Dónde se encuentra

En el menú lateral de WordPress abre Ajustes > Cisilino Site Defense Network (punto 1 de la imagen). Luego elige la pestaña General (punto 2). Más abajo encuentras tres secciones:

• punto 3: «Registro de actividad reciente».
• punto 4: «Anulaciones locales de IP».
• punto 5: «IP de confianza (whitelist)».

Tras cada acción vuelves siempre a la pestaña General, aunque hayas partido de la pestaña «IP bloqueadas». El mensaje de confirmación aparece ahí.

Para qué sirve

Las anulaciones te permiten forzar el bloqueo o el desbloqueo de una sola dirección. No importa el umbral de intentos fallidos ni la lista recibida del panel. Valen solo en este sitio: nunca se envían al panel.

La whitelist sirve para otra cosa. Enumera las direcciones que nunca deben contarse como intentos de inicio de sesión fallidos, por ejemplo la red de tu oficina.

Cómo se usa

Leer el registro (punto 3)

La sección «Registro de actividad reciente» muestra los «Últimos 50 intentos de inicio de sesión fallidos detectados en este sitio.» Las columnas son IP, Nombre de usuario probado, Intentos, Estado y Última vez vista. El estado es «Bloqueada» u «Observada». Hay una fila por cada IP, con un contador acumulativo, y el usuario es el último que se probó. Si no hay nada, lees «No hay eventos registrados.» No confundas esta lista con la pestaña «Registro de actividad», que es otro tema.

Bloquear o desbloquear una IP (punto 4)

Esta es la parte que sirve para bloquear IP WordPress a mano.

1. En el campo «Dirección IP» escribe una sola dirección, por ejemplo 203.0.113.5.
2. En «Acción» elige «Bloquear (ban)» o «Desbloquear siempre (unban)».
3. En «Duración» elige «Permanente (hasta que lo quites)», «1 hora», «6 horas», «24 horas» o «7 días».
4. Pulsa «Guardar anulación». Si la IP es válida lees «Anulación guardada y .htaccess actualizado.» El mensaje aparece también si .htaccess no se puede escribir: no demuestra que el bloqueo esté activo.

Bajo el formulario está la tabla de anulaciones activas, con las columnas IP, Acción, Vencimiento y Creado el. Cada fila tiene el botón «Quitar». Al quitar una anulación lees «Anulación quitada y .htaccess actualizado.» Si la tabla está vacía encuentras «Ninguna anulación activa.»

Usar la whitelist (punto 5)

1. En la casilla escribe una dirección o una red por línea, por ejemplo 203.0.113.5 o 203.0.113.0/24.
2. Pulsa «Guardar whitelist». Lees «Whitelist guardada.»

Si tu IP no está en la lista aparece un aviso: «Tu IP actual (…) no está en la whitelist.» El botón «Añadir a la whitelist» inserta solo esa entrada y deja intactas las demás.

Valores predeterminados y límites

• La acción predeterminada es «Bloquear (ban)», la duración predeterminada es «Permanente (hasta que lo quites)».
• El campo «Dirección IP» acepta solo una dirección IPv4 o IPv6 única. Un CIDR como 203.0.113.0/24 se rechaza con «IP no válida.»
• Para cada IP existe una sola anulación. Si guardas una segunda sobre la misma dirección, sustituye a la primera.
• La whitelist acepta IP únicas y redes CIDR IPv4 con prefijo de 0 a 32. Atención: 0.0.0.0/0 se acepta y cubre todas las IPv4. Eso apaga el recuento de inicios de sesión fallidos para todos. Para IPv6 solo vale la dirección exacta.
• Las líneas no válidas de la whitelist se descartan. El mensaje te dice cuántas, por ejemplo «1 línea descartada por no ser válida.» Los duplicados se eliminan.
• Guardar la whitelist sustituye toda la lista anterior.

Atención: el campo «Dirección IP» ya viene rellenado con tu IP, y debajo lees «Tu IP actual es …». La acción predeterminada es «Bloquear (ban)». Si pulsas «Guardar anulación» sin mirar, te bloqueas a ti mismo de inmediato. Verás un error 403 en todo el sitio. Revisa siempre la acción y la dirección antes de guardar.

Atención: el botón «Desbloquear» de la pestaña «IP bloqueadas» no pide confirmación. Crea de inmediato una anulación permanente. La whitelist no quita los bloqueos ya existentes: una IP ya bloqueada sigue bloqueada aunque la añadas a la lista, hasta que la desbloquees. Tampoco detiene los bloqueos del panel, de la lista de seguridad y los bans manuales: solo impide contar los inicios de sesión fallidos. Además el bloqueo solo funciona con Apache o LiteSpeed y con el archivo .htaccess escribible. Con otros servidores el ban existe en las tablas, pero el servidor no lo aplica.

