Plugin de WordPress — ReportedIP (Edición completa)

ReportedIP es un plugin de seguridad para WordPress impulsado por la comunidad. Convierte cada sitio protegido en un sensor: cuando un sitio sufre un ataque, la red aprende y todos los demás sitios pueden rechazar al atacante antes de que se reciba la primera solicitud. Información sobre amenazas en tiempo real, dieciséis sensores de ataque —incluido un cortafuegos de aplicaciones web—, autenticación de dos factores (2FA) con cuatro métodos, escalado progresivo de bloqueos y conjuntos de reglas de cortafuegos firmados y distribuidos por el servidor. Código abierto, publicado bajo la licencia GPLv2+ en GitHub.

Instalación

Asistente de configuración (10 pasos)

El asistente se ejecuta la primera vez que se activa y se puede volver a iniciar en cualquier momento desde la configuración del complemento. Cada paso se guarda inmediatamente en el servidor con cada cambio de página (incluido el botón «Atrás»), por lo que puedes detenerlo y reanudarlo sin perder ningún ajuste.

Modos de funcionamiento

Dos modos: cambia entre ellos en cualquier momento sin perder los datos locales.

Qué incluye cada nivel

El complemento Hive es totalmente funcional en el plan gratuito: protección local, los dieciséis sensores y los cuatro métodos de autenticación de dos factores. Los planes de pago incluyen infraestructura de entrega gestionada (correo electrónico y SMS) y mayores cuotas de la red comunitaria. Consulta la página de precios para ver la comparación completa y realizar la actualización.

Business de varias licencias. Todas Business indicadas anteriormente corresponden a una sola licencia. Al finalizar la compra, puede adquirir Business , 5, 10 o 20 licencias (o modificarlo más tarde en el Portal de clientes de Stripe), y el número de comprobaciones/informes diarios, el límite mensual de correos electrónicos/SMS de 2FA y el número de dominios se adaptarán al número de licencias que adquiera; por ejemplo, 5 licencias = 75 dominios y 500 000 comprobaciones al día. Se aplica automáticamente un descuento por volumen a partir de x2. La versión PRO sigue siendo de una sola licencia; las cifras de la versión Enterprise son ilimitadas (uso razonable) y nunca se multiplican.

Pedido de consumo de lotes (PRO y Business): primero se consume la asignación mensual incluida (25 SMS / 500 correos electrónicos en PRO, 75 / 2500 en Business) y, a continuación, el saldo del paquete de prepago. Una vez agotados ambos, la API devuelve un código HTTP 429 y Hive recurre a la conexión local wp_mail() para el correo electrónico (o SMS con límite máximo) — los demás métodos de autenticación de dos factores siguen funcionando. Los créditos del paquete nunca caducan. Stripe utiliza tax_behavior = inclusive En el caso de los paquetes con precio bruto (conformes a la PAngV), Stripe Tax gestiona automáticamente la inversión del sujeto pasivo y el OSS.

Defensa de 6 capas

Hive aplica sus comprobaciones de forma secuencial: cada capa puede interrumpir la solicitud antes de que llegue a la siguiente. Conectado a init con prioridad 1, para que los demás complementos no se ejecuten en el caso de una IP bloqueada.

1. Lista blanca: las direcciones IP y los rangos CIDR de confianza siempre tienen acceso permitido (tu oficina, servicios de monitorización, etc.).
2. Lista de bloqueados local — Direcciones IP que has bloqueado manualmente o que han superado los límites locales. Almacenadas en wp_reportedip_hive_blocked.
3. Cortafuegos de aplicaciones web (WAF ): el conjunto de reglas WAF activo se compara con el URI, la consulta, el cuerpo y el agente de usuario; cualquier coincidencia se bloquea mediante la ruta 403 compartida y codificada por referencia. Tiene en cuenta las listas blancas y el autor del contenido para evitar falsos positivos. Un complemento opcional previo a WordPress puede ejecutar esta capa antes incluso de que se cargue WordPress.
4. Contadores de intentos: los contadores de inicio de sesión, comentarios, XMLRPC, ráfagas REST y escaneos 404 activan un bloqueo automático una vez que se alcanza el umbral.
5. Reputación de la comunidad: en el modo «Red de la comunidad», las direcciones IP con un nivel de confianza igual o superior al umbral se bloquean en el perímetro.
6. Requisito de autenticación de dos factores: las cuentas protegidas deben completar un segundo factor para iniciar sesión.

