Descripción
Seguridad Premium. Coste cero.
Vigilante ofrece características de seguridad para WordPress de calidad empresarial de forma totalmente gratuita. Sin versión premium, sin ventas cruzadas, sin características ocultas tras muros de pago.
Protege tu web con un paquete de seguridad completo: cortafuegos, identificación en dos pasos, protección contra ataques de fuerza bruta, cabeceras de seguridad, scanner de auditoría de archivos, detección de malware, gestión de usuarios, registro de auditoría de seguridad, modo bajo ataque y mucho más.
Protección instantánea
Una vez activado, Vigilante aplica inmediatamente medidas de seguridad esenciales:
- Reglas de cortafuegos contra ataques comunes (inyecciones SQL, XSS, inclusión de archivos)
- Cabeceras de seguridad para protección desde el navegador
- Supervisión de intentos de inicio de sesión
- Bloqueo de XML-RPC
- Ocultación de la versión de WordPress
- Protección de archivos sensibles (.htaccess, wp-config.php)
- Copia de seguridad automática de tus archivos de configuración existentes
Preajustes de seguridad con un clic
Elige un preajuste y protégete al instante:
Estándar – Seguridad equilibrada adecuada para la mayoría de los sitios web. Activa todos los módulos con valores por defecto razonables que no interfieren con el funcionamiento normal del sitio.
Máxima seguridad – Ajustes más estrictos para sitios de alta seguridad. Límites de tráfico más estrictos, reglas CSP más rigurosas, avisos de administración obligatorios. Algunas configuraciones pueden requerir cierta adaptación.
Siempre puedes personalizar los ajustes individuales después de aplicar un preajuste.
Modo «Bajo ataque»
¿Tu sitio web está siendo objeto de un ataque activo? Activa el modo «Bajo ataque» con un solo clic y detén el tráfico malintencionado al instante:
- Desafío JavaScript: todos los visitantes deben pasar una verificación automática del navegador antes de acceder a tu sitio. Los navegadores auténticos lo resuelven en segundos, mientras que los bots quedan bloqueados por completo.
- Límite de tráfico agresivo: se limitan las solicitudes a 30 por minuto, con bloqueos de 15 minutos para los infractores.
- Restricción de métodos HTTP: solo se permiten GET, POST y HEAD. Se bloquean PUT, DELETE, PATCH, OPTIONS y TRACE.
- Bloqueo de agentes de usuario vacíos: se rechazan las solicitudes sin cabeceras de agente de usuario.
- Bloqueo total de XML-RPC: se bloquea todo el acceso a XML-RPC durante el ataque.
- Restricción de la API REST: solo los usuarios identificados pueden acceder a la API REST.
- Desactivación automática: el modo se apaga automáticamente después de 4 horas para que nunca se te olvide que está encendido.
- Avisos por correo electrónico: recibe un aviso cuando se active y desactive el modo.
- Cookies firmadas con HMAC: los visitantes verificados reciben una cookie firmada criptográficamente para que solo vean el desafío una vez.
El modo «Bajo ataque» funciona de manera independiente de la configuración de tus preajustes. Tus ajustes de seguridad habituales se conservan, y se restauran cuando se desactive este modo.
Características de seguridad principales
Identificación en dos pasos (2FA)
Añade un segundo paso de verificación a tu inicio de sesión de WordPress. Elige el método que funcione mejor para tu equipo:
- Aplicación de verificación (TOTP) – Google Authenticator, Authy, Microsoft Authenticator o cualquier aplicación compatible con TOTP
- Códigos por correo electrónico – Códigos de verificación únicos de 6 dígitos enviados por correo electrónico
- Configuración del código QR directamente en los perfiles de usuario
- 10 códigos de recuperación para acceso de emergencia si pierdes tu dispositivo
- Periodo de gracia configurable para que los usuarios configuren su aplicación de verificación
- Funcionalidad de dispositivos de confianza – permite a los usuarios, si lo desean, omitir la identificación en dos pasos en dispositivos reconocidos durante 30 días
- Forzado basado en perfiles – requiere 2FA a administradores, editores o cualquier perfil
- Excluir a usuarios específicos de los requisitos de 2FA
- Herramienta de administración para restablecer el TOTP de los usuarios que hayan perdido su verificación
- Caducidad del código, límite de intentos y nombre del remitente del correo electrónico configurables
- Correos electrónicos de aviso a los usuarios cuando se activa el 2FA o se cambia de método
Protección con cortafuegos
Bloquea peticiones malintencionadas antes de que lleguen a WordPress:
- Bloqueo de inyecciones SQL
- Evitar ataques XSS (Cross-Site Scripting)
- Protección frente a inclusión de archivos (LFI/RFI)
- Bloqueo de exploración de directorios
- Detección y bloqueo de bots sospechosos
- Limitación de tráfico frente a ataques DDOS y de fuerza bruta
- Gestión de lista blanca y lista negra de IPs
- Lista blanca y lista negra de User-Agent con coincidencia parcial.
- Restricción de métodos HTTP
Seguridad del inicio de sesión
Frena los intentos de acceso no autorizados:
- Límite de intentos de inicio de sesión con umbrales configurables
- Bloqueos progresivos – bloqueos más largos para los infractores reincidentes
- URL de inicio de sesión personalizada – oculta wp-login.php de los bots
- Avisos de cambio de URL de inicio de sesión a todos los usuarios del área de admnistración
- Ocultar mensajes de error en el inicio de sesión – no reveles nombres de usuario válidos
- Desactivar XML-RPC – bloquea este vector común de ataques
- Control de contraseñas de aplicación
- Avisos por correo electrónico de inicios de sesión de admins
- Lista blanca de IPs para ubicaciones de confianza
Seguridad de usuarios
Protección integral de las cuentas de usuarios:
- Bloquear nombres de usuario inseguros (admin, test, root, etc.)
