Plugin de WordPress — ReportedIP (Edición completa)

ReportedIP es un plugin de seguridad para WordPress impulsado por la comunidad. Convierte cada sitio protegido en un sensor: cuando un sitio sufre un ataque, la red aprende y todos los demás sitios pueden rechazar al atacante antes de que se reciba la primera solicitud. Información sobre amenazas en tiempo real, trece sensores de ataque, autenticación de dos factores (2FA) con cuatro métodos y escalado progresivo de bloqueos. Código abierto, publicado bajo la licencia GPLv2+ en GitHub.

Instalación

Asistente de configuración (9 pasos)

El asistente se ejecuta la primera vez que se activa y se puede volver a iniciar en cualquier momento desde la configuración del complemento. Cada paso se guarda al instante, por lo que puedes detenerlo y reanudarlo.

Modos de funcionamiento

Dos modos: cambia entre ellos en cualquier momento sin perder los datos locales.

Qué incluye cada nivel

El complemento Hive funciona plenamente en el plan gratuito: protección local, los trece sensores y los cuatro métodos de autenticación de dos factores. Los planes de pago incluyen infraestructura de entrega gestionada (correo electrónico y SMS) y mayores cuotas de la red comunitaria. Consulta la página de precios para ver la comparación completa y realizar la actualización.

Business de varias licencias. Todas Business indicadas anteriormente corresponden a una sola licencia. Al finalizar la compra, puede adquirir Business , 5, 10 o 20 licencias (o modificarlo más tarde en el Portal de clientes de Stripe), y el número de comprobaciones/informes diarios, el límite mensual de correos electrónicos/SMS de 2FA y el número de dominios se adaptarán al número de licencias que adquiera; por ejemplo, 5 licencias = 75 dominios y 500 000 comprobaciones al día. Se aplica automáticamente un descuento por volumen a partir de x2. La versión PRO sigue siendo de una sola licencia; las cifras de la versión Enterprise son ilimitadas (uso razonable) y nunca se multiplican.

Pedido de consumo de lotes (PRO y Business): primero se consume la asignación mensual incluida (25 SMS / 500 correos electrónicos en PRO, 75 / 2500 en Business) y, a continuación, el saldo del paquete de prepago. Una vez agotados ambos, la API devuelve un código HTTP 429 y Hive recurre a la conexión local wp_mail() para el correo electrónico (o SMS con límite máximo) — los demás métodos de autenticación de dos factores siguen funcionando. Los créditos del paquete nunca caducan. Stripe utiliza tax_behavior = inclusive En el caso de los paquetes con precio bruto (conformes a la PAngV), Stripe Tax gestiona automáticamente la inversión del sujeto pasivo y el OSS.

Defensa de 5 capas

Hive aplica sus comprobaciones de forma secuencial: cada capa puede interrumpir la solicitud antes de que llegue a la siguiente. Conectado a init con prioridad 1, para que los demás complementos no se ejecuten en el caso de una IP bloqueada.

1. Lista blanca: las direcciones IP y los rangos CIDR de confianza siempre tienen acceso permitido (tu oficina, servicios de monitorización, etc.).
2. Lista de bloqueados local — Direcciones IP que has bloqueado manualmente o que han superado los límites locales. Almacenadas en wp_reportedip_hive_blocked.
3. Contadores de intentos: los contadores de inicio de sesión, comentarios, XMLRPC, ráfagas REST y escaneos 404 activan un bloqueo automático una vez que se alcanza el umbral.
4. Reputación de la comunidad: en el modo «Red de la comunidad», las direcciones IP con un nivel de confianza igual o superior al umbral se bloquean en el perímetro.
5. Requisito de autenticación de dos factores: las cuentas protegidas deben completar un segundo factor para iniciar sesión.

Los trece sensores de ataque

Cada sensor se puede activar o desactivar y ajustar de forma independiente en Ajustes → Protección.

Escalada progresiva por bloques

Los reincidentes pagan más. La escala predeterminada es: 5 min → 15 min → 30 min → 24 h → 48 h → 7 d. Tras 30 días sin incidentes, el contador se reinicia en el nivel 1. Los visitantes legítimos que activan el filtro por primera vez (CGNAT, errores de los administradores, salida de redes móviles) se recuperan en cuestión de minutos; los atacantes persistentes llegan al nivel de 7 días.

La escalera, la ventana de reinicio y el interruptor principal se encuentran en Ajustes → Bloqueo → Bloqueo progresivo. El paso «Protección» del asistente muestra el controlador principal, de modo que las instalaciones nuevas ya tienen en cuenta la escalada de privilegios desde el primer guardado. La corrección block_duration La configuración sigue siendo válida aunque la escala esté desactivada. La granularidad inferior a una hora la proporciona ReportedIP_Hive_Database::block_ip_for_minutes().