Los dieciséis sensores de ataque

Cada sensor se puede activar o desactivar y ajustar de forma independiente en Ajustes → Protección.

Escalada progresiva por bloques

Los reincidentes pagan más. La escala predeterminada es: 5 min → 15 min → 30 min → 24 h → 48 h → 7 d. Tras 30 días sin incidentes, el contador se reinicia en el nivel 1. Los visitantes legítimos que activan el filtro por primera vez (CGNAT, errores de los administradores, salida de redes móviles) se recuperan en cuestión de minutos; los atacantes persistentes llegan al nivel de 7 días.

La escalera, la ventana de reinicio y el interruptor principal se encuentran en Ajustes → Bloqueo → Bloqueo progresivo. El paso «Protección» del asistente muestra el controlador principal, de modo que las instalaciones nuevas ya tienen en cuenta la escalada de privilegios desde el primer guardado. La corrección block_duration La configuración sigue siendo válida aunque la escala esté desactivada. La granularidad inferior a una hora la proporciona ReportedIP_Hive_Database::block_ip_for_minutes().

Cortafuegos de aplicaciones web y aplicación de reglas

Desde la versión 2.1.2, Hive incluye un cortafuegos de aplicaciones web que inspecciona las solicitudes. En init coincide con el activo waf compara el conjunto de reglas con el URI, la cadena de consulta, el cuerpo de la solicitud y el agente de usuario, y bloquea el acceso a través de la ruta 403 compartida, compatible con el almacenamiento en caché y codificada por referencia. Está reforzado contra ReDoS (retroceso PCRE limitado, fail-open en una regla malformada), tiene en cuenta las listas blancas y el autor del contenido para evitar falsos positivos, y añade aproximadamente 4 µs de CPU por solicitud sin consultas adicionales a la base de datos cuando hay una caché de objetos persistente.

Las reglas no están programadas de forma fija en el complemento. Se publican en reportedip.de API de reglas — entregadas por el servidor, con control de versiones, firmadas con Ed25519 y distribuidas por niveles en cuatro conjuntos de reglas (waf, bot_signatures, disposable_domains, scan_paths). El complemento verifica cada conjunto de reglas con una clave pública integrada antes de aplicarlo y siempre recurre a una línea de base integrada, por lo que un feed manipulado, de tamaño excesivo o inaccesible nunca podrá corromper tus reglas. Las nuevas firmas de ataque llegan a todas las instalaciones en cuestión de horas, sin necesidad de publicar una nueva versión del complemento.

• Incluido de forma gratuita en todos los planes: el motor WAF y el conjunto de reglas básicas «OWASP Top 10 Paranoia-Level-1», que se pueden utilizar íntegramente sin conexión en el modo «Local Shield» a partir de la configuración básica incluida.
• Sincronización prioritaria (Professional y superiores): los conjuntos de reglas más completos, actualizados con frecuencia y firmados de los niveles 2 y 3 de Paranoia (que abarcan técnicas de ofuscación y elusión), además de los flujos de datos en tiempo real sobre rangos de IP de bots y dominios desechables. La versión gratuita sincroniza la base de datos incluida; la versión Contributor, semanalmente; y las versiones Professional y superiores, diariamente.
• Ampliación de la garantía (opcional) — una versión anterior a WordPress auto_prepend_file un filtro que ejecuta el WAF antes de que se cargue WordPress. Apache (.htaccess) y PHP-FPM (.user.ini) se configuran automáticamente; los servidores Nginx y los alojamientos gestionados disponen de un archivo php.ini y un panel de control de alojamiento auto_prepend_file línea o un fragmento de Nginx. Desactivado por defecto; al eliminarlo, siempre se elimina primero la directiva antes de borrar el guard, por lo que un prepend obsoleto nunca provocará un error fatal en el sitio.
• Códigos de referencia — cada bloque (WAF o sensor) lleva un código que permite establecer una correlación, como por ejemplo WAF_SQLI-3F9A2B71, que se muestra en la página del bloque y se emite como el X-RIP-Ref encabezado. Un visitante bloqueado por error introduce una cadena corta que el administrador identifica en los registros; el token es un hash unidireccional de la IP, el motivo y la hora, por lo que no se revelan datos personales.