- Forzar contraseñas seguras con longitud mínima
- Caducidad de contraseñas con intervalos configurables
- Historial de contraseñas – evita la reutilización de contraseñas anteriores
- Forzar restablecimiento de contraseñas – Por usuarios específicos, por perfilo o a todos los usuarios (recuperación después de un hackeo)
- Límites de sesión – controla los inicios de sesión simultáneos por usuario
- Gestión de sesiones – ve y cierra sesiones activas
- Verificación por correo electrónico de los nuevos registros
- Procedimiento de aprobación de registros – aprueba manualmente los nuevos usuarios
- Exploración de cuentas de admin – alertas ante nuevos admins, cambios de correo electrónico, cambios de contraseña, escalado de privilegios
- Protección del nombre a mostrar – Impide revelar públicamente el nombre de usuario con el que se accede
Cabeceras de seguridad:
Consigue una calificación A de seguridad:
- Content Security Policy (CSP) con maquetadores visuales
- HSTS (HTTP Strict Transport Security) con opción de precarga
- X-Frame-Options – evita el clickjacking
- X-Content-Type-Options – evita la detección de MIMEs
- Referrer Policy control
- Permissions Policy (camera, microphone, geolocation)
- Políticas Cross-Origin (COEP, COOP, CORP)
- Forzado de HTTPS con corrección automática de contenido mixto
- Herramienta integrada de prueba de cabeceras
Auditoría de integridad de archivos
Detecta cambios no autorizados en tus archivos:
- Verificación del núcleo de WordPress con las sumas de comprobación oficiales
- Monitorización de archivos de plugins y temas con sumas de comprobación de WordPress.org
- Exploración en busca de código sospechoso sin sumas de comprobación en plugins y temas
- Detección de archivos adicionales en plugins y temas (archivos que no se encuentran en la distribución original)
- Detección en dos niveles: combinaciones estrictas de ofuscación para plugins, patrones amplios para archivos subidos
- Exploración del directorio de subidas en busca de archivos PHP, extensiones dobles y .htaccess
- Exploración del directorio raíz en busca de archivos PHP que no son de la instalación (una forma común de ataque)
- Clasificación inteligente de archivos .htaccess en la carpeta «uploads» – Distingue las reglas peligrosas de las de protección
- Detección de ofuscación por concatenación de cadenas
- Niveles de aviso configurables (todos los resultados, solo los sospechosos o desactivados)
- Lista de ignorados para descartar de los resultados los archivos conocidos
- Rutas y extensiones de archivo excluidas
- Exploraciones automáticas programadas (a diario, semanalmente)
- Alertas por correo electrónico con formato HTML y secciones según la gravedad
Auditoría de seguridad
Haz seguimiento de todo lo que pasa en tu sitio:
- Intentos de inicio de sesión correctos y fallidos
- Eventos de la identificación en dos pasos
- Cambios en cuentas de usuarios (creación, borrado, cambios de perfil)
- Modificaciones de contenido (entradas, páginas)
- Activaciones/desactivaciones de plugins y temas
- Eventos de seguridad y amenazas bloqueadas
- Seguimiento y filtrado de métodos de solicitud HTTP (GET, POST, PUT, DELETE).
- Ventana emergente con detalles de registro mejorados, con secciones agrupadas y acciones rápidas.
- Añade con un solo clic una IP o un User-Agent a la lista blanca/lista negra del cortafuegos desde las entradas del registro.
- Enlaces de búsqueda directa de IP a AbuseIPDB.
- Periodo de retención configurable
- Exporta registros a CSV
- Filtra por tipo de evento, gravedad, método de solicitud o fecha.
Refuerzo de WordPress
Medidas de seguridad adicionales:
- Constantes de seguridad en wp-config.php (DISALLOW_FILE_EDIT, etc.)
- Detección de WP_DEBUG – Advertencia en el escritorio cuando esté activo en producción el modo de depuración
- Eliminación automática de readme.html, license.txt y licencia.txt (limpieza diaria)
- Comprobación de seguridad del prefijo de la base de datos y herramienta de cambio con un solo clic.
- Protección contra spam en comentarios con campos señuelo
- Desactiva pingbacks y trackbacks
- Cierra comentarios en entradas antiguas
- Limpieza de la cabecera de WordPress (eliminar versión, RSD, enlaces WLW)
- Gestión y seguridad de feeds
Seguridad de API REST
Controla el acceso a la API en tu sitio:
- Tres modos de acceso: público, sólo identificado o selectivo
- Bloquea la enumeración de usuarios usando la API REST
- Protege variables sensibles
- Mantiene la compatibilidad con los plugins más populares (WooCommerce, Contact Form 7, Elementor)
Herramientas de seguridad
Utilidades incluidas:
- Copia de seguridad de la base de datos: descarga una copia de seguridad completa o parcial de la base de datos en formato ZIP con selección de tablas.
- Cambio del prefijo de la base de datos: cambie el prefijo por defecto wp_ por un prefijo aleatorio seguro.
- Ajustes de exportación/importación – Transfiere tu configuración entre sitios
- Copia de seguridad manual – Crea copias de seguridad de .htaccess y wp-config.php cuando lo necesites
- Restablecer valores por defecto – Empieza desde cero con un solo clic
Seguro por principios
Sistema de copias de seguridad automáticas
Tus archivos .htaccess, wp-config.php y robots.txt existentes se copian automáticamente antes de realizar cualquier modificación. Las copias de seguridad incluyen verificación de integridad (sumas de comprobación MD5) y se almacenan de forma segura en wp-content/vigilante-backups/, donde permanecen incluso tras las actualizaciones del plugin.
Restablecimiento limpio
Cuando desactivas Vigilante se eliminan automáticamente todas las reglas de seguridad y se restauran tus archivos de configuración originales. Sin código residual, sin sitios web rotos.
¿Por qué debería elegir Vigilante?