Autenticación de dos factores (2FA)

Se admiten cuatro métodos, que se pueden combinar por usuario. Los códigos de recuperación se generan durante la primera configuración. Las claves se cifran en reposo (utilizando libsodium, con OpenSSL como alternativa).

• TOTP — RFC 6238 (6 dígitos, ventana de 30 segundos). Compatible con Google Authenticator, Authy, 1Password, Bitwarden, …
• Correo electrónico: código de un solo uso (OTP) de seis dígitos a través del proveedor de correo configurado; con límite de frecuencia (3 códigos cada 15 minutos, 5 intentos de verificación por código y un tiempo de espera de 60 segundos antes de volver a enviarlo).
• SMS: código de un solo uso (OTP) de seis dígitos a través del servicio de reenvío reportedIP gestionado reportedIP (plan Professional y superiores; véase más abajo). El número de teléfono se cifra cuando está inactivo.
• WebAuthn: claves de acceso, llaves de seguridad (YubiKey), autenticadores de plataforma (Touch ID, Face ID, Windows Hello). Analizador CBOR propio, sin dependencias externas.
• Dispositivos de confianza — Tokens de «recordar este dispositivo» opcionales con caducidad configurable (por defecto, 30 días). Almacenados en wp_reportedip_hive_trusted_devices como hash SHA-256.
• Códigos de recuperación — 10 de un solo uso xxxx-xxxx códigos; aviso de «low-code» cuando quedan ≤ 3.

Protección contra ataques de fuerza bruta en la autenticación de dos factores

La escala de verificación de la autenticación de dos factores es 3 → 30 s, 5 → 5 min, 10 → 30 min, 15 → 1 h. Cuando el contador llega al último peldaño, el IP pasa a la posición central auto_block_ip() ruta (evento 2fa_brute_force) que activa la escalada progresiva y la notificación en modo «Comunidad», al igual que cualquier otro sensor.

REST de autenticación de dos factores sin interfaz

Para las integraciones de aplicaciones, el complemento ofrece tres rutas bajo el espacio de nombres reportedip-hive/v1:

• POST /2fa/challenge — nombre de usuario + contraseña → token de autenticación + métodos habilitados (20 solicitudes / 5 minutos por IP).
• POST /2fa/verify — token + método + código → establece la cookie de autenticación (30 solicitudes / 5 minutos por IP).
• GET /2fa/methods — Analiza los métodos activos del usuario actual.

Inicio de sesión en la interfaz de usuario de WooCommerce

La autenticación de dos factores (2FA) de Hive se integra en el tema activo de tu tienda: los clientes que inician sesión a través de [woocommerce_my_account], el proceso de pago clásico o los bloques «Carrito» y «Pago» de WooCommerce completan su segundo paso en una página con tema. El estado del carrito y del proceso de pago se mantiene tras la redirección de ida y vuelta, y la cookie de dispositivo de confianza se comparte con el flujo de inicio de sesión de WordPress.

• Ruta de configuración — 2FA → Inicio de sesión en la interfaz de usuario de WooCommerce.
• Slugs configurables — nombre del desafío (por defecto reportedip-hive-2fa) y el slug de configuración (por defecto reportedip-hive-2fa-setup); tanto las reglas editables como las de comprobación de conflictos y las de reescritura se actualizan automáticamente cuando se modifican.
• Rebaja de nivel: desactivación parcial en los planes «Free» y «Contributor»; se conservan la configuración, las opciones de slug y el estado de incorporación; no se pierden datos al volver a subir de nivel.
• Detección de conflictos: Hive muestra un aviso de administración cuando Solid Security, el plugin WP Two-Factor o Wordfence 2FA controlan el formulario de inicio de sesión, y desactiva la solicitud de verificación en la interfaz pública para evitar que se muestren dos avisos.
• Disponibilidad del plan — Plan Professional y superiores. Los sensores gratuitos de errores de inicio de sesión de WooCommerce (woocommerce_login_failed, woocommerce_checkout_login_form_failed_login) siguen estando presentes en todos los planes y siguen alimentando el contador de fuerza bruta.

Entrega de correo y SMS

La capa de correo funciona a través de un contrato de proveedor conectable (ReportedIP_Hive_Mailer). El proveedor predeterminado es WordPress wp_mail(); los integradores pueden sustituir el propio sin modificar el resto del complemento. La autenticación de dos factores por SMS es una función profesional que se ofrece exclusivamente a través del servidor de retransmisión gestionado reportedip.de; no se requiere una cuenta de SMS propia ni un contrato con un operador. Se configura automáticamente con un plan de pago; actívela en Ajustes → Autenticación de dos factores → SMS.