La configuración y el estado en tiempo real se encuentran en el menú específico del cortafuegos: un minipanel de control general (estado por módulos, contadores de 7 días, eventos recientes del cortafuegos), una pestaña WAF (motor / modo / selector de nivel de paranoia), una pestaña de verificación de bots, una pestaña de defensa contra el spam (correo electrónico desechable + honeypot), una vista del estado de la sincronización de reglas y una pestaña de configuración del servidor que reúne todos los fragmentos de código del servidor web en un solo lugar.

Detección de bots verificados, bloqueo de direcciones de correo electrónico desechables y trampa para comentarios

• Detección de bots verificada (gratis). Confirma que una solicitud que afirma proceder de Googlebot, Bingbot u otro rastreador realmente proviene de ellos: primero se realiza una comprobación sin DNS con los rangos de IP oficiales del rastreador (Priority Sync) y, a continuación, se recurre a una resolución DNS inversa confirmada por reenvío que resuelve tanto los registros A como los AAAA. Los suplantadores se marcan (por defecto) o se bloquean; un rastreador auténtico nunca se bloquea. facebookexternalhit se comprueba con los rangos de direcciones IP publicados por Meta.
• Bloqueo de direcciones de correo electrónico desechables (gratis). Comprueba la dirección introducida al registrarse (en WordPress y WooCommerce) cotejándola con la lista de direcciones desechables. Tres modos: desactivado / supervisar / bloquear. Los servicios de reenvío de privacidad (Apple «Ocultar mi correo electrónico», Firefox Relay, etc.) constituyen una categoría aparte que se deja pasar por defecto. La lista en tiempo real se sincroniza mediante Priority Sync.
• «Honeypot» para comentarios (gratuito). Un campo señuelo invisible y excluido por los lectores de pantalla en el formulario de comentarios; los bots de spam que rellenan todos los campos son rechazados sin que los visitantes reales tengan que pasar por el CAPTCHA.

Encabezados de seguridad

Refuerzo de los encabezados de respuesta en cada solicitud del front-end. Los encabezados que ya haya enviado tu servidor u otro complemento se detectan y no se modifican.

• Trío básico (gratis) — X-Content-Type-Options, X-Frame-Options, Referrer-Policy.
• Avanzado (Profesional) — HSTS, Permissions-Policy, una Política de Seguridad de Contenidos (solo de informe por defecto, con un generador) y el trío de aislamiento entre orígenes (COOP / CORP / COEP).

La pestaña «Configuración del servidor» también permite exportar los encabezados configurados como nginx a nivel de servidor add_header / Apache Header directivas.

Puntuación de protección y refuerzo

Dos indicadores del panel de control (0-100 más una calificación de A+ a F, al estilo de Mozilla Observatory) evalúan tu cobertura de detección y tu nivel de seguridad, con enlaces directos a cada elemento para activar un sensor. Las funciones bloqueadas (de pago) se tienen en cuenta a la hora de calcular el potencial visible, pero no restan puntos a tu puntuación, por lo que el plan gratuito también puede alcanzar la máxima calificación.

Registro de eventos de auditoría (Business)

Un registro del ciclo de vida del usuario de solo adición —inicios de sesión, intentos fallidos de inicio de sesión, restablecimientos de contraseña, actualizaciones de perfil, cambios de rol (incluido el usuario suplente), registros y detección de nuevas direcciones IP— con filtros, exportación a CSV/JSON, integración con WordPress para la exportación y supresión de datos conforme al RGPD, y limpieza de la retención de datos (1 año en Business, configurable en el plan Enterprise). Almacenado en el audit_log tabla (esquema v9). Los registros de seguridad estándar de 30 días siguen estando disponibles en todos los planes; el registro de auditoría es el registro de nivel de cumplimiento que se añade a ello.