La mayoría de los plugins de seguridad para WordPress reservan sus mejores funcionalidades para los planes de pago. Vigilante te ofrece todo desde el principio — sin planes premium, sin restricciones de características, sin ventas dirigidas. Cortafuegos, identificación en dos pasos con aplicación de verificación, cabeceras de seguridad, integridad de archivos, registro de auditoría y mucho más. Todo gratis, actualizándose constantemente y siguiendo los estándares de programación de WordPress.
Si tu plugin de seguridad actual te pide que pagues por funcionalidades que deberían ser básicas, echa un vistazo a lo que ofrece Vigilante de serie.
¿Con qué es comparable Vigilante?
Disponemos de una comparación detallada de las funcionalidades de Vigilante respecto a otros populares plugins de seguridad (Wordfence, Solid Security, AIOS, Sucuri, SG Security). Descubre qué ofrece cada plugin en su versión gratuita y en qué aspectos Vigilante cubre carencias.
Soporte
¿Necesitas ayuda o tienes sugerencias?
¿Te gusta el plugin? ¡Déjanos un comentario de 5 estrellas y así ayudas a que lo conozcan otros!
Acerca de Ayuda WordPress
Somos especialistas en plugins de optimización de seguridad, SEO y rendimiento para WordPress. Creamos herramientas que solucionan problemas reales a los propietarios de sitios WordPress manteniendo los más altos estándares de programación y requisitos de accesibilidad.
Capturas
Escritorio de seguridad – Puntuación de seguridad, controles de módulos y selección de preajustes 
Identificación en dos pasos – Segundo paso de verificación durante el inicio de sesión 
Seguridad del inicio de sesión. – Protección contra ataques de fuerza bruta, 2FA, bloqueos y URL de inicio de sesión personalizada 
Seguridad de usuarios – Completas herramientas y ajustes de protección de usuarios 
Caducidad de contraseñas – Fuerza cambios periódicos de contraseñas con historial 
Aprobación de registros y límites de sesión – Controla los nuevos usuarios y los inicios de sesión simultáneos 
Auditoría de archivos – Ajustes de exploración y verificación de resultados 
Auditoría de seguridad – Visor de eventos con filtrado y opción de exportación
Instalación
- Sube los archivos del plugin al directorio
/wp-content/plugins/vigilante/, o instálalo directamente la pantalla de plugins de WordPress. - Activa el plugin a través del menú ‘Plugins’ en WordPress
- Ve a ‘Vigilante’ en el menú de administración
- Aplica un preajuste de seguridad o personaliza los ajustes de cada módulo
Requisitos:
- WordPress 6.2 o superior
- PHP 7.4 o superior
- Servidor Apache o LiteSpeed (para características de .htaccess)
- Certificado SSL recomendado para HSTS
FAQ
-
¿Este plugin ralentizará mi sitio?
-
No. Vigilante está optimizado para ofrecer un rendimiento óptimo. El cortafuegos utiliza una eficiente comparación de patrones, las consultas a la base de datos se almacenan en caché con transitorios y las reglas .htaccess se ejecutan a nivel del servidor antes incluso de que se cargue PHP.
-
¿Qué pasa cuando activo el plugin?
-
Vigilante crea inmediatamente una copia de seguridad de tus archivos .htaccess y wp-config.php existentes y, a continuación, aplica los ajustes de seguridad por defecto. Todos los módulos están activados con ajustes por defecto equilibrados adecuados para la mayoría de los sitios web.
-
¿Qué pasa cuando desactivo el plugin?
-
Todas las modificaciones de seguridad se revierten automáticamente. Se eliminan las reglas .htaccess, se restauran los valores originales de las constantes wp-config.php y se borran las tareas programadas. Tu sitio web vuelve al estado anterior a Vigilante.
-
¿Cómo funciona la identificación en dos pasos?
-
Vigilante ofrece dos métodos de identificación en dos pasos (2FA). Con aplicación de verificación (TOTP), debes escanear un código QR en tu perfil para vincular una aplicación como Google Authenticator o Authy, y luego introducir un código de 6 dígitos de la aplicación cada vez que inicies sesión. Con los códigos por correo electrónico recibirás un código de un solo uso por correo electrónico tras introducir tu contraseña. Si lo activa el administrador del sitio, puedes marcar tu dispositivo como de confianza para saltarte la identificación en dos pasos durante 30 días.
-
¿Qué pasa si pierdo mi teléfono o el acceso a la aplicación de verificación?
-
Al configurar el TOTP de Vigilante, el plugin genera 10 códigos de recuperación. Puedes utilizar cualquiera de ellos como sustituto puntual del código de identificación. Si te quedas sin códigos de recuperación, un administrador puede restablecer tu TOTP desde los ajustes del plugin.
-
¿Qué pasa si no recibo el código 2FA por correo electrónico?
-
Comprueba primero tu carpeta de correo no deseado. Puedes hacer clic en «Reenviar código» en el formulario de verificación. Los códigos caducan tras 10 minutos por defecto. Si el problema persiste, un administrador puede desactivar temporalmente la identificación en dos pasos desde los ajustes del plugin.
-
¿Puedo cambiar entre correo electrónico y aplicación de verificación?
-
Sí. Ve a «Seguridad en el acceso > Identificación en dos pasos» y cambia el método de verificación. Si están activos los avisos, los usuarios afectados recibirán un correo electrónico en el que se explica el nuevo método y cómo configurarlo.
-
¿Qué perfiles de usuario requieren 2FA?
-
Por defecto, la identificación en dos pasos (2FA) se aplica a los administradores y editores. Puedes personalizar qué perfiles requieren 2FA en los ajustes de seguridad del inicio de sesión y excluir a usuarios específicos individualmente.
-
¿Cómo puedo recuperarme si me han bloqueado el acceso?
-
Acceda a tu sitio web a través de FTP/SFTP y cambia el nombre de la carpeta del plugin para desactivarlo temporalmente, o elimina las filas de la tabla
vigilante_login_attemptscorrespondientes a tu dirección IP en la base de datos. -
¿El cortafuegos bloqueará a los usuarios legítimos?