Descripción general de la configuración

Todas las opciones se encuentran en ReportedIP → Configuración. Estos son los valores predeterminados más importantes:

Tablas de la base de datos

Creado al activarse, con prefijo wp_reportedip_hive_. Versión 3 del esquema, con migración idempotente en cada actualización del complemento.

• logs — Incidentes de seguridad, detalles en formato JSON, nivel de gravedad, indicador de notificación.
• whitelist — direcciones IP y rangos CIDR de confianza; la fecha de caducidad es opcional.
• blocked — bloqueos activos (manuales / automáticos / por reputación), con blocked_until.
• attempts — Contadores por IP por tipo de intento, con marcas de tiempo de la primera y la última vez.
• api_queue — Informes pendientes y fallidos en la API de la comunidad; lógica de reintento.
• stats — datos acumulados diarios para los gráficos del panel de control (tendencias de 7 y 30 días).
• trusted_devices — Tokens de dispositivos de autenticación de dos factores (hash SHA-256), dirección IP y nombre del dispositivo, fecha de caducidad.

Códigos cortos de la interfaz y pie de página automático

Inserta una pequeña insignia con el texto «protegido por Hive» en cualquier lugar del sitio web. Todos los códigos cortos muestran un único <rip-hive-banner> componente web y extrae datos en tiempo real de una caché temporal de 6 horas (sin llamadas a la API por cada visita a la página).

• [reportedip_badge] — insignia pequeña (predeterminada) proteger (tono).
• [reportedip_stat] — una sola estadística (por defecto confianza (tono).
• [reportedip_banner] — banner ancho (predeterminado) comunidad (tono).
• [reportedip_shield] — icono de escudo (predeterminado) colaborador (tono).

Características comunes: stat (p. ej., attacks_30d, reports_total), tone (protect / trust / community / contributor), color, background, label, intro. El pie de página automático del asistente utiliza el mismo componente, pero con una variante y una alineación configurables.

Referencia de WP-CLI

Las herramientas de autenticación de dos factores (2FA) son totalmente programables. Disponibles en wp reportedip 2fa …:

wp reportedip 2fa status [--user=<id>]
wp reportedip 2fa enable <user_id> --method=<totp|email|sms|webauthn> [--secret=<base32>]
wp reportedip 2fa disable <user_id> [--method=<m>]
wp reportedip 2fa reset <user_id>
wp reportedip 2fa enforce --role=<role> [--remove]
wp reportedip 2fa audit [--user=<id>] [--since=<date>]
wp reportedip 2fa cleanup

Compatibilidad con el complemento de caché

Desde la versión 1.5.2, la respuesta de página bloqueada define DONOTCACHEPAGE, DONOTCACHEDB y DONOTCACHEOBJECT (compatible con WP Rocket, W3 Total Cache, WP Super Cache y LiteSpeed Cache) y emite explícitamente Cache-Control: no-store, no-cache, must-revalidate, max-age=0, Pragma: no-cache además del núcleo de WordPress nocache_headers() configurado. Un único atacante bloqueado ya no puede contaminar la caché de páginas con un error 403 que, de otro modo, recibirían los visitantes legítimos hasta que caduque la caché.

Filtros y ganchos de acción

• apply_filters('reportedip_hive_external_url', $url, $context) — Sustituye cualquiera de las URL externas (política de privacidad, registro, preguntas frecuentes, etc.).
• apply_filters('reportedip_hive_rest_bypass_routes', $routes) — Ampliar la lista de prefijos de rutas REST que eluden el controlador de tráfico (integraciones de banners de cookies).
• apply_filters('reportedip_hive_scan_paths', $paths) — Ampliar la lista de rutas de honeypot para el detector de escaneo.
• do_action('reportedip_hive_ip_blocked', $ip, $reason) — se activa cuando se bloquea una dirección IP.
• do_action('reportedip_hive_report_queued', $ip, $category) — Se activa cuando se pone en cola un informe para la API.

Preguntas frecuentes

Las preguntas que nos hacen con más frecuencia. Cada respuesta incluye un enlace a la sección correspondiente más arriba, cuando procede.

General

Instalación y configuración

Modos y sensores

Autenticación de dos factores

Rendimiento y compatibilidad

Privacidad y el RGPD

Personalización y ampliación

add_filter('reportedip_hive_rest_bypass_routes', function ($routes) {
    $routes[] = '/my-consent-plugin/v1';
    return $routes;
});

add_filter('reportedip_hive_scan_paths', function ($paths) {
    $paths[] = '/.aws/credentials';
    return $paths;
});

Cuotas, planes y cuenta

Solución de problemas

El complemento no bloquea ninguna dirección IP

Comprueba si el «Modo solo de informe» está activado: registra las amenazas sin bloquearlas. Comprueba también que el umbral de bloqueo no esté fijado en un valor demasiado alto (por defecto, 75 %) y que el «Bloqueo automático» esté activado (la estrategia de duración se desactiva cuando el bloqueo automático está desactivado).

