{"id":232,"date":"2026-11-02T09:00:00","date_gmt":"2026-11-02T08:00:00","guid":{"rendered":"https:\/\/www.cisilino.com\/?p=232"},"modified":"2026-11-02T09:00:04","modified_gmt":"2026-11-02T08:00:04","slug":"ataque-fuerza-bruta-wordpress-login","status":"publish","type":"post","link":"https:\/\/www.cisilino.com\/es\/2026\/11\/02\/ataque-fuerza-bruta-wordpress-login\/","title":{"rendered":"Ataque de fuerza bruta en WordPress: c\u00f3mo frenarlo en el login"},"content":{"rendered":"

Pasa as\u00ed: el sitio va lento por la noche y nadie entiende por qu\u00e9. En los logs hay cientos de peticiones a wp-login.php<\/code> desde pocas direcciones, con nombres de usuario como admin<\/em> o el nombre del dominio. Es un ataque de fuerza bruta en WordPress<\/strong>: ning\u00fan fallo que explotar, solo intentos hasta que una contrase\u00f1a cede.<\/p>\n

\"Ataque<\/figure>\n

Qu\u00e9 hace el plugin cuando empieza un ataque de fuerza bruta<\/h2>\n

Cada login fallido de un posible ataque de fuerza bruta se anota: IP, usuario probado, resultado, hora. La contrase\u00f1a no, nunca. Cuando una IP supera el umbral que has fijado, el plugin a\u00f1ade una regla a .htaccess<\/code> (compatible con Apache 2.4 y 2.2). Desde ese momento las peticiones de esa direcci\u00f3n se detienen en el servidor web. WordPress ni siquiera se carga, as\u00ed que el sitio vuelve a respirar.<\/p>\n

Un detalle que importa: el contador es una operaci\u00f3n at\u00f3mica en la base de datos. Enviar cien intentos a la vez, en el mismo instante, no permite saltarse el umbral.<\/p>\n

D\u00f3nde ver lo que ha pasado<\/h2>\n

En Ajustes \u203a Cisilino Site Defense Network<\/em> encuentras la pesta\u00f1a de las IP bloqueadas, con filtro. Y tambi\u00e9n la lista de las \u00faltimas 50 detecciones de un posible ataque de fuerza bruta. Si un cliente se ha bloqueado a s\u00ed mismo, \u00abDesbloquear\u00bb en la fila y listo.<\/p>\n

Cuando las IP son muchas<\/h2>\n

El bloqueo por IP tiene un l\u00edmite conocido. Si el ataque de fuerza bruta llega desde cientos de direcciones distintas, cada una tiene que superar antes el umbral. Con la red Cisilino, una IP ya vista fallar en otro sitio de tu cliente se bloquea antes incluso de llegar. En cualquier caso, usa nombres de usuario poco obvios y contrase\u00f1as largas: el plugin quita el ruido, pero no hace fuerte una contrase\u00f1a d\u00e9bil.<\/p>\n

Si quieres ir m\u00e1s all\u00e1, la gu\u00eda de OWASP sobre c\u00f3mo bloquear los ataques de fuerza bruta<\/a> explica otras medidas.<\/p>\n

En un hosting nginx el plugin registra los intentos pero no puede escribir la regla a nivel de servidor.<\/p>\n

Preguntas frecuentes<\/h2>\n

\u00bfC\u00f3mo se frena un ataque de fuerza bruta en WordPress?<\/h3>\n

Contando los logins fallidos por IP y bloqueando a quien supera un umbral. El plugin lo hace escribiendo una regla en .htaccess, de modo que la petici\u00f3n se detiene antes de WordPress.<\/p>\n

\u00bfEl plugin guarda las contrase\u00f1as probadas?<\/h3>\n

No. Registra la IP, el usuario intentado, el resultado y la hora, nunca la contrase\u00f1a.<\/p>\n

\u00bfPuedo desbloquear una IP bloqueada por error?<\/h3>\n

S\u00ed, desde la lista de IP bloqueadas con el bot\u00f3n Desbloquear en cada fila.<\/p>\n

Lee tambi\u00e9n<\/h2>\n