Integración con MainWP

Hive se puede gestionar de forma remota desde el panel de control de MainWP sin necesidad de ningún plugin secundario adicional. Se integra con MainWP Child mainwp_child_extra_execution filtro (autenticado por el canal MainWP Child) y realiza dos tareas: una sincronización de métricas de seguridad (solo recuentos agregados: bloqueos activos, tamaño de la lista blanca, intentos de inicio de sesión fallidos, spam en los comentarios, bloqueos por reputación, tamaño de la cola, eventos críticos recientes, usuarios con 2FA habilitado) y la asignación de claves API desde el panel de control de confianza. Ninguna dirección IP, nombre de usuario, dato confidencial ni clave API sale del sitio.

Autenticación de dos factores (2FA)

Se admiten cuatro métodos, que se pueden combinar por usuario. Los códigos de recuperación se generan durante la primera configuración. Las claves se cifran en reposo (utilizando libsodium, con OpenSSL como alternativa).

• TOTP — RFC 6238 (6 dígitos, ventana de 30 segundos). Compatible con Google Authenticator, Authy, 1Password, Bitwarden, …
• Correo electrónico: código de un solo uso (OTP) de seis dígitos a través del proveedor de correo configurado; con límite de frecuencia (3 códigos cada 15 minutos, 5 intentos de verificación por código y un tiempo de espera de 60 segundos antes de volver a enviarlo).
• SMS: código de un solo uso (OTP) de seis dígitos a través del servicio de reenvío reportedIP gestionado reportedIP (plan Professional y superiores; véase más abajo). El número de teléfono se cifra cuando está inactivo.
• WebAuthn: claves de acceso, llaves de seguridad (YubiKey), autenticadores de plataforma (Touch ID, Face ID, Windows Hello). Analizador CBOR propio, sin dependencias externas.
• Dispositivos de confianza — Tokens de «recordar este dispositivo» opcionales con caducidad configurable (por defecto, 30 días). Almacenados en wp_reportedip_hive_trusted_devices como hash SHA-256.
• Códigos de recuperación — 10 de un solo uso xxxx-xxxx códigos; aviso de «low-code» cuando quedan ≤ 3.

Protección contra ataques de fuerza bruta en la autenticación de dos factores

La escala de verificación de la autenticación de dos factores es 3 → 30 s, 5 → 5 min, 10 → 30 min, 15 → 1 h. Cuando el contador llega al último peldaño, el IP pasa a la posición central auto_block_ip() ruta (evento 2fa_brute_force) que activa la escalada progresiva y la notificación en modo «Comunidad», al igual que cualquier otro sensor.

REST de autenticación de dos factores sin interfaz

Para las integraciones de aplicaciones, el complemento ofrece tres rutas bajo el espacio de nombres reportedip-hive/v1:

• POST /2fa/challenge — nombre de usuario + contraseña → token de autenticación + métodos habilitados (20 solicitudes / 5 minutos por IP).
• POST /2fa/verify — token + método + código → establece la cookie de autenticación (30 solicitudes / 5 minutos por IP).
• GET /2fa/methods — Analiza los métodos activos del usuario actual.

Inicio de sesión en la interfaz de usuario de WooCommerce

La autenticación de dos factores (2FA) de Hive se integra en el tema activo de tu tienda: los clientes que inician sesión a través de [woocommerce_my_account], el proceso de pago clásico o los bloques «Carrito» y «Pago» de WooCommerce completan su segundo paso en una página con tema. El estado del carrito y del proceso de pago se mantiene tras la redirección de ida y vuelta, y la cookie de dispositivo de confianza se comparte con el flujo de inicio de sesión de WordPress.