Errores de conexión a la API en el modo Red comunitaria

Asegúrate de que tu servidor pueda realizar solicitudes HTTPS salientes a reportedip.de. Algunos servidores bloquean las conexiones salientes de forma predeterminada. Comprueba la clave API en el Panel de control.

Se bloquea a los visitantes que ignoran el aviso sobre cookies

Desde la versión 1.5.0, los cuatro espacios de nombres de Consent (real-cookie-banner, complianz, borlabs-cookie, cookie-law-info) se omiten de forma predeterminada. Si tu pila utiliza un espacio de nombres diferente, amplía la lista de omisiones mediante el reportedip_hive_rest_bypass_routes filtro.

Se bloquea a los usuarios legítimos

Añade sus direcciones IP o rangos CIDR a la lista blanca local. Las direcciones IP incluidas en la lista blanca nunca se bloquean, independientemente de su reputación.

Alto uso de la API / agotamiento de las comprobaciones

Las respuestas se almacenan en caché localmente (con ETag) durante 24 horas de forma predeterminada. Si sigues quedándote sin comprobaciones, aumenta cache_duration o cambia a un plan superior. Controla la cola y el límite de Panel de control.

Bloqueado por la autenticación de dos factores

Utiliza uno de los códigos de recuperación guardados durante la configuración de la autenticación de dos factores. Si los has perdido, un administrador puede restablecer la autenticación de dos factores para cualquier usuario en Usuarios → Autenticación de dos factores. Como último recurso: wp reportedip 2fa reset <user_id>.

El editor de bloques (Gutenberg) sigue sufriendo ralentizaciones

El editor de bloques realiza más de 50 llamadas REST en pocos segundos. A partir de la versión 1.2.2, los usuarios que han iniciado sesión no se ven afectados por el controlador global de picos de tráfico REST; solo se contabilizan los picos de tráfico de los usuarios anónimos. Asegúrate de que utilizas la versión 1.2.2 o una posterior.

RGPD y privacidad

El complemento se ha diseñado teniendo en cuenta la privacidad y cumple plenamente con el RGPD.

• Modo «Local Shield»: No se envían datos fuera de tu servidor. Toda la detección y el bloqueo se realizan de forma local.
• Modo de red comunitaria: solo se comparten la IP del atacante, la categoría de la amenaza y la marca de tiempo. No se comparten nombres de usuario, contraseñas, contenido de comentarios ni datos de los usuarios finales.
• Los agentes de usuario se acortan a 50 caracteres antes de almacenarse.
• Limpieza automática: los registros de seguridad se eliminan tras el periodo de conservación configurado (por defecto, 30 días). La anonimización automática se activa antes (por defecto, 7 días).
• Cifrado en reposo: los claves TOTP, las credenciales WebAuthn y los números de teléfono para SMS se cifran con libsodium (con OpenSSL como alternativa).
• Sin seguimiento: sin cookies, sin píxeles de seguimiento, sin telemetría.
• Código abierto: El código fuente completo está publicado en GitHub; cada línea es verificable.

Aspectos destacados del registro de cambios

• 2.0.x — Activación multisitio en toda la red (Network: true), gestión de niveles por blog, banners de actualización de nivel, monitores reforzados de contraseñas de aplicaciones y anomalías geográficas; la autenticación de dos factores (2FA) en la interfaz de usuario de WooCommerce está disponible a partir de la versión PRO+.
• 1.5.2 — Compatibilidad del complemento de caché en la página 403; la limitación de la autenticación de dos factores (2FA) pasa a ser un bloqueo por escalada real; init prioridad 1.
• 1.5.1 — Claridad de la pestaña «Bloqueo» (Solo informes > Bloqueo automático > Estrategia de duración); los editores de longitud fija y escalonados se intercambian en línea.
• 1.5.0 — Escalada progresiva de bloqueos (escalera de 5 m → 7 días); omisión predeterminada de los puntos finales de los banners de cookies; flexibilización de los valores predeterminados para los errores 404 y el spam en los comentarios.
• 1.2.4 — El botón «Reintentar» de la cola de la API ahora ejecuta realmente la llamada a la API.
• 1.2.0 — Siete nuevos sensores: monitor de contraseñas de aplicaciones, monitor de ráfagas REST, bloqueo de enumeración de usuarios, detector de errores 404/escaneos, anomalías geográficas, solidez de contraseñas y ocultación de la URL de inicio de sesión.
• 1.1.0 — Sistema central de envío de correos con plantilla de marca.
• 1.0.0 — Versión pública inicial: bloqueo de direcciones IP, autenticación de dos factores con cuatro métodos, asistente de configuración, tablas de listas.

Historial completo: CHANGELOG.md en GitHub.

¿Buscas la edición más pequeña?