-
El cortafuegos está configurado para permitir el funcionamiento normal de WordPress, incluyendo el editor de bloques, la API REST y los maquetadores más populares. Si experimentas problemas puedes añadir direcciones IP específicas a la lista blanca o ajustar los umbrales de limitación de tráfico.
-
¿Puedo usarlo con otros plugins de seguridad?
-
Aunque Vigilante funciona de forma independiente, ejecutar varios plugins de seguridad puede provocar conflictos. Recomendamos probar primero en un entorno de pruebas si necesitas combinar soluciones de seguridad.
-
¿Funciona con plugins de caché?
-
Sí. Vigilante es compatible con los plugins de caché más populares. El cortafuegos se ejecuta antes que las capas de caché, y las reglas .htaccess no interfieren con los mecanismos de caché.
-
¿Funciona con WooCommerce?
-
Sí. Vigilante incluye ajustes de compatibilidad para WooCommerce. El módulo de seguridad REST API permite automáticamente las variables de WooCommerce, y el cortafuegos no bloqueará las conexiones de la pasarela de pago.
-
¿Cómo puedo comprobar mis cabeceras de seguridad?
-
Usa la herramienta de prueba de cabeceras integrada en la pestaña «Cabeceras de seguridad» o visita securityheaders.com con la URL de tu sitio para obtener una calificación de seguridad.
-
¿Qué es la caducidad de contraseñas?
-
Puedes requerir a los usuarios que cambien sus contraseñas después de un número determinado de días (30, 60, 90, etc.). Los usuarios reciben avisos antes de la caducidad y se ven obligados a cambiar su contraseña en el siguiente inicio de sesión cuando caduca. El historial de contraseñas evita la reutilización de contraseñas recientes.
-
¿Qué es la aprobación de registros?
-
Cuando está activada, los nuevos registros de usuarios requieren la aprobación manual de un administrador antes de que la cuenta se active. Los usuarios pendientes no pueden iniciar sesión hasta que sean aprobados. Puedes configurar el rechazo automático después de un número determinado de días.
-
¿Qué hace la verificación por correo electrónico?
-
Los nuevos usuarios deben verificar su dirección de correo electrónico haciendo clic en un enlace antes de que su cuenta se active. Esto evita registros falsos y garantiza que la información de contacto sea válida.
-
¿Cómo funcionan los límites de sesión?
-
Puedes limitar el número de sesiones simultáneas que puede tener cada usuario. Cuando se alcanza el límite se bloquea el nuevo inicio de sesión o se cierra la sesión más antigua, dependiendo de tu configuración.
-
¿Puedo exportar el registro de auditoría de seguridad?
-
Sí. El registro de la auditoría de seguridad se puede exportar a formato CSV para su análisis externo o para la elaboración de informes de cumplimiento. También puedes filtrar los registros por tipo de evento, usuario o intervalo de fechas antes de exportarlos.
-
¿Qué archivos revisa el escáner de integridad?
-
El escáner compara los archivos del núcleo de WordPress, archivos de plugins y temas frente a las sumas de comprobación oficiales de WordPress.org. Los plugins y temas sin sumas de comprobación disponibles también se exploran utilizando una estricta detección de patrones de ofuscación. El directorio de subidas se explora en busca de archivos PHP, extensiones dobles y archivos .htaccess. Si se detectan archivos PHP adicionales que no están presentes en las distribuciones originales y que contengan código sospechoso se marcan automáticamente como sospechosos.
-
¿Con qué frecuencia se ejecuta la auditoría de archivos?
-
Puedes configurar exploraciones automáticas para que se ejecuten a diario o semanalmente. También puedes realizar exploraciones manuales en cualquier momento. Los avisos por correo electrónico admiten tres niveles: todos los resultados, solo archivos sospechosos o desactivados.
-
¿Cuál es la diferencia entre los preajustes estándar y máximo?
-
El nivel estándar aplica ajustes equilibrados adecuados para la mayoría de los sitios. El nivel máximo aplica reglas más estrictas: límites de tráfico más bajos, políticas de CSP más estrictas, avisos de administración obligatorios, límites de sesión y un refuerzo más agresivo. El nivel máximo puede requerir adaptaciones para sitios con funcionalidades complejas.
-
¿Dónde se almacenan las copias de seguridad?
-
Las copias de seguridad se almacenan en wp-content/vigilante-backups/. Esta ubicación se mantiene tras las actualizaciones del plugin. El directorio está protegido con reglas .htaccess para impedir el acceso directo.
-
¿Qué es el modo Bajo ataque?
-
El modo «Bajo ataque» es una característica de emergencia que puedes activar cuando tu sitio web está sufriendo un ataque activo. Añade un desafío JavaScript que los navegadores auténticos resuelven automáticamente en unos segundos, mientras que los bots y los scripts automatizados quedan bloqueados por completo. También aplica una limitación de velocidad agresiva, bloquea los métodos HTTP restringidos y restringe el acceso a la API.
-
¿El modo «Bajo ataque» afectará a los usuarios que hayan iniciado sesión?
-
No. Los usuarios que han iniciado sesión, las páginas de administración, las tareas cron, las solicitudes AJAX y la página de inicio de sesión están excluidos del desafío JavaScript. Solo los visitantes no identificados que visiten la web ven la página de verificación.
-
¿Qué pasa si se me olvida desactivar el modo «Bajo ataque»?
-
Se desactiva automáticamente después de 4 horas. También recibirás un aviso por correo electrónico cuando se active y se desactive.
-
¿El modo «Bajo ataque» cambia mis ajustes de seguridad habituales?
-
No. Funciona independientemente de tus preajustes (estándar o máximo). Tus ajustes habituales no se ven afectados y siguen funcionando con normalidad una vez que se desactiva el modo «Bajo ataque».
-
¿Cómo funciona la copia de seguridad de la base de datos?