Qué pasa entre bastidores

Cuando decides bloquear IP WordPress con una anulación, el plugin reescribe un bloque de .htaccess comprendido entre # BEGIN Cisilino Site Defense Network y # END Cisilino Site Defense Network. El resto del archivo no se toca. Las IP bloqueadas son la unión de cuatro fuentes: el bloqueo local por inicios de sesión fallidos, la lista del panel, la lista opcional del «Nivel de seguridad» y los bans manuales. El unban quita de la unión la entrada que coincide con la dirección escrita. Una red del panel (por ejemplo 198.51.100.0/24) sale solo si desbloqueas 198.51.100.0, no una IP concreta dentro de la red. El desbloqueo vale también para la lista opcional del «Nivel de seguridad» (Noob, Casual, Berserk). Esas IP no aparecen en la pestaña «IP bloqueadas», pero un unban las neutraliza.

El plugin lee la IP del visitante desde REMOTE_ADDR e ignora X-Forwarded-For. Detrás de un proxy o una CDN, la dirección vista puede ser la del proxy. En ese caso un bloqueo arriesga golpear a todos los visitantes.

Los vencimientos funcionan así:

• Un ban manual con tiempo se elimina al vencer. La dirección sale de .htaccess en el siguiente ciclo de control, en unos 15 minutos.
• Un ban local, el que salta por demasiados inicios de sesión fallidos, no vence solo. Solo se quita con un unban.
• Un unban con tiempo, al vencer, devuelve el bloqueo si la fuente original sigue ahí.

Cada guardado o eliminación de una anulación, y cada cambio en la whitelist, se escribe en el registro de actividad.

Ejemplos prácticos

Bloquear IP WordPress por un día

Quieres detener la dirección 203.0.113.5 durante 24 horas. Escríbela en «Dirección IP», deja «Bloquear (ban)», elige «24 horas» y pulsa «Guardar anulación». En la pestaña «IP bloqueadas» aparece con origen «manual».

Whitelist para la red de la oficina

Escribe 203.0.113.0/24 en la whitelist y pulsa «Guardar whitelist». Desde ese momento los fallos de inicio de sesión de esa red ya no se cuentan. Hazlo antes de hacer pruebas con contraseñas erróneas.

Me he bloqueado yo solo

Si todavía puedes abrir el área de administración, por ejemplo desde el teléfono con datos móviles, ve a «IP bloqueadas» y pulsa «Desbloquear» sobre tu IP. Luego añádela a la whitelist. Si en cambio ves un 403 en todo el sitio, puedes conectarte por FTP y quitar del archivo .htaccess la línea con tu IP. Atención: el plugin puede reescribirla en el siguiente evento, así que en cuanto entres de nuevo usa «Desbloquear» y la whitelist.

Para profundizar en cómo gestiona Apache estos controles de acceso, lee la guía de Apache sobre el control de accesos: explica las directivas que el plugin escribe por ti.

En resumen, bloquear IP WordPress con cuidado significa revisar la acción y la dirección antes de guardar. Capítulo anterior: Pestaña General: umbral de bloqueo y estado del plugin. Capítulo siguiente: Pestaña IP bloqueadas: leer la lista negra. El índice está en el manual CSDN.

The post Bloquear IP WordPress: anulaciones manuales first appeared on Matteo Cisilino.

Dónde se encuentra

Abre Ajustes y luego «Cisilino Site Defense Network» (punto 1 de la imagen). La pestaña «General» (punto 2) es la que se abre primero. En lo alto de la página hay una fila de contadores. Muestran las IP bloqueadas localmente, las recibidas del panel y las de la lista de seguridad opcional. Debajo, la pestaña tiene cuatro secciones. El punto 3 es «Registro de actividad reciente». El punto 4 es «Anulaciones locales de IP». El punto 5 es «IP de confianza (whitelist)». El punto 6 es «Vigilancia de subidas de archivos».

En este capítulo tratamos el punto 3 y el umbral. El bloqueo y el desbloqueo manuales y la whitelist (puntos 4 y 5) están en el capítulo 5. La vigilancia de subidas (punto 6) está en el capítulo 8.

El registro de actividad reciente

La sección muestra los «Últimos 50 intentos de inicio de sesión fallidos detectados en este sitio.» Las columnas son estas.

