Un sitio WordPress es objetivo de ataques mucho antes de volverse importante. Bots que prueban contraseñas en wp-login.php, scripts que buscan archivos olvidados, cuentas robadas usadas para publicar spam: cosas de todos los días, no ataques de película.

Qué hace el plugin de seguridad

El núcleo es la defensa del login: cuando una dirección IP supera el umbral de intentos fallidos, se bloquea con una regla en el archivo .htaccess. Alrededor hay un registro de actividad, el control de integridad de los archivos del plugin de seguridad. Hay también la vigilancia de las subidas y algunos endurecimientos opcionales. Añade límites para quien publica o comenta demasiado y una política para la creación de usuarios.

Cada función tiene su propio artículo, los encontrarás al final de esta página.

El plugin de seguridad funciona incluso sin configurarlo

En cuanto se activa, el plugin de seguridad detecta los logins fallidos y bloquea en local. No hace ninguna llamada al exterior. Los endurecimientos y las cabeceras HTTP están apagados hasta que los enciendas tú. Cada uno explica qué hace y qué puede romper.

Proteger varios sitios a la vez

Quien gestiona muchos sitios sabe que la misma IP hostil los prueba uno tras otro. Al conectar el plugin de seguridad a un panel Cisilino, una dirección vista fallar en un sitio se bloquea también en los demás. Sin panel, todo queda en el sitio individual.

Compatibilidad: versiones de PHP y WordPress

• WordPress: desde la 5.8, probado hasta la 7.1.
• PHP: desde la 7.4, en uso también con PHP 8.5.
• Servidor web: Apache 2.4 (o 2.2) y LiteSpeed en modo compatible para el bloqueo de IP en .htaccess. En nginx el plugin de seguridad detecta los ataques pero no puede escribir la regla a nivel de servidor.

Los límites, dichos desde el principio

El bloqueo de IP escribe en .htaccess, así que hace falta Apache o LiteSpeed en modo compatible. En nginx el plugin detecta pero no puede bloquear a nivel de servidor. El control de integridad avisa de las manipulaciones, no las impide. Y no es un antivirus: actualizaciones, copias de seguridad y contraseñas sólidas siguen siendo necesarias.

Si lo desactivas, las reglas escritas en .htaccess se eliminan. Al reactivarlo, todo vuelve a estar como estaba.

Descargar el plugin desde WordPress.org. Allí está la ficha oficial del plugin de seguridad.

Preguntas frecuentes

¿El plugin funciona sin configuración?

Sí. En cuanto se activa detecta los logins fallidos y bloquea las IP que superan el umbral, solo en local y sin llamadas externas.

¿Funciona en hosting nginx?

El bloqueo de IP requiere Apache o LiteSpeed en modo compatible, porque escribe en .htaccess. En nginx la detección sigue activa, el bloqueo a nivel de servidor no.

¿Sustituye a un antivirus?

No. Un plugin de seguridad reduce los riesgos más comunes pero no sustituye las actualizaciones, las copias de seguridad ni las contraseñas robustas.

Lee también

• Ataque de fuerza bruta en WordPress: cómo frenarlo en el login.
• Webshell en WordPress: cómo encontrarla con el control de integridad de archivos.
• Changelog: todas las versiones del plugin.

The post Plugin de seguridad para WordPress: Cisilino Site Defense Network first appeared on Matteo Cisilino.