-
Ve a «Vigilante > Herramientas > Copia de seguridad de la base de datos». Selecciona las tablas que deseas incluir (o déjalas todas seleccionadas) y haz clic en «Descargar». La copia de seguridad se genera como un archivo ZIP que contiene un volcado SQL. No se almacena ningún archivo en el servidor.
-
¿Qué ocurre al cambiar el prefijo de la base de datos?
-
WordPress utiliza wp_ como prefijo por defecto para las tablas. Cambiarlo por un prefijo aleatorio añade una capa de protección contra los ataques de inyección SQL que tienen como objetivo los nombres de tabla por defecto. Ve a «Vigilante > Refuerzo de WP > Refuerzo de la base de datos». Crea siempre una copia de seguridad antes de cambiar el prefijo.
-
¿Cómo excluyo del cortafuegos servicios de gestión como ModularDS o ManageWP?
-
Ve a «Vigilante > Cortafuegos > Listas de User-Agent» y añade el nombre del servicio (por ejemplo, ModularDS, ManageWP UptimeRobot) a la lista blanca de User-Agent. Utiliza la coincidencia parcial, por lo que al introducir « ModularConnector» se aplicará a cualquier cadena de User-Agent que contenga esa palabra clave.
Reseñas
Colaboradores y desarrolladores
«Vigilante – Suite de seguridad 100% gratis: Cortafuegos, 2FA, login, cabeceras, escáner …» es un software de código abierto. Las siguientes personas han colaborado con este plugin.
Colaboradores
«Vigilante – Suite de seguridad 100% gratis: Cortafuegos, 2FA, login, cabeceras, escáner …» está traducido en 1 idioma. Gracias a los traductores por sus contribuciones.
¿Interesado en el desarrollo?
Revisa el código , echa un vistazo al repositorio SVN o suscríbete al registro de desarrollo por RSS.
Registro de cambios
1.9.0
- Eliminado: La sección de ajustes de rendimiento de refuerzo de WP (revisiones de entradas, intervalo de guardado automático, días de retención en la papelera, límite de memoria, actualizaciones automáticas). Estos ajustes quedan fuera del ámbito de un plugin de seguridad y podrían provocar conflictos con las configuraciones del hosting.
- Eliminado: CONCATENATE_SCRIPTS, WP_POST_REVISIONS, AUTOSAVE_INTERVAL, EMPTY_TRASH_DAYS, WP_MEMORY_LIMIT, WP_MAX_MEMORY_LIMIT y WP_AUTO_UPDATE_CORE de las constantes gestionadas de wp-config.php. Vigilante ya no comenta ni sobrescribe estas constantes.
- Corrección: Ahora, todas las constantes de wp-config.php que aparecen varias veces (por ejemplo, definiciones duplicadas de WP_DEBUG) se comentan correctamente. Anteriormente solo se trataba la primera aparición, lo que dejaba activas las duplicadas y provocaba conflictos.
- Corrección: Ahora WP_DEBUG se define explícitamente como `false` en wp-config.php cuando se desactiva el modo de depuración, en lugar de basarse en los valores por defecto de WordPress.
- Mejorado: Se ha actualizado el banner promocional con las últimas novedades en plugins y catálogo de servicios.
- Probado hasta WordPress 7.0
1.8.0
- Nuevo: Forzar restablecimiento de contraseñas por perfil – Selecciona uno o varios perfiles para restablecer las contraseñas de todos sus usuarios a la vez, ideal para incidentes de seguridad
- Nuevo: Mensaje informativo en el acceso cuando un usuario trata de iniciar sesión después de haber forzador el restablecimiento de contraseña
1.7.2
- Mejorado: Las recomendaciones del escritorio ahora incluyen un enlace directo a la pestaña de ajustes relevante
- Mejorado: Tu dirección IP actual se muestra en la sección de gestión de IPs del cortafuegos
- Mejorado: Los ajustes de wp-config.php ahora están visualmente separados en secciones de seguridad y rendimiento
- Mejorado: Las estadísticas del resumen de la exploración de integridad de archivos ahora están centradas para una mayor consistencia visual
- Mejorado: La descripción del cortafuegos incluye una nota sobre la compatibilidad con sistemas de caché de página completa (Varnish, LiteSpeed Cache, NGINX FastCGI, Cloudflare APO)
- Mejorado: Renombrado del registro de actividad a auditoría de seguridad en toda la interfaz de administración (los slugs internos no han cambiado)
- Corregido: Los totales de la exploración de integridad de archivos ahora incluyen un contador de ignorados para que los números del resumen muestren la suma correcta
1.7.1
- Corregido: El modo «Bajo ataque» ahora se desactiva automáticamente de forma correcta cuando termina el temporizador
- Corregido: El desafío de JavaScript ya no se repite indefinidamente – Los visitantes pueden acceder y son redirigidos correctamente
- Corregido: Los recursos de la página del desafío se han externalizado a archivos CSS/JS para garantizar la compatibilidad con la política de seguridad de contenidos (CSP)
- Corregido: Ahora funciona correctamente la omisión de caché al activar la función con SiteGround (NGINX + Memcached + caché basada en archivos), LiteSpeed, WP Rocket, WP Super Cache, W3 Total Cache y las principales soluciones de caché
- Corregido: El temporizador de cuenta atrás en la administración ahora se actualiza inmediatamente al cargar la página
- Mejorado: Se han añadido reglas de anulación de caché en el archivo .htaccess durante el modo «Bajo ataque» (se eliminan automáticamente al desactivarlo)
- Mejorado: Se han añadido cabeceras no-cache de NGINX y CDN (X-Accel-Expires, Surrogate-Control) para entornos de proxy inverso
1.7.0
- Nuevo: Búsqueda en el registro de actividad — busca entradas por IP, agente de usuario, nombre de usuario, mensaje o cualquier texto. Mínimo de 3 caracteres, tiempo de espera de 400 ms. Funciona en combinación con los filtros existentes de tipo, gravedad y método. La exportación respeta la búsqueda y los filtros activos.
- Nuevo: Las columnas de tipo y gravedad del registro de actividad ahora muestran etiquetas traducidas en lugar de los valores sin procesar de la base de datos.