• Ruta de configuración — 2FA → Inicio de sesión en la interfaz de usuario de WooCommerce.
• Slugs configurables — nombre del desafío (por defecto reportedip-hive-2fa) y el slug de configuración (por defecto reportedip-hive-2fa-setup); tanto las reglas editables como las de comprobación de conflictos y las de reescritura se actualizan automáticamente cuando se modifican.
• Rebaja de nivel: desactivación parcial en los planes «Free» y «Contributor»; se conservan la configuración, las opciones de slug y el estado de incorporación; no se pierden datos al volver a subir de nivel.
• Detección de conflictos: Hive muestra un aviso de administración cuando Solid Security, el plugin WP Two-Factor o Wordfence 2FA controlan el formulario de inicio de sesión, y desactiva la solicitud de verificación en la interfaz pública para evitar que se muestren dos avisos.
• Disponibilidad del plan — Plan Professional y superiores. Los sensores gratuitos de errores de inicio de sesión de WooCommerce (woocommerce_login_failed, woocommerce_checkout_login_form_failed_login) siguen estando presentes en todos los planes y siguen alimentando el contador de fuerza bruta.

Entrega de correo y SMS

La capa de correo funciona a través de un contrato de proveedor conectable (ReportedIP_Hive_Mailer). El proveedor predeterminado es WordPress wp_mail(); los integradores pueden sustituir el propio sin modificar el resto del complemento. La autenticación de dos factores por SMS es una función profesional que se ofrece exclusivamente a través del servidor de retransmisión gestionado reportedip.de; no se requiere una cuenta de SMS propia ni un contrato con un operador. Se configura automáticamente con un plan de pago; actívela en Ajustes → Autenticación de dos factores → SMS.

Descripción general de la configuración

Todas las opciones se encuentran en ReportedIP → Configuración. Estos son los valores predeterminados más importantes:

Tablas de la base de datos

Ocho tablas, creadas al activarse y con prefijo wp_reportedip_hive_. Versión 9 del esquema, con migración idempotente paso a paso en cada actualización del plugin; eliminación opcional al desinstalar. En Multisite, todas las tablas se encuentran en $wpdb->base_prefix por lo que las decisiones sobre amenazas se aplican a toda la red.

• logs — Incidentes de seguridad, detalles en formato JSON, nivel de gravedad, indicador de notificación.
• whitelist — direcciones IP y rangos CIDR de confianza; la fecha de caducidad es opcional.
• blocked — bloqueos activos (manuales / automáticos / por reputación), con blocked_until.
• attempts — Contadores por IP por tipo de intento, con marcas de tiempo de la primera y la última vez.
• api_queue — Informes pendientes y fallidos en la API de la comunidad; lógica de reintento.
• stats — datos acumulados diarios para los gráficos del panel de control (tendencias de 7 y 30 días).
• trusted_devices — Tokens de dispositivos de autenticación de dos factores (hash SHA-256), dirección IP y nombre del dispositivo, fecha de caducidad.
• audit_log — Registro de auditoría del ciclo de vida del usuario de solo adición (Business); añadido en la versión 9 del esquema.

Códigos cortos de la interfaz y pie de página automático

Inserta una pequeña insignia con el texto «protegido por Hive» en cualquier lugar del sitio web. Todos los códigos cortos muestran un único <rip-hive-banner> componente web y extrae datos en tiempo real de una caché temporal de 6 horas (sin llamadas a la API por cada visita a la página).

• [reportedip_badge] — insignia pequeña (predeterminada) proteger (tono).
• [reportedip_stat] — una sola estadística (por defecto confianza (tono).
• [reportedip_banner] — banner ancho (predeterminado) comunidad (tono).
• [reportedip_shield] — icono de escudo (predeterminado) colaborador (tono).

Características comunes: stat (p. ej., attacks_30d, reports_total), tone (protect / trust / community / contributor), color, background, label, intro. El pie de página automático del asistente utiliza el mismo componente, pero con una variante y una alineación configurables.

