Protege tu sitio con la protección contra ataques de fuerza bruta
Última actualización:
Protégete frente a intentos de inicio de sesión no deseados con Protección de inicio de sesión, la protección contra ataques de fuerza bruta de Jetpack. (Anteriormente conocida como «protección contra ataques de fuerza bruta» y, antes, como Jetpack Protect.)
Activa o desactiva la protección de inicio de sesión
Para proteger tu web de inmediato, Protección de inicio de sesión está activada de forma predeterminada cuando conectas Jetpack a tu cuenta de WordPress.com. Puedes desactivarla y volver a activarla desde:
- Panel de administración: Jetpack → Protect → Ajustes. En la Protección de inicio de sesión, activa o desactiva «Bloquear los intentos repetidos y fallidos de inicio de sesión».
- Panel de administración: Jetpack → Protect en la pestaña Firewall. Esta opción requiere que el plugin Jetpack Protect esté activo.
- WordPress.com Panel: Ajustes → Seguridad.
La página Protect de Jetpack → Protect incluye el plugin Jetpack de Jetpack 16.4, en sitios con alojamiento propio conectados a WordPress.com. Si el plugin independiente Jetpack Protect está activo, Jetpack no muestra esta página y tu sitio conserva las pantallas de ajustes anteriores. En las versiones de Jetpack anteriores a la 16.4, utiliza Jetpack → Ajustes → Seguridad en su lugar.
Si esta función ha bloqueado la página de inicio de sesión de tu sitio y no puedes acceder al panel de administración, puedes desactivar temporalmente la protección de inicio de sesión desde el panel de WordPress.com, en Ajustes → Seguridad.
Permitir siempre direcciones IP específicas
Con la protección de inicio de sesión activada, puedes añadir direcciones IP a la lista de permitidos. Puede ser necesario hacerlo si has realizado demasiados intentos fallidos de inicio de sesión en tu sitio o si Jetpack ha detectado un comportamiento inusual en tu dirección IP actual.
Si has perdido el acceso al panel de administración debido a demasiados intentos fallidos de inicio de sesión, puedes configurar la protección de inicio de sesión desde el panel de WordPress.com. Te explicamos cómo:
- Ve al panel de administración de WordPress.com y ve a Ajustes → Seguridad
- Introduce la lista de IP que quieras añadir en el campo
Always allowed IP addresses/Trusted IP addresses. - Separa varias direcciones IP con comas.
- Para especificar un rango, introduce el valor mínimo y el máximo separados por un guion. Ejemplo:
12.12.12.1-12.12.12.100.
Tu dirección IP actual también aparece en la página, por lo que puedes añadirla a tu lista de permitidos.
Tanto las direcciones IPv4 e IPv6 son válidas.
Si tienes acceso a tu panel de administración de WP, ve a Jetpack → Protect → Ajustes. En la sección Protección de inicio de sesión, activa «Permitir siempre direcciones IP específicas», introduce las direcciones o rangos en el campo que aparece, separados por comas, espacios o saltos de línea, y haz clic en Guardar. Si tienes Jetpack Protect como plugin activo, configúralas en Jetpack → Protect → Firewall en su lugar. En las versiones de Jetpack anteriores a la 16.4, utiliza el campo Always allowed IP addresses en Jetpack → Ajustes → Seguridad.
También puedes añadir una dirección IP a la lista de permitidos estableciéndola como la constante JETPACK_IP_ADDRESS_OK en tu archivo wp-config.php de esta forma:
define('JETPACK_IP_ADDRESS_OK', 'X.X.X.X');
Consulta cuántos ataques se han bloqueado
Puedes consultar el número total de ataques maliciosos bloqueados en tu sitio siguiendo estos pasos:
- Ve a Jetpack → Protect en el panel de administración.
- En la pestaña Resumen busca la tarjeta de Protección de inicio de sesión.
- Intentos de inicio de sesión bloqueados muestra el número total de intentos maliciosos de inicio de sesión bloqueados en tu sitio.
La tarjeta de Jetpack → My Jetpack también muestra el recuento, como inicios de sesión bloqueados.
Cómo funciona la protección de inicio de sesión
La duración del bloqueo depende de varios factores, por lo que no tiene una duración fija.
Captcha matemático en la página de inicio de sesión
El captcha matemático se utiliza como alternativa para la función de protección de inicio de sesión. Si tu IP se ha bloqueado debido a demasiados intentos fallidos de inicio de sesión, es posible que aún puedas acceder a tu sitio si resuelves correctamente el captcha matemático y utilizas las credenciales de inicio de sesión correctas. En casos muy poco frecuentes, es posible que veas el captcha si no has obtenido una clave de API o durante periodos de ataques muy intensos.
Protección de inicio de sesión en Multisite
En una instalación Multisite de WordPress, puedes iniciar sesión con cualquier cuenta que exista en la red desde cualquier página de inicio de sesión de la red. Por tanto, si tienes activa la protección de inicio de sesión de Jetpack en algunos sitios, pero no en todos, en realidad ningún sitio está protegido.
