¿Qué es esto y en qué se diferencia del Rate Limiting?What is this and how is it different from Rate Limiting?Was ist das und wie unterscheidet es sich von der Ratenbegrenzung?Qu'est-ce que c'est et en quoi diffère-t-il de la Limitation de Débit ?

DDoS significa "Denegación de Servicio Distribuida": muchos ordenadores distintos (a veces miles, en una "botnet") atacan tu web a la vez para saturarla y dejarla caída.

DDoS means "Distributed Denial of Service": many different computers (sometimes thousands, in a "botnet") attack your site at the same time to overload it and take it down.

DDoS bedeutet "Distributed Denial of Service": viele verschiedene Computer (manchmal Tausende, in einem "Botnet") greifen Ihre Website gleichzeitig an, um sie zu überlasten und lahmzulegen.

DDoS signifie "Déni de Service Distribué" : de nombreux ordinateurs différents (parfois des milliers, dans un "botnet") attaquent votre site en même temps pour le saturer et le faire tomber.

⚖️ ¿Por qué no basta con el Rate Limiting?⚖️ Why isn't Rate Limiting enough?⚖️ Warum reicht die Ratenbegrenzung nicht aus?⚖️ Pourquoi la Limitation de Débit ne suffit-elle pas ?

El Rate Limiting cuenta peticiones por IP: si una IP se pasa, se bloquea esa IP. Pero en un DDoS real, el ataque no viene de 1 IP — viene de cientos o miles de IPs distintas a la vez. Cada IP nueva empieza su propio contador desde cero, así que nunca llega a superar el límite individual, y el ataque pasa desapercibido.

Rate Limiting counts requests per IP: if one IP goes over the limit, that IP gets blocked. But in a real DDoS, the attack doesn't come from 1 IP — it comes from hundreds or thousands of different IPs at once. Each new IP starts its own counter from zero, so it never exceeds the individual limit, and the attack goes unnoticed.

Ratenbegrenzung zählt Anfragen pro IP: Überschreitet eine IP das Limit, wird diese IP blockiert. Bei einem echten DDoS kommt der Angriff jedoch nicht von 1 IP — er kommt von Hunderten oder Tausenden verschiedener IPs gleichzeitig. Jede neue IP startet ihren eigenen Zähler bei null, sodass sie nie das individuelle Limit überschreitet und der Angriff unbemerkt bleibt.

La Limitation de Débit compte les requêtes par IP : si une IP dépasse la limite, cette IP est bloquée. Mais dans un vrai DDoS, l'attaque ne vient pas d'1 IP — elle vient de centaines ou milliers d'IPs différentes à la fois. Chaque nouvelle IP démarre son propre compteur à zéro, donc elle ne dépasse jamais la limite individuelle, et l'attaque passe inaperçue.

🧮 ¿Cómo lo soluciona esto?🧮 How does this solve it?🧮 Wie löst das dieses Problem?🧮 Comment cela résout-il le problème ?

En vez de contar por IP, cuenta el tráfico TOTAL de tu web (todas las IPs juntas). Si ese total se dispara, se activa el "modo flood": a cada visitante nuevo (sin importar su IP) se le pide resolver un pequeño cálculo matemático vía JavaScript antes de dejarle ver la página.

Instead of counting per IP, it counts the TOTAL traffic to your site (all IPs combined). If that total spikes, "flood mode" activates: every new visitor (regardless of IP) is asked to solve a small math calculation via JavaScript before being allowed to see the page.

Statt pro IP zu zählen, wird der GESAMTE Datenverkehr Ihrer Website gezählt (alle IPs zusammen). Steigt diese Gesamtzahl sprunghaft an, wird der "Flood-Modus" aktiviert: Jeder neue Besucher (unabhängig von der IP) wird gebeten, eine kleine mathematische Berechnung per JavaScript zu lösen, bevor er die Seite sehen darf.

Au lieu de compter par IP, il compte le trafic TOTAL de votre site (toutes les IPs combinées). Si ce total explose, le "mode flood" s'active : chaque nouveau visiteur (quelle que soit son IP) doit résoudre un petit calcul mathématique via JavaScript avant d'être autorisé à voir la page.

✅ Para el visitante real: se resuelve solo, en menos de un segundo, sin darse cuenta. Para un bot de ataque (sin motor JavaScript): nunca responde correctamente y se queda fuera, venga de la IP que venga. ✅ For a real visitor: it solves itself automatically, in under a second, without them noticing. For an attack bot (no JavaScript engine): it never answers correctly and is kept out, no matter which IP it comes from. ✅ Für den echten Besucher: es löst sich automatisch, in unter einer Sekunde, ohne dass er es merkt. Für einen Angriffs-Bot (ohne JavaScript-Engine): er antwortet nie korrekt und bleibt draußen, egal von welcher IP. ✅ Pour un vrai visiteur : cela se résout automatiquement, en moins d'une seconde, sans qu'il s'en aperçoive. Pour un bot d'attaque (sans moteur JavaScript) : il ne répond jamais correctement et reste bloqué, peu importe son IP.