Referencia de WP-CLI

Las herramientas de autenticación de dos factores (2FA) son totalmente programables. Disponibles en wp reportedip 2fa …:

wp reportedip 2fa status [--user=<id>]
wp reportedip 2fa enable <user_id> --method=<totp|email|sms|webauthn> [--secret=<base32>]
wp reportedip 2fa disable <user_id> [--method=<m>]
wp reportedip 2fa reset <user_id>
wp reportedip 2fa enforce --role=<role> [--remove]
wp reportedip 2fa audit [--user=<id>] [--since=<date>]
wp reportedip 2fa cleanup

Compatibilidad con el complemento de caché

Desde la versión 1.5.2, la respuesta de página bloqueada define DONOTCACHEPAGE, DONOTCACHEDB y DONOTCACHEOBJECT (compatible con WP Rocket, W3 Total Cache, WP Super Cache y LiteSpeed Cache) y emite explícitamente Cache-Control: no-store, no-cache, must-revalidate, max-age=0, Pragma: no-cache además del núcleo de WordPress nocache_headers() configurado. Un único atacante bloqueado ya no puede contaminar la caché de páginas con un error 403 que, de otro modo, recibirían los visitantes legítimos hasta que caduque la caché.

Filtros y ganchos de acción

• apply_filters('reportedip_hive_external_url', $url, $context) — Sustituye cualquiera de las URL externas (política de privacidad, registro, preguntas frecuentes, etc.).
• apply_filters('reportedip_hive_rest_bypass_routes', $routes) — Ampliar la lista de prefijos de rutas REST que eluden el controlador de tráfico (integraciones de banners de cookies).
• apply_filters('reportedip_hive_scan_paths', $paths) — Ampliar la lista de rutas de honeypot para el detector de escaneo.
• do_action('reportedip_hive_ip_blocked', $ip, $reason) — se activa cuando se bloquea una dirección IP.
• do_action('reportedip_hive_report_queued', $ip, $category) — Se activa cuando se pone en cola un informe para la API.

Preguntas frecuentes

Las preguntas que nos hacen con más frecuencia. Cada respuesta incluye un enlace a la sección correspondiente más arriba, cuando procede.

General

Instalación y configuración

Modos y sensores

Autenticación de dos factores

Rendimiento y compatibilidad

Privacidad y el RGPD

Personalización y ampliación

add_filter('reportedip_hive_rest_bypass_routes', function ($routes) {
    $routes[] = '/my-consent-plugin/v1';
    return $routes;
});

add_filter('reportedip_hive_scan_paths', function ($paths) {
    $paths[] = '/.aws/credentials';
    return $paths;
});

Cuotas, planes y cuenta

Solución de problemas

El complemento no bloquea ninguna dirección IP

Comprueba si el «Modo solo de informe» está activado: registra las amenazas sin bloquearlas. Comprueba también que el umbral de bloqueo no esté fijado en un valor demasiado alto (por defecto, 75 %) y que el «Bloqueo automático» esté activado (la estrategia de duración se desactiva cuando el bloqueo automático está desactivado).

Errores de conexión a la API en el modo Red comunitaria

Asegúrate de que tu servidor pueda realizar solicitudes HTTPS salientes a reportedip.de. Algunos servidores bloquean las conexiones salientes de forma predeterminada. Comprueba la clave API en el Panel de control.

Se bloquea a los visitantes que ignoran el aviso sobre cookies

Desde la versión 1.5.0, los cuatro espacios de nombres de Consent (real-cookie-banner, complianz, borlabs-cookie, cookie-law-info) se omiten de forma predeterminada. Si tu pila utiliza un espacio de nombres diferente, amplía la lista de omisiones mediante el reportedip_hive_rest_bypass_routes filtro.

Se bloquea a los usuarios legítimos

Añade sus direcciones IP o rangos CIDR a la lista blanca local. Las direcciones IP incluidas en la lista blanca nunca se bloquean, independientemente de su reputación.

Alto uso de la API / agotamiento de las comprobaciones

Las respuestas se almacenan en caché localmente (con ETag) durante 24 horas de forma predeterminada. Si sigues quedándote sin comprobaciones, aumenta cache_duration o cambia a un plan superior. Controla la cola y el límite de Panel de control.

Bloqueado por la autenticación de dos factores

Utiliza uno de los códigos de recuperación guardados durante la configuración de la autenticación de dos factores. Si los has perdido, un administrador puede restablecer la autenticación de dos factores para cualquier usuario en Usuarios → Autenticación de dos factores. Como último recurso: wp reportedip 2fa reset <user_id>.

