 3: bajo el título «Hardening / control de accesos (IDS)», la fila «Reglas .htaccess».
• punto 4: «WordPress».
• punto 5: «Rutas personalizadas para bloquear».

Arriba la pestaña dice: «Reglas opcionales aplicadas a nivel de servidor (.htaccess) o de WordPress. Todas desactivadas por defecto: actívalas solo si sabes que no chocan con temas o plugins del sitio.» Al final hay un solo botón: «Guardar reglas de hardening».

Para qué sirve

Las reglas reducen la superficie de ataque. Tres interruptores escriben en el archivo .htaccess, como también el campo de rutas personalizadas. Dos interruptores son filtros de WordPress. No es un firewall y no analiza las peticiones: aquí «IDS» significa reglas de acceso a archivos y carpetas.

Las reglas .htaccess (punto 3)

Bloquea la ejecución de PHP en wp-content/uploads

La etiqueta completa es «Bloquea ejecución PHP en wp-content/uploads (protección contra shells subidas como \»imagen\»)». El plugin responde 403 a cada petición de un archivo con extensión php, php3, php4, php5, php7, php8, php9, phtml, phps, phar o pht cuya dirección contenga /wp-content/uploads/. Las mayúsculas no cuentan.

Funciona solo con Apache 2.4 (hace falta el módulo mod_authz_core: sin él, la regla no hace nada y no lo avisa). En nginx el archivo .htaccess se ignora y ninguna regla de esta pestaña tiene efecto, salvo los filtros de WordPress. Cubre la carpeta uploads estándar, no una carpeta personalizada. Puede romper plugins que sirven de verdad archivos PHP desde esa carpeta. Para saber si funciona en tu sitio usa la prueba del capítulo Pestaña Test.

Desactiva el listado de archivos en carpetas sin index

Escribe una sola línea: Options -Indexes. Al abrir una carpeta sin página índice verás un error 403 en lugar del listado de archivos. Si usas una carpeta como listado público de descargas, ese listado desaparece.

Bloquea el acceso directo a wp-config.php, .htaccess, readme.html, debug.log

El plugin escribe una regla para cada nombre y responde 403. El control se hace sobre el nombre del archivo, no sobre la ruta. Vale por tanto para cada archivo con ese nombre en cualquier carpeta del sitio, incluso dentro de otros plugins. Un plugin que publique su propio readme.html o debug.log quedará bloqueado.

Las reglas de WordPress (punto 4)

Estas dos reglas del hardening WordPress son filtros PHP. No tocan .htaccess.

Desactiva XML-RPC

La etiqueta es «Desactiva XML-RPC (bruteforce/pingback, casi nunca necesario en los sitios modernos)». El archivo xmlrpc.php sigue en su sitio, pero WordPress rechaza los métodos XML-RPC que requieren inicio de sesión. Atención: se detienen la app móvil de WordPress, parte de las funciones de Jetpack y la publicación desde clientes externos. El método pingback.ping no requiere inicio de sesión y el filtro no lo detiene: no cuentes con esta regla para cerrar los pingbacks. Los trackbacks no usan XML-RPC y no se ven afectados. La conexión del plugin al panel no usa XML-RPC, así que no se ve afectada.

Bloquea la enumeración de usuarios vía ?author=N

Si la petición contiene el parámetro author con un valor (distinto de vacío y de 0), en el sitio público aparece «No encontrado.» con respuesta 404. Atención: esta regla no protege la REST API. El listado de usuarios en /wp-json/wp/v2/users sigue siendo accesible. Algunos temas y plugins usan ?author= para filtrar los archivos, y quedarán bloqueados.

Rutas personalizadas para bloquear (punto 5)

El campo de texto es para quien quiere cerrar una carpeta concreta, por ejemplo /wp-content/uploads/backup-viejo/. Escribe una ruta por línea. Las líneas vacías se ignoran.

Cada línea es texto literal. Las mayúsculas cuentan y la parte después del ? de la dirección no se compara. La ayuda bajo el campo habla de «patrones», pero aquí no existen. No hay comodines: *, ^ y $ valen como simples caracteres. El plugin bloquea con 403 cada dirección que contenga esa cadena, en cualquier punto. Por eso la ruta /wp-content/uploads/backup-viejo/ bloquea también /blog/wp-content/uploads/backup-viejo/x.

Este campo no tiene interruptor. La regla está activa en cuanto el campo no está vacío y guardas.

Atención: si escribes / o wp bloqueas todo el sitio, área de administración incluida. Para volver atrás tendrías que corregir .htaccess por FTP. Incluso una cadena como /uploads/ bloquea todas las imágenes. Evita el carácter % en las rutas.

Valores predeterminados

Cinco interruptores desactivados y campo vacío. Los ajustes están en la opción csdn_hardening.

Cómo se usa

Procede con calma: el hardening WordPress se hace una regla cada vez.

1. Haz una copia de .htaccess antes de empezar.
2. Marca una sola regla.
3. Haz clic en «Guardar reglas de hardening».
4. Comprueba que el sitio se abre y que el panel de administración funciona.
5. Pasa a la regla siguiente.

Tras guardar vuelves a la pestaña General, no a aquella en la que guardaste. Arriba encuentras el aviso. Si hay éxito dice «Reglas de hardening guardadas y aplicadas.». Si hay error dice «Ajustes guardados, pero la escritura en .htaccess ha fallado (¿permisos?). Las reglas no están activas.». Con el error, los dos filtros de WordPress siguen activos igualmente.

Atención: el plugin no crea ninguna copia de seguridad de .htaccess. Tampoco comprueba la sintaxis antes de escribir. Una regla incompatible con tu servidor puede dar error 500 en todo el sitio. En una red multisitio el archivo es el de la red: el error afecta a todos los sitios.

Qué pasa entre bastidores

El plugin escribe entre dos marcadores: # BEGIN Cisilino Site Defense Network - Hardening y su # END correspondiente. El resto del archivo no se toca. Un segundo bloque, separado, contiene las IP bloqueadas. Si desactivas el plugin, los dos bloques se vacían. Si apagas todo y guardas, el bloque de hardening queda vacío.

Si algo no funciona

Si tras el hardening WordPress el sitio muestra error 500, abre .htaccess por FTP. Borra las líneas entre los dos marcadores de hardening. Luego prueba con menos reglas. Si no se escribe en el archivo, comprueba los permisos de .htaccess.

Para una visión más amplia de las buenas prácticas, lee la guía oficial de hardening de WordPress: explica otras medidas que quedan fuera del plugin.

Capítulo anterior: Pestaña IP bloqueadas: leer la lista negra. Capítulo siguiente: Vigilancia de subidas y control de integridad. Para el índice completo de capítulos vuelve a la introducción del manual.

The post Hardening WordPress: las reglas para .htaccess first appeared on Matteo Cisilino.