- Corrección: La detección de nombres de usuario inseguros (admin, root, test, etc.) ahora comprueba todos los perfiles de usuario, no solo los de administrador. Esto es coherente con el bloqueo de la creación de nombres de usuario, que ya impide el uso de estos nombres independientemente del perfil.
- Corrección: La advertencia sobre nombres de usuario inseguros ahora está siempre activa, independientemente del ajuste «bloquear nombres de usuario inseguros». Anteriormente, al desactivar ese ajuste también se desactivaba la advertencia.
- Corrección: La puntuación de seguridad ahora penaliza instalaciones con cuentas que usen nombres de usuario inseguros (-3 puntos).
- Corrección: Los nombres de usuario inseguros ahora aparecen con prioridad alta en las recomendaciones de seguridad del escritorio.
- Corrección: El nombre del plugin en los títulos de las pestañas del navegador ahora se pueden traducir en vez de estar metidos en el código manualmente.
- Corrección: La tabla del registro de actividades ya no colapsa la columna «Mensaje» en pantallas estrechas. Ahora utiliza un diseño automático con desplazamiento horizontal en lugar de un diseño fijo.
1.6.1
- Nuevo: Detección de archivos de instalaciones antiguas de WordPress en el explorador del directorio raíz (wp-feed.php, wp-pass.php, etc.) — Marcados como «Adicionales» en vez de como «Sospechosos»
- Nuevo: El título de la pestaña del navegador ahora muestra el nombre del plugin y la pestaña activa (p.ej.: «Vigilante > Cortafuegos»)
- Mejorado: Los archivos de verificación de motores de búsqueda (BingSiteAuth.xml, LiveSearchSiteAuth.xml) y el archivo php.ini se excluyen de la exploración del directorio raíz.
1.6.0
- Nuevo: Exploración del directorio raíz en el scanner de auditoría de archivos – Detecta archivos PHP que no sean de la instalación en la raíz de WordPress (un método común de ataque)
- Nuevo: Detección del patrón phpinfo() en el scanner de auditoría de archivos
- Nuevo: Advertencia de WP_DEBUG activo en el escritorio de seguridad, con penalización en la puntuación
- Nuevo: Protección del nombre a mostrar – Impide guardar el nombre a mostrar si coincide con el nombre de usuario utilizado para acceder (en la sección de «Seguridad de usuario»)
- Nuevo: Recomendación en el escritorio cuando los usuarios tienen un nombre a mostrar igual que el de usan para acceder
- Nuevo: Clasificación inteligente del archivo .htaccess en la carpeta «uploads» – Las reglas peligrosas se marcan como sospechosas y las reglas de protección como adicionales, con resumen de su contenido
- Corrección: Los archivos readme.html y licences.txt no se borraban nunca debido a claves de ajustes que no coincidían
- Corrección: La limpieza de archivos confidenciales ahora se ejecuta a diario (las actualizaciones de WordPress vuelven a crear estos archivos)
- Corrección: Añadido el archivo licencia.txt (traducción española) al borrado de archivos confidenciales, el bloqueo mediante el cortafuegos y la protección de .htaccess
1.5.5
- Corrección: Los enlaces a los submenús (registro de actividad, auditoría de archivos) mostraban una página en blanco en algunos entornos de alojamiento web
1.5.4
- Solución: El ajuste de cerrar comentarios antiguos ya no bloquea las reseñas de productos de WooCommerce
- Corrección: El nombre del plugin en la cabecera del correo electrónico no se podía traducir debido a un dominio de texto incorrecto
- Mejorado: Cerrar comentarios antiguos está desactivado por defecto (solo está activo en el preajuste «Máximo»)
- Mejorado: La lista de tablas de la base de datos en la herramienta de copia de seguridad ahora incluye desplazamiento, diseño en franjas y un mejor diseño
1.5.3
- Corrección: El nombre del plugin en la cabecera de los correos electrónicos no era traducible
- Corrección: Los patrones de detección de bots del cortafuegos de PHP eran demasiado amplios, lo que podía bloquear solicitudes HTTP legítimas procedentes de plugins y servicios externos.
1.5.2
- Nuevo: Opción en la administración para permitir o no la casilla de verificación de «Recordar este dispositivo» en la verificación 2FA (desactivada por defecto)
- Nuevo: Recordatorio por correo electrónico de caducidad de contraseña – envía aviso cuando empieza el periodo de advertencia
- Mejorado: El escáner de auditoría de archivos omite falsos positivos conocidos (version.php, archivos readme)
- Mejorado: Cambiado el nivel de aviso por defecto por correo electrónico de auditoría de archivos a «Solo sospechosos»
- Mejorado: El marcador de posición de la URL de inicio de sesión personalizable ahora es traducible
- Mejorado: Texto explicativo en el ajuste de recordatorio de caducidad de contraseña por correo electrónico
- Corrección: El ajuste de recordatorio por correo electrónico de caducidad de contraseña no tenía una implementación funcional
1.5.1
- Mejorado: Plugin renombrado (en inglés) a «Vigilant» para una mejor denominación internacional
- Mejorado: Nuevos banners e icono de marca
1.5.0
- Nuevo: Verificación en dos pasos mediante aplicación (TOTP) – Cumple con RFC 6238
- Nuevo: Selector de método – Elige entre códigos por correo electrónico o aplicación de verificación en cada sitio
- Nuevo: Configuración del código QR en el perfil de usuario con paso de verificación
- Nuevo: Códigos de recuperación para TOTP – 10 códigos de emergencia generados cuando se configura
- Nuevo: Periodo de gracia para configurar TOTP (configurable de 0-30 días)
- Nuevo: Herramienta de restablecimiento de TOTP en la administración – Búsqueda y restablecimiento para usuarios que hayan perdido acceso a su método de verificación
- Nuevo: Aviso en el panel de control sobre el periodo de gracia que recuerda a los usuarios que deben configurar su aplicación de verificación