El editor de bloques (Gutenberg) sigue sufriendo ralentizaciones

El editor de bloques realiza más de 50 llamadas REST en pocos segundos. A partir de la versión 1.2.2, los usuarios que han iniciado sesión no se ven afectados por el controlador global de picos de tráfico REST; solo se contabilizan los picos de tráfico de los usuarios anónimos. Asegúrate de que utilizas la versión 1.2.2 o una posterior.

RGPD y privacidad

El complemento se ha diseñado teniendo en cuenta la privacidad y cumple plenamente con el RGPD.

• Modo «Local Shield»: No se envían datos fuera de tu servidor. Toda la detección y el bloqueo se realizan de forma local.
• Modo de red comunitaria: solo se comparten la IP del atacante, la categoría de la amenaza y la marca de tiempo. No se comparten nombres de usuario, contraseñas, contenido de comentarios ni datos de los usuarios finales.
• Los agentes de usuario se acortan a 50 caracteres antes de almacenarse.
• Limpieza automática: los registros de seguridad se eliminan tras el periodo de conservación configurado (por defecto, 30 días). La anonimización automática se activa antes (por defecto, 7 días).
• Cifrado en reposo: los claves TOTP, las credenciales WebAuthn y los números de teléfono para SMS se cifran con libsodium (con OpenSSL como alternativa).
• Sin seguimiento: sin cookies, sin píxeles de seguimiento, sin telemetría.
• Código abierto: El código fuente completo está publicado en GitHub; cada línea es verificable.

Aspectos destacados del registro de cambios

• 2.1.x — La versión del cortafuegos: un Marco de Entrega de Reglas (Rule Delivery Framework) proporcionado por el servidor y firmado con Ed25519 que alimenta un cortafuegos de aplicaciones web (Web Application Firewall) que inspecciona las solicitudes (motor gratuito + configuración básica de Nivel 1 de Paranoia, Niveles 2/3 PRO a través de Priority Sync), detección de bots verificados, bloqueo de correos electrónicos desechables, un honeypot de comentarios, encabezados de respuesta de seguridad (básicos gratuitos, avanzados PRO), una puntuación de protección y refuerzo en el panel de control, y códigos de referencia de la página de bloqueo (X-RIP-Ref), el registro de eventos Business (esquema v9), la integración con MainWP y un área de administración del cortafuegos.
• 2.0.x — Activación multisitio en toda la red (Network: true), gestión de niveles por blog, banners de actualización de nivel, refuerzo de la seguridad de los monitores de contraseñas de aplicaciones y anomalías geográficas, autenticación de dos factores (2FA) en la interfaz de usuario de WooCommerce disponible a partir de PRO+, modo de refuerzo contra ataques coordinados, detección y notificación de rutas de señuelo.
• 1.5.2 — Compatibilidad del complemento de caché en la página 403; la limitación de la autenticación de dos factores (2FA) pasa a ser un bloqueo por escalada real; init prioridad 1.
• 1.5.1 — Claridad de la pestaña «Bloqueo» (Solo informes > Bloqueo automático > Estrategia de duración); los editores de longitud fija y escalonados se intercambian en línea.
• 1.5.0 — Escalada progresiva de bloqueos (escalera de 5 m → 7 días); omisión predeterminada de los puntos finales de los banners de cookies; flexibilización de los valores predeterminados para los errores 404 y el spam en los comentarios.
• 1.2.4 — El botón «Reintentar» de la cola de la API ahora ejecuta realmente la llamada a la API.
• 1.2.0 — Siete nuevos sensores: monitor de contraseñas de aplicaciones, monitor de ráfagas REST, bloqueo de enumeración de usuarios, detector de errores 404/escaneos, anomalías geográficas, solidez de contraseñas y ocultación de la URL de inicio de sesión.
• 1.1.0 — Sistema central de envío de correos con plantilla de marca.
• 1.0.0 — Versión pública inicial: bloqueo de direcciones IP, autenticación de dos factores con cuatro métodos, asistente de configuración, tablas de listas.

Historial completo: CHANGELOG.md en GitHub.

¿Buscas la edición más pequeña?