Resolución de problemas: por dónde empezar

Antes de buscar la respuesta exacta, repasa esta lista de comprobación.

1. ¿Todavía puedes abrir wp-admin? Si es así, casi todo se resuelve desde la página Ajustes del plugin.
2. Lee los avisos de arriba. El plugin explica el resultado de las acciones con mensajes en recuadros coloreados.
3. Recuerda lo último que cambiaste: una regla de hardening, una política, un límite.
4. Si existe un botón Verificar ahora, úsalo antes de intentar adivinar.
5. Si ya no entras en el sitio, prepara el acceso FTP o el gestor de archivos del hosting.

Accesos y bloqueos

Me he bloqueado yo solo: ¿qué hago?

Si todavía tienes acceso a WordPress, por ejemplo desde el teléfono con datos móviles, abre la pestaña IP bloqueadas. Busca tu IP y pulsa Desbloquear. Si tu IP no está en la lista pero estás bloqueado (puede venir de la lista de seguridad opcional), ve a la pestaña General, sección «Anulaciones locales de IP»: escribe la IP, elige «Desbloquear siempre (unban)» y pulsa Guardar anulación. Luego, en la pestaña General, pulsa Añadir a la whitelist.

Si también estás bloqueado desde el sitio, y ves un error 403, entra por FTP y abre .htaccess. Quita la línea con tu IP, o todo el bloque entre # BEGIN Cisilino Site Defense Network y # END Cisilino Site Defense Network.

Atención: la modificación a mano es temporal. El bloqueo se vuelve a escribir desde la misma fuente en el siguiente evento: un inicio de sesión fallido, una sincronización o el ciclo cada 15 minutos. En cuanto estés dentro, usa Desbloquear y la whitelist.

¿Por qué la whitelist no me ha desbloqueado?

La whitelist solo evita que los inicios de sesión fallidos se cuenten. No quita los bloqueos ya presentes. Para quitar un bloqueo hace falta Desbloquear, que crea una anulación permanente de desbloqueo en este sitio.

Un usuario legítimo ha sido bloqueado

El contador de intentos es acumulativo por IP y no se reinicia solo. Incluso errores dispersos en semanas pueden llegar al umbral, que por defecto es 10. Desbloquea la IP y ponla en la whitelist, o sube el umbral en Ajustes remotos, donde el campo es «Umbral de bloqueo local (intentos fallidos)».

El bloqueo de una IP no termina nunca

Un bloqueo local no vence. Un bloqueo manual vence con la duración elegida, de 1 hora a 7 días. Si elegiste «Permanente (hasta que lo quites)», no vence. Un bloqueo recibido del panel desaparece cuando el panel lo quita de la lista. Un desbloqueo con tiempo, al vencer, hace volver el bloqueo si la fuente original todavía está ahí. Para un desbloqueo definitivo usa Desbloquear, que es permanente.

Detrás de un proxy o una CDN los bloqueos son extraños

El plugin lee la IP solo desde REMOTE_ADDR e ignora la cabecera X-Forwarded-For, porque se puede falsificar. Mira la frase «Tu IP actual es …» bajo el campo Dirección IP de la pestaña General. Si no es tu IP pública, el plugin está viendo la dirección del proxy. En ese caso evita bloquear o poner en whitelist esa dirección, hasta que hayas aclarado la situación con quien gestiona el proxy.

Errores tras las reglas en .htaccess

Esta parte de la resolución de problemas trata las reglas escritas en el archivo del servidor.

El sitio da error 500 tras guardar el hardening

El plugin no crea una copia de .htaccess y no comprueba la sintaxis después de escribir. Un error, o una regla que el servidor no acepta, se ve de inmediato como error 500.

1. Entra por FTP o desde el gestor de archivos.
2. Haz una copia de .htaccess.
3. Elimina el bloque entre # BEGIN Cisilino Site Defense Network - Hardening y # END Cisilino Site Defense Network - Hardening.
4. Recarga el sitio, luego corrige los ajustes en la pestaña Hardening / IDS.

El bloque del hardening solo se reescribe cuando guardas la pestaña o reactivas el plugin, no en el ciclo cada 15 minutos. Tu modificación a mano, por tanto, se queda.

Escribí una ruta personalizada y todo el sitio da 403

En la casilla de rutas personalizadas cada línea es texto literal, sin comodines. La regla bloquea cada dirección que contenga esa cadena. Escribir / o wp bloquea todo, incluido wp-admin. Quita por FTP el bloque del hardening, como arriba. Luego, en la pestaña Hardening / IDS, corrige o vacía la casilla «Rutas personalizadas para bloquear» y guarda. Si no la corriges, un nuevo guardado o una reactivación del plugin reescribe la regla y el sitio vuelve a dar 403.

Aparece «Ajustes guardados, pero la escritura en .htaccess ha fallado»

El archivo .htaccess no se puede escribir: revisa los permisos. Las reglas de ese bloque no están activas. Siguen activos, en cambio, los dos interruptores que actúan en PHP, es decir XML-RPC y ?author=N.

