Dónde se encuentra

En la barra lateral de WordPress abre Ajustes y luego «Cisilino Site Defense Network» (punto 1 de la imagen). Haz clic en la pestaña «Ajustes remotos» (punto 2). Debajo encuentras dos secciones: el recuadro «Estado de la conexión al panel» (punto 3) y el formulario «Conexión al panel» (punto 4).

Para qué sirve

El plugin cuenta los inicios de sesión fallidos y bloquea las IP en local, en el archivo .htaccess. Si lo conectas al panel, cada 15 minutos le envía las IP que han fallado el inicio de sesión. A cambio recibe la lista de IP ya bloqueadas para tu cliente y las bloquea también en tu sitio.

Si dejas vacíos los ajustes remotos, el plugin no hace ninguna llamada externa. Sigue contando los intentos y bloqueando las IP en el sitio. El esquema de sus protecciones está en el capítulo 1, el índice del manual.

Cómo rellenar los ajustes remotos

1. En el panel abre Ajustes › Servicios Audit y busca la sección «Claves API — Cisilino Site Defense Network». Ahí el panel genera la clave.
2. Vuelve a WordPress, en la sección del punto 4. Rellena «Customer code».
3. Pega la «Clave API». El campo es de tipo contraseña: no ves lo que escribes.
4. Escribe la «URL del panel», por ejemplo https://panel.ejemplo.es.
5. Define, si quieres, el «Umbral de bloqueo local (intentos fallidos)». Hablo de ello en el capítulo 4.
6. Elige el «Nivel de seguridad (lista de IP del panel)».
7. Haz clic en «Guardar y verificar conexión».

Los ajustes se guardan siempre, aunque la verificación luego falle. La excepción es una URL http, que bloquea todo el guardado (lo ves más abajo). No tienes que reescribir todo para corregir un error de tecleo. El resultado de la verificación aparece en el recuadro del punto 3, con la indicación «Última verificación» y la fecha. Es verde si todo va bien, rojo si algo no funciona.

Los niveles de seguridad

El campo «Nivel de seguridad (lista de IP del panel)» ofrece cuatro opciones.

• «Desactivado — solo lista negra oficial del panel» es el valor predeterminado.
• «Noob — IP vistas fallando el inicio de sesión de WordPress en otra parte de la red».
• «Casual — también IP vistas fallando en FTP en otra parte de la red».
• «Berserk — todas las IP registradas como posibles ataques, cualquiera que sea el protocolo».

Los niveles son cada vez más amplios: Noob está incluido en Casual, Casual está incluido en Berserk. El panel envía todas las listas, pero el plugin aplica solo la que elijas. Si vuelves a «Desactivado», la lista anterior sale enseguida de .htaccess.

Valores predeterminados y límites

• Customer code y clave API están vacíos al principio.
• El umbral es 10, con mínimo 3 y máximo 100 solo en el campo del formulario: el servidor no controla los límites (un valor vacío o 0 se convierte en 10, un valor forzado de 1 a 2 o por encima de 100 se aceptaría).
• El nivel de seguridad es «Desactivado».
• Si falta aunque sea uno entre customer code, clave y URL, el plugin no envía nada y el recuadro de estado desaparece.

Por qué hace falta https

En los ajustes remotos la URL del panel debe empezar por https. La clave API viaja en el cuerpo de cada petición de sincronización. Por http cualquiera que esté en la ruta de red podría leerla. También podría alterar la respuesta, que decide qué IP bloquear. Para entender qué garantiza el protocolo puedes leer esta página sobre HTTPS en el glosario de MDN, que explica con claridad el cifrado del tráfico.

Una URL sin esquema (por ejemplo panel.ejemplo.es) se completa con http y por tanto se rechaza: escribe siempre https://. El control se hace dos veces. Si escribes una URL http, el plugin no guarda nada (ni siquiera los otros campos) y muestra un aviso rojo que empieza por «URL del panel no guardada: se necesita https». El control se repite en cada petición: si una URL http ya estuviera guardada, la petición no se envía y el estado pasa a error, con el mensaje «URL del panel insegura: se necesita https». La única excepción es el host de desarrollo local, como localhost o un dominio que termina en .test, .localhost o .local.

Atención: no escribas nunca la clave API en una URL http y no la pegues en herramientas que no conoces. La clave queda en claro en la base de datos de WordPress: protege también el acceso al backend.

Qué se envía al panel

Una vez guardados los ajustes remotos, en cada sincronización el plugin envía al panel:

• el customer code, la clave API y la dirección del sitio;
• hasta 200 eventos por vez, cada uno con IP, último usuario probado, resultado (siempre «failed») y hora del intento;
• las filas del registro de actividad del sitio (pestaña «Registro de actividad»), en lotes de 200: quién hizo la acción (inicio de sesión, rol, IP), el tipo de acción y la descripción. Esto ocurre si la opción «Enviar las actividades al panel» está activa, y lo está por defecto. El envío también se produce al final de la petición, no solo cada 15 minutos.

Nunca envía la contraseña que se ha escrito. Tampoco envía las anulaciones locales: se describen en el capítulo 5 y se quedan solo en tu sitio. Las filas enviadas se marcan y no se vuelven a enviar.

Si algo no funciona

Si los ajustes remotos no funcionan, el recuadro rojo muestra uno de estos mensajes.

• «Autenticación rechazada por el panel: customer_code o clave API incorrectos.» Si el panel envía su propio mensaje de error, aparece ese en su lugar. Revisa los dos valores.
• «No se puede alcanzar el panel: …», seguido del texto del error. Revisa la URL, el DNS y el certificado.
• «El panel respondió con un error (HTTP …)», seguido del inicio de la respuesta.
• «Respuesta del panel no válida (no es JSON).» Probablemente la URL no es la correcta.

Si el panel no responde, el plugin no pierde la protección. Las IP ya bloqueadas siguen en el archivo .htaccess. Los eventos quedan en cola y se reenvían en el siguiente ciclo. No hay un correo de aviso: el estado solo se lee en el recuadro.

Atención: los niveles Casual y sobre todo Berserk bloquean muchas IP de golpe. Empieza por «Desactivado» o por Noob y pasa a un nivel más amplio solo si lo necesitas.

Recuerda: los ajustes remotos son opcionales y el plugin protege el sitio también sin ellos.

Capítulo anterior: Instalar y activar Cisilino Site Defense Network. Capítulo siguiente: Pestaña General: umbral de bloqueo y estado del plugin.

The post Ajustes remotos: conectar CSDN al panel first appeared on Matteo Cisilino.