Para solucionarlo, activa Jetpack en toda la red de tu instalación Multisite y activa la función de protección de inicio de sesión en el sitio principal de la red. Una vez hecho esto, la función de protección de inicio de sesión de Jetpack se activará en todos los sitios de tu red, aunque Jetpack no esté conectado en ellos.
Varios intentos maliciosos de inicio de sesión bloqueados
Es posible que te preocupe ver un número elevado de intentos sospechosos de inicio de sesión bloqueados. Pero no te preocupes: ¡eso significa que la función está funcionando correctamente!
Hay miles de «bots» por ahí que intentan acceder a sitios de toda Internet. No importa cuál sea el tamaño de tu sitio: siempre hay alguien o algo intentando «entrar por la fuerza». WordPress es muy seguro y, normalmente, el punto más débil es la contraseña de alguien. Por eso, los bots intentan adivinar las contraseñas de la gente para entrar.
La función Protección de inicio de sesión de Jetpack recopila información de los intentos fallidos de millones de sitios y te protege frente a estos ataques. Por ejemplo, si un bot intentara acceder al sitio A y después fuera al sitio B, la Protección de inicio de sesión de Jetpack ya sabría qué bot es y lo bloquearía antes incluso de que intentara acceder al sitio B.
Además, es muy importante tener contraseñas seguras y robustas.
Información sobre los ataques bloqueados
Por ejemplo, quizá te preguntes:
- ¿Qué nombres de usuario necesitan una mayor protección?
- ¿Se trata de wp-login o de XMLRPC?
- ¿De qué direcciones IP proceden?
- ¿Cuándo ocurrieron? ¿Hay algún patrón?
- Si se detectaron estos, ¿cuántos más puede haber que no se hayan detectado?
No tenemos acceso a esta información. La Protección de inicio de sesión de Jetpack se diseñó para ser sencilla y ligera. Está diseñada de tal forma que no tienes que pensar en estas preguntas ni tomar ninguna decisión. Por eso, el único dato que almacenamos es el número total de ataques bloqueados.
Solución de problemas de la Protección de inicio de sesión
Lee nuestro artículo sobre la solución de problemas de la Protección de inicio de sesión para obtener consejos.
Still need help?
Please contact support. We’re happy to advise.
Información sobre privacidad
La Protección de inicio de sesión de Jetpack está activada de forma predeterminada. Se puede desactivar en cualquier momento en Jetpack → Proteger → Ajustes, en la tarjeta de Protección de inicio de sesión desactivando Bloquear los intentos de inicio de sesión fallidos repetidos. En las versiones de Jetpack anteriores a la 16.4, cambia en su lugar el ajuste Protección contra ataques de fuerza bruta en Jetpack → Ajustes → Seguridad.
Para consultar las funciones generales y las preguntas frecuentes, consulta nuestras funciones de Jetpack Security.
Más información sobre el uso de datos en tu sitio
| Datos utilizados | |
|---|---|
| Propietarios/usuarios del sitio
Para comprobar la actividad de inicio de sesión y bloquear posibles intentos fraudulentos, se utiliza la siguiente información: la dirección IP del usuario que realiza el intento, la dirección de correo electrónico o el nombre de usuario de dicho usuario (es decir, según el valor que intentaba utilizar durante el proceso de inicio de sesión) y todas las cabeceras HTTP relacionadas con la IP asociadas al usuario que realiza el intento. Además, para realizar un seguimiento de la actividad (detallado a continuación): dirección IP, ID de usuario de WordPress.com, nombre de usuario de WordPress.com, ID del sitio conectado a WordPress.com y URL, versión de Jetpack, agente de usuario, URL visitada, URL de referencia, marca de tiempo del evento, idioma del navegador y código de país. |
Visitantes del sitio
Para comprobar la actividad de inicio de sesión y bloquear posibles intentos fraudulentos, se utiliza la siguiente información: la dirección IP del usuario que realiza el intento, la dirección de correo electrónico o el nombre de usuario de dicho usuario (es decir, según el valor que intentaba utilizar durante el proceso de inicio de sesión) y todas las cabeceras HTTP relacionadas con la IP asociadas al usuario que realiza el intento. |
| Actividad registrada | |
| Propietarios/usuarios del sitio
Intentos de inicio de sesión fallidos. Registramos cuándo y qué usuario activa y desactiva la función. También establecemos una cookie ( |
Visitantes del sitio
Intentos de inicio de sesión fallidos. Establecemos una cookie ( |
| Datos sincronizados (Leer más) | |
| Propietarios/usuarios del sitio
Opciones que indican si la función está activada o no y cómo se configuran sus ajustes disponibles. También sincronizamos las entradas de la lista de permitidos del sitio (según la configuración de sus propietarios), la clave API específica de Protect que se utiliza para comprobar los inicios de sesión y cualquier intento fallido de inicio de sesión, que contiene la dirección IP del usuario, el nombre de usuario o la dirección de correo electrónico utilizados en el intento y la información del agente de usuario. |
Visitantes del sitio
Intentos de inicio de sesión fallidos que contienen la dirección IP del usuario, el nombre de usuario o la dirección de correo electrónico utilizados en el intento y la información del agente de usuario. |