• «IP»: la dirección desde la que llegan los intentos.
• «Nombre de usuario probado»: el último nombre de usuario probado desde esa IP.
• «Intentos»: el total de inicios de sesión fallidos de esa IP.
• «Estado»: «Bloqueada» u «Observada».
• «Última vez vista»: fecha y hora, en la zona horaria del sitio.

Atención a un detalle: hay una fila por IP, no una fila por intento. Si la misma IP prueba diez nombres distintos, ves una sola fila con «Intentos» en 10 y el último nombre probado. Si no hay nada que mostrar, lees «No hay eventos registrados.»

«Observada» significa que la IP ha fallado algún inicio de sesión pero todavía no ha llegado al umbral. Las IP observadas también se envían al panel, si has hecho la conexión del capítulo 3.

Cómo funciona el umbral de bloqueo

El valor se define en la pestaña «Ajustes remotos», en el campo «Umbral de bloqueo local (intentos fallidos)». El valor predeterminado es 10. El campo del formulario acepta de 3 a 100, pero solo el navegador lo impone: el servidor no controla los límites y un valor vacío o 0 se convierte en 10. Por cada inicio de sesión fallido el plugin lee la IP, aumenta el contador de esa fila y comprueba el total. Cuando el total llega al umbral, la fila pasa a «Bloqueada». El archivo .htaccess se reescribe de inmediato, sin esperar la sincronización. En un servidor que ignora .htaccess (por ejemplo nginx) el bloqueo no tiene efecto sobre el tráfico.

Ejemplo técnico: con umbral 3, dos intentos fallidos desde 203.0.113.7 la dejan «Observada». El tercero la bloquea.

El umbral de bloqueo funciona también sin panel. La conexión solo sirve para intercambiar listas de IP, no para bloquear en local.

El umbral es acumulativo

Este es el punto que más sorprende del umbral de bloqueo. El contador no tiene ventana de tiempo y no se reinicia. Cada inicio de sesión fallido se suma a los anteriores, aunque hayan pasado semanas. Un colaborador que falla la contraseña de vez en cuando puede llegar, con el tiempo, al umbral y quedar fuera del sitio.

Atención: para las redes que conoces (oficina, sede) usa la whitelist, descrita en el capítulo 5. Las IP en la whitelist ni siquiera se cuentan. Un desbloqueo manual («Desbloquear siempre») mantiene la IP fuera de .htaccess mientras exista la anulación. Pero no reinicia el contador, y la fila sigue «Bloqueada». Si la anulación caduca o la quitas, la IP vuelve a bloquearse.

Para profundizar en por qué el simple recuento de intentos no basta como defensa, hay una guía útil en la página de OWASP sobre cómo bloquear los ataques de fuerza bruta, que discute las ventajas y los inconvenientes de los bloqueos automáticos.

El riesgo del proxy o de la CDN

El plugin lee la dirección del visitante solo desde REMOTE_ADDR. Ignora a propósito cabeceras como X-Forwarded-For, porque quien ataca puede falsificarlas. Si el sitio está detrás de un proxy, una CDN o un balanceador, REMOTE_ADDR puede ser la IP del proxy y no la del visitante.

Atención: en ese caso todos los inicios de sesión fallidos se atribuirían a la misma IP. Al llegar al umbral, podrías bloquear la IP del proxy, y con ella a todos los visitantes. Revisa la columna «IP» del registro: si ves siempre la misma dirección, incluso con usuarios distintos, estás en esta situación. Poner en whitelist la IP del proxy desbloquea a los visitantes. Pero desde ese momento ningún inicio de sesión fallido que pase por ahí se cuenta ya. El bloqueo de los intentos repetidos deja de funcionar. Usa una defensa aguas arriba (en el proxy o en la CDN) y no confíes solo en el umbral de bloqueo.

Si algo no funciona

• Un usuario legítimo aparece «Bloqueada»: añade su red a la whitelist y desbloquéala como se explica en el capítulo 5.
• Siempre ves la misma IP para personas distintas: sospecha de un proxy, como se describe arriba.
• Quieres cambiar el umbral de bloqueo: ve a «Ajustes remotos», modifica el campo y haz clic en «Guardar y verificar conexión». Si no tienes panel, los campos de la conexión quedan vacíos.

El umbral de bloqueo sigue siendo local: decides tú cuán estricto ser.

Capítulo anterior: Conectar el plugin al panel: Ajustes remotos. Capítulo siguiente: Bloquear, desbloquear y whitelist: las anulaciones manuales. El índice completo está en el capítulo 1.

The post Umbral de bloqueo: pestaña General first appeared on Matteo Cisilino.