La prueba dice que el bloqueo de PHP en uploads no funciona

En la pestaña Test, el recuadro «Verificar bloqueo de ejecución PHP en uploads» señala si el archivo de prueba se ha ejecutado. Comprueba que el hosting permita .htaccess en esa carpeta y que no exista un bloqueo <Directory> más específico. En nginx las reglas no tienen efecto. La regla cubre solo la carpeta uploads estándar.

Un plugin o el tema han dejado de funcionar

Apaga la última regla que activaste y guarda. Los casos más comunes: el bloqueo del PHP en uploads rompe los plugins que escriben archivos PHP ahí; la desactivación de XML-RPC detiene apps y funciones remotas; el bloqueo de subidas ejecutables rechaza también archivos como .svg.

Usuarios, autores y visitantes

Un autor ya no puede publicar: «tu cuenta está suspendida»

El rate limiting ha visto demasiado contenido creado en poco tiempo. Por defecto el límite es 150 contenidos en 300 segundos, con suspensión de 3600 segundos. Desde la pestaña Rate limiting, en la tabla de usuarios suspendidos, pulsa Revocar suspensión. O espera al vencimiento.

Apagar «Rate limit activo» no quita una suspensión ya en curso. Antes de una importación grande sube el límite N o desactiva el límite.

Un visitante ve «Demasiados envíos»

Un invitado ha enviado demasiados comentarios o formularios en poco tiempo: por defecto más de 2 en 60 segundos, y el bloqueo dura 3600 segundos. El bloqueo es por IP, así que puede afectar a varias personas en la misma oficina. Sube el valor N de la sección de visitantes. No existe una lista de excepciones.

No consigo crear un usuario editor o administrador

Es intencionado. La política predeterminada de Registro de usuarios es «Solo roles de bajo privilegio» y no hace excepciones, ni siquiera para ti. Pasa de forma temporal a «Sin restricción», crea el usuario, luego vuelve atrás. Con «Ningún registro (exclusivo)» nadie puede crear usuarios. Revisa también el rol predeterminado en Ajustes > Generales de WordPress: si es un rol prohibido, los registros se rechazan.

Conexión al panel

La conexión al panel no aparece

El estado está en el recuadro «Estado de la conexión al panel:» en lo alto de la pestaña Ajustes remotos. Si el recuadro falta, los campos estaban incompletos: hacen falta Customer code, Clave API y URL del panel. Tras «Guardar y verificar conexión» no aparece un aviso aparte.

• «URL del panel insegura: se necesita https …»: la dirección debe empezar por https. El plugin rechaza también guardar una URL http.
• «Autenticación rechazada por el panel: customer_code o clave API incorrectos.»: revisa los dos valores.
• «No se puede alcanzar el panel: …»: problema de red, DNS o certificado.
• «Respuesta del panel no válida (no es JSON).»: la dirección no apunta al panel correcto.

Si el panel no responde, la protección local sigue funcionando y los datos en cola se envían en el siguiente ciclo. El plugin funciona también sin panel.

Las actividades no llegan al panel

En la pestaña Registro de actividad mira la tabla de diagnóstico y la fila «pendientes de enviar al panel». Pulsa Probar a enviar ahora: el resultado aparece en el diagnóstico. El tope de filas, por defecto 500, borra las más antiguas aunque no se hayan entregado.

Registro de depuración, integridad y cabeceras

El registro de depuración no se enciende

Hay dos mensajes posibles. «la carpeta de las subidas no se puede escribir»: arregla los permisos de uploads. «los archivos de su carpeta resultan accesibles desde internet»: probable servidor sin .htaccess, como nginx. Bloquea el acceso a la carpeta csdn-debug-* en la configuración del servidor y vuelve a intentarlo. Si se ha detenido por el tope de 200 MB, descarga o elimina los archivos y vuelve a encenderlo.

La integridad señala «los archivos del plugin no coinciden»

Si has modificado a mano un archivo del plugin, es normal. En caso contrario, trata el sitio como potencialmente comprometido: reinstala el plugin desde una copia fiable y revisa el resto. Si el mensaje dice que no hay ninguna referencia, reactiva el plugin para que tome una nueva fotografía.

HSTS no se activa, o no se apaga

Para activarlo hay que abrir los ajustes del plugin en https, de lo contrario aparece «HSTS NO se ha activado». Guarda siempre desde una página https. Apagar la casilla detiene el envío de la cabecera, pero los navegadores que ya la recibieron la recuerdan durante mucho tiempo.

Si no encuentras la respuesta

Si la resolución de problemas no basta, enciende el registro de depuración, reproduce el problema y lee la entrada. Luego abre una conversación en el foro de soporte del plugin: es el lugar para recibir ayuda y ver los problemas ya señalados. No pegues rutas del servidor ni datos sensibles.

Capítulo anterior: Registro de depuración: los errores PHP en un archivo propio. Capítulo siguiente: Desactivación, desinstalación y datos personales. Para el índice: manual CSDN.

The post Resolución de problemas y preguntas frecuentes first appeared on Matteo Cisilino.