WP Seguro WP Registry grade A. No security issues foundWP RegistryNo security issues foundOpen the reportA

WP Seguro
Firewall de tres capas para WordPress

Sitio oficial · Descargar · Documentación · Cambios

WP Seguro es un plugin de seguridad para WordPress, libre y de código abierto. Detecta y bloquea bots, fuerza bruta, inyección SQL, XSS, path traversal y escáneres de vulnerabilidades. Intercepta cada petición lo más temprano posible, en muchos casos antes de que WordPress llegue a cargar, para que la protección no se pague en rendimiento.

Funciones

• Firewall de tres capas: bloqueo previo a PHP, análisis en un MU-plugin y panel de administración.
• Detectores de ataques: SQLi, XSS, path traversal, escáneres, abuso de XML-RPC y de la REST API, con patrones afinados para no bloquear texto legítimo.
• Login blindado: freno a la fuerza bruta y sin enumeración de usuarios.
• Puntuación de riesgo: cada petición suma puntos y la acción depende del umbral alcanzado.
• Rate limiting por IP.
• IP real detrás de CDN: Cloudflare (IPv4 e IPv6), Sucuri y proxies propios, sin que la IP pueda falsificarse con un header.
• Crawlers verificados por rDNS: Googlebot pasa, quien se hace pasar por Googlebot no.
• Tráfico en vivo y geolocalización con una base MMDB local.
• Reglas personalizadas, whitelist, exportación y notificaciones.

Cómo funciona

Cada petición recibe una puntuación de riesgo:

El detalle está en Capas del firewall y en la Referencia de reglas.

Instalación

1. Descargá wp-secure.zip desde la última release.
2. En WordPress, andá a Plugins → Añadir nuevo → Subir plugin.
3. Subí el archivo, instalalo y activá WP Seguro.
4. Completá el asistente de configuración inicial y revisá WP Seguro → Dashboard.

[!IMPORTANT] Si el sitio está detrás de Cloudflare u otro proxy, revisá la configuración de CDN/Proxy antes de activar el bloqueo en producción. Con el proxy mal configurado, todo el tráfico parece venir de pocas IPs y el rate limiter puede bloquearlas.

Requisitos

Extensiones PHP: mbstring, json, mysqli.

Documentación

• Instalación
• Configuración
• Capas del firewall
• Referencia de reglas
• Reglas personalizadas
• Configuración de CDN/Proxy
• Solución de problemas
• Preguntas frecuentes
• Registro de cambios

Contribuir

Toda ayuda suma, y probar el plugin en tu sitio ya cuenta.

• ¿Encontraste un falso positivo o un error? Abrí un issue con los pasos para reproducirlo. Si es un bloqueo, incluí la URL y los parámetros que lo dispararon.
• ¿Querés aportar código? Nuevos detectores, mejoras de rendimiento, traducciones o documentación son bienvenidos por pull request.
• ¿Una vulnerabilidad de seguridad? No la publiques en un issue. Escribí directamente al autor a través de su perfil de GitHub.

Desarrollo local

git clone https://github.com/fabiomb/wp-secure.git
cd wp-secure
composer install
vendor/bin/phpunit --testsuite unit

Los tests unitarios no necesitan una instalación de WordPress. Los de integración requieren el framework de tests de WordPress:

WP_TESTS_DIR=/ruta/a/wordpress-tests-lib vendor/bin/phpunit --testsuite integration

Las clases WPS_Foo_Bar viven en class-wps-foo-bar.php, dentro de includes/ y sus subcarpetas.

Licencia

GPL-2.0-or-later. Creado por Fabio Baccaglioni.