- Nuevo: Tabla de base de datos específica para TOTP con claves cifradas (AES-256-CBC)
- Nuevo: Correos electrónicos con formato HTML para los códigos de verificación y los avisos de activación
- Nuevo: Alerta de cambio de contraseña de administrador en la supervisión de la seguridad de los usuarios
- Nuevo: Aviso de cambio de URL de inicio de sesión con envío automático y botón manual
-
Nuevo: Interfaz de ajustes 2FA con tarjetas para el selector visual del método
-
Corrección: El aviso de inicio de sesión de administrador ahora se activa en los accesos de todos los administradores
- Corrección: El correo electrónico de desactivación del plugin no se enviaba nunca
- Mejorado: Los patrones de exploración para la integridad de archivos se almacenan externamente para una mejor compatibilidad con los alojamientos web
1.4.2
- Mejorado: Paginación en el registro de actividad (se sirve localmente, 20 elementos por página con navegación AJAX)
- Mejorado: Paginación en los resultados de exploración de integridad de archivos (archivos sospechosos, adicionales y modificados)
- Mejorado: Paginación en las listas de archivos ignorados, IPs bloqueadas y sesiones activas
- Mejorado: Todas las tablas con paginación muestran contador de elementos e indicador del rango, con flechas de navegación cuando sea necesario
- Mejorado: La paginación se actualiza dinámicamente cuando se eliminan elementos (archivo ignorado, IP desbloqueada, rechazar sesión)
1.4.1
- Mejorado: Todos los mensajes de bloqueo del cortafuegos a hora son totalmente traducibles (46 cadenas añadidas al sistema de traducción)
- Mejorado: El comportamiento por defecto de los límites de sesión cambiado a «Cerrar la sesión más antigua» (recomendada) en vez de «Bloquear los nuevos accesos»
- Mejorado: Límite de memoria de WordPress por defecto aumentado a 1024 MB
- Añadido: Opción de 2048 MB en el límite de memoria de WordPress
1.4.0
- Nuevo: Niveles de aviso por correo electrónico – Puedes elegir entre todos los resultados, solo los sospechosos o desactivado
- Nuevo: Ajuste para excluir extensiones de archivo con el fin de reducir los falsos positivos (por ejemplo, .log, .pot, .po, .mo)
- Nuevo: Interfaz de usuario de rutas excluidas – Configura qué directorios ignorar durante las exploraciones
- Nuevo: Lista de ignorados – Descarta archivos concretos de los resultados del análisis y de los avisos por correo electrónico
- Nuevo: Detección de archivos adicionales en plugins y temas (archivos PHP que no se encuentran en los paquetes oficiales de WordPress.org)
- Novedad: Ahora se analizan los plugins y temas sin sumas de comprobación en busca de patrones de código sospechosos
- Nuevo: Sistema de detección de dos niveles: modo estricto para plugins (solo combinaciones de ofuscación), modo estándar para subidas (coincidencia de patrones amplios)
- Nuevo: Los archivos adicionales con código sospechoso se reclasifican automáticamente a la categoría de «Sospechosos»
- Nuevo: Detección de ofuscación por concatenación de cadenas (por ejemplo, creación de nombres de funciones peligrosas a partir de cadenas divididas)
- Nuevo: Detección de doble extensión en el directorio de subidas (por ejemplo, archivo.php.jpg)
- Nuevo: Detección de .htaccess en el directorio de subidas
- Nuevo: Avisos por correo electrónico con formato HTML que incluyen estadísticas resumidas y secciones para cada nivel de gravedad
- Nuevo: Detección mejorada de patrones de código sospechoso (hex2bin, create_function, cadenas codificadas en hexadecimal, ofuscación chr(), combinaciones eval+decode)
- Corregido: Faltaba la casilla de verificación «Explorar temas» en la interfaz de usuario de los ajustes
- Corregido: Los plugins sin sumas de comprobación disponibles se ignoraban por completo, incluso en la detección de archivos sospechosos
- Mejorado: Las tablas de resultados del escaneo ahora incluyen botones «Ignorar» para cada archivo
- Mejorado: Casillas de verificación para el alcance de la exploración agrupadas en un único campo para mayor claridad
1.3.2
- Corregido: Los avisos por correo electrónico sobre la integridad de los archivos fallaban con el error «No hay ruta de reenvío del destinatario» cuando el campo del correo electrónico de aviso estaba vacío.
1.3.1
- Corrección: todas las cadenas de administración en JavaScript ahora son completamente traducibles (ventana emergente del registro de actividad, resultados de exploración, restablecer contraseña, gestión de sesiones, aprobaciones de usuario, etiquetas de preajustes y más).
- Corrección: los avisos por correo electrónico de integridad de archivos ahora funcionan tanto para las exploraciones programadas como para las manualesl.
- Corrección: eliminadas las exploraciones programadas de integridad de archivos duplicadas (respeta la frecuencia configurada).
- Mejorado: el aviso por correo electrónico cuando hay cambios de archivo ahora está activo por defecto.
1.3.0
- Nuevo: lista blanca de User-Agent – excluye servicios como ModularDS, ManageWP, MainWP o UptimeRobot de las comprobaciones del cortafuegos.
- Nuevo: lista negra de User-Agent – bloquea las solicitudes por cadena User-Agent con coincidencia parcial.
- Nuevo: columna del método de solicitud HTTP en el registro de actividad (GET, POST, PUT, DELETE, etc.)
- Nuevo: filtro de método de solicitud en el registro de actividad.
- Nuevo: botones de acción rápida en la ventana emergente de detalles del registro para añadir direcciones IP o User-Agents a las listas del cortafuegos.
- Nuevo: enlaces de búsqueda de IP a AbuseIPDB directamente desde las entradas del registro.
- Mejorado: ventana emergente con detalles del registro rediseñada con secciones agrupadas (solicitud, cliente, datos adicionales).
- Mejora: la exportación CSV ahora incluye una columna con el método de solicitud.
1.2.3
- Corrección: Los registros de IPs en lista blanca y negra se fusionaban en una única línea después de recargar la página, impidiendo que funcionasen correctamente las exclusiones.
- Corrección: Al actualizar hay migración automática para reparar listas de IP corruptas previamente.
1.2.2
- Mejorado: Añadida nueva sugerencia de plugin.
1.2.1
- Mejorado: La inserción de constantes en el wp-config.php ahora se coloca correctamente antes del comentario «Eso es todo, deja de editar», compatible con archivos wp-config traducidos.
1.2.0
- Nuevo: Herramienta de descarga de copias de seguridad de bases de datos con selección de tablas (pestaña «Herramientas»).
- Nuevo: Cambio del prefijo de la base de datos con generación aleatoria de prefijos seguros (pestaña «Refuerzo de WP»).
1.1.1
- Corrección: la restricción del método HTTP ya no bloquea PUT y DELETE, permitiendo que peticiones API REST de plugins como SiteGround Optimizer funcionen correctamente.
1.1.0
- Nuevo: modo «Under Attack» (Bajo ataque): protección de emergencia contra ataques JavaScript con activación con un solo clic.
- Novedad: verificación automática del navegador con desafío de prueba de trabajo para los visitantes de la web.
- Novedad: cookies de verificación firmadas con HMAC para evitar la falsificación de cookies.
- Nuevo: límite de tráfico agresivo (30 solicitudes/min) y restricción del método HTTP durante ataques.
- Nuevo: desactivación automática tras 4 horas con avisos por correo electrónico.
- Nuevo: bloqueo de REST API y XML-RPC durante el modo «Bajo ataque».
- Nuevo: aviso en la administración descartable con enlace al panel de control mientras el modo está activo.
1.0.4
- Corregido: los resultados de la exploración de integridad de archivos ahora son completamente traducibles
- Corregido: el escáner de integridad de archivos ahora detecta de manera fiable archivos sospechosos en las subidas
- Mejorado: ahora el directorio de subidas se explora el primero para una detección de malware más rápida
- Mejorado: aumentado el límite de tiempo de exploración de 25 a 60 segundos para una exploración concienzuda
- Mejorado: aumentado el límite de archivos en la exploración de subidas de 2.000 a 10.000 archivos
1.0.3
- Corregido: el botón de probar las cabeceras de seguridad y sus resultados ahora son completamente traducibles
- Mejorado: el icono personalizado del plugin ahora se muestra en la cabecera de la página de ajustes
- Mejorado: el aviso de activación ahora incluye el dashicon del escudo
1.0.2
- Mejorado: la página de ajustes ahora utiliza todo el ancho disponible para que se vean mejor las pestañas
1.0.1
- Corregido: compatibilidad de API REST con plugins que usen PUT/DELETE
- Corregido: la inserción de constantes en wp-config.php ahora funciona correctamente en instalaciones WordPress que no estén en inglés
- Corregido: las opciones de refuerzo de WP ahora se aplican correctamente al desmarcar (desactivar) ajustes
- Corregido: la detección de configuraciones personalizadas ahora se activa al cambiar ajustes en cualquier sección
- Corregido: caracteres UTF-8 dañados en los mensajes del registro de actividad y en el CSS
- Mejorado: la URL de inicio de sesión personalizada ahora activa automáticamente que wp-login.php redirija a un 404
- Mejorado: los límites de sesión ya no excluyen por defecto a los administradores para mejorar la seguridad
- Mejorado: la etiqueta de «Configuración personalizada» del escritorio ahora utiliza un color naranja más visible
- Mejorado: las restricciones del método HTTP en htaccess ahora excluyen las variables de la API REST
1.0.0
- Versión inicial
- Identificación en dos pasos por correo electrónico con reconocimiento de dispositivos de confianza
- Forzado de identificación en dos pasos (2FA) basada en perfiles
- Cortafuegos avanzado basado en PHP con protección contra inyección SQL, XSS e inclusión de archivos
- Limitación de tráfico con umbrales configurables
- Gestión de lista blanca y lista negra de IPs
- Implementación completa de cabeceras de seguridad (CSP, HSTS, X-Frame-Options, Permissions Policy)
- Herramienta integrada para probar cabeceras de seguridad
- Forzado de HTTPS con detección de contenido mixto
- Seguridad en el inicio de sesión con protección contra ataques de fuerza bruta y bloqueos progresivos
- Personalización de URL de inicio de sesión
- Control de XML-RPC y contraseñas de aplicaciones
- Seguridad de usuarios con bloqueo de nombres de usuario inseguros
- Exigencia de contraseñas seguras con una longitud mínima
- Caducidad de contraseñas con seguimiento del historial
- Forzar el restablecimiento de contraseñas para todos los usuarios
- Gestión de sesiones y límites de sesiones simultáneas
- Verificación por correo electrónico de los nuevos registros
- Procedimiento de aprobación de registros
- Supervisión y alertas de cuentas de administradores
- Refuerzo de WordPress (constantes en wp-config, seguridad en comentarios, limpieza de cabeceras)
- Gestión y seguridad de feeds
- Seguridad de la API REST con protección selectiva de variables
- Protección contra enumeración de usuarios
- Registro de actividad con seguimiento de eventos configurable
- Filtrado y exportación a CSV del registro
- Supervisión de integración de archivos usando las sumas de comprobación de WordPress.org
- Detección de código sospechoso en dos niveles (estricta para plugins, amplia para archivos subidos)
- Detección de archivos adicionales y ofuscación en plugins y temas
- Exploraciones programadas con avisos por correo electrónico en formato HTML y niveles de gravedad
- Exportación e importación de ajustes
- Herramienta de creación de copias de seguridad manuales
- Dos preajustes de configuración (estándar y máxima seguridad)
- Sistema automático de copia de seguridad y restauración
- Retroceso limpio al desactivar
- Completa interfaz de administración con ajustes organizados en pestañas