Cómo funciona por dentroHow it works internallyWie es intern funktioniertComment ça fonctionne en interne

SeenSecure cuenta cuántas peticiones recibe todo el sitio en ventanas cortas de tiempo.
SeenSecure counts how many requests the whole site receives in short time windows.
SeenSecure zählt, wie viele Anfragen die gesamte Website in kurzen Zeitfenstern erhält.
SeenSecure compte le nombre de requêtes reçues par tout le site dans de courtes fenêtres de temps.
Si ese total supera el umbral configurado, se activa el "modo flood" durante un tiempo mínimo (enfriamiento), para no encender y apagar el desafío constantemente si el tráfico ronda justo el límite.
If that total exceeds the configured threshold, "flood mode" activates for a minimum time (cooldown), so the challenge doesn't turn on and off constantly if traffic hovers right at the limit.
Übersteigt diese Gesamtzahl den konfigurierten Schwellenwert, wird der "Flood-Modus" für eine Mindestzeit (Abkühlung) aktiviert, damit die Herausforderung nicht ständig ein- und ausgeschaltet wird, wenn der Verkehr genau am Limit liegt.
Si ce total dépasse le seuil configuré, le "mode flood" s'active pendant une durée minimale (refroidissement), afin que le défi ne s'active/désactive pas constamment si le trafic tourne juste autour de la limite.
Mientras el modo flood está activo, cada visitante nuevo recibe la página de verificación en vez de la página real, hasta que resuelve el cálculo (automáticamente, vía JavaScript).
While flood mode is active, every new visitor receives the verification page instead of the real page, until they solve the calculation (automatically, via JavaScript).
Solange der Flood-Modus aktiv ist, erhält jeder neue Besucher die Verifizierungsseite statt der echten Seite, bis er die Berechnung löst (automatisch, per JavaScript).
Tant que le mode flood est actif, chaque nouveau visiteur reçoit la page de vérification au lieu de la vraie page, jusqu'à ce qu'il résolve le calcul (automatiquement, via JavaScript).
Una vez verificado, el visitante puede navegar con normalidad durante el tiempo configurado (duración del pase) sin que se le vuelva a preguntar.
Once verified, the visitor can browse normally for the configured time (pass duration) without being asked again.
Nach der Verifizierung kann der Besucher für die konfigurierte Zeit (Pass-Dauer) normal navigieren, ohne erneut gefragt zu werden.
Une fois vérifié, le visiteur peut naviguer normalement pendant la durée configurée (durée du laissez-passer) sans être redemandé.

🔒 Nunca te quedas fuera de tu propia web: los administradores ya conectados, las IPs en tu Whitelist, y wp-admin/login/cron nunca ven el desafío, pase lo que pase con el tráfico. 🔒 You never get locked out of your own site: administrators who are already logged in, IPs on your Whitelist, and wp-admin/login/cron never see the challenge, no matter what happens with traffic. 🔒 Sie werden nie aus Ihrer eigenen Website ausgesperrt: bereits angemeldete Administratoren, IPs auf Ihrer Whitelist und wp-admin/login/cron sehen die Herausforderung nie, egal was mit dem Datenverkehr passiert. 🔒 Vous n'êtes jamais bloqué hors de votre propre site : les administrateurs déjà connectés, les IPs sur votre Whitelist, et wp-admin/login/cron ne voient jamais le défi, quoi qu'il arrive au trafic.

Ajustes de esta secciónSettings in this sectionEinstellungen in diesem AbschnittParamètres de cette section

Umbral (peticiones/min de todo el sitio)Threshold (requests/min for the whole site)Schwellenwert (Anfragen/Min für die gesamte Website)Seuil (requêtes/min pour tout le site)

A partir de cuánto tráfico TOTAL se considera un posible ataque. Empieza alto (600-1000) y bájalo solo si tu web sufre ataques reales; ponerlo demasiado bajo puede activar el desafío en picos normales de visitas (ej. viralidad en redes).

The TOTAL traffic level from which a possible attack is assumed. Start high (600-1000) and lower it only if your site suffers real attacks; setting it too low can trigger the challenge during normal traffic spikes (e.g. going viral on social media).

Die GESAMTE Verkehrsmenge, ab der ein möglicher Angriff angenommen wird. Beginnen Sie hoch (600-1000) und senken Sie nur, wenn Ihre Website echte Angriffe erleidet; zu niedrig eingestellt kann die Herausforderung bei normalen Verkehrsspitzen auslösen (z.B. viraler Social-Media-Beitrag).

Le niveau de trafic TOTAL à partir duquel une attaque possible est supposée. Commencez haut (600-1000) et baissez seulement si votre site subit de vraies attaques ; le régler trop bas peut déclencher le défi lors de pics de trafic normaux (ex. viralité sur les réseaux sociaux).

Duración del pase (minutos)Pass duration (minutes)Pass-Dauer (Minuten)Durée du laissez-passer (minutes)

Cuánto tiempo un visitante que ya resolvió el cálculo puede seguir navegando sin que se le vuelva a preguntar.

How long a visitor who already solved the calculation can keep browsing without being asked again.

Wie lange ein Besucher, der die Berechnung bereits gelöst hat, weiter navigieren kann, ohne erneut gefragt zu werden.

Combien de temps un visiteur ayant déjà résolu le calcul peut continuer à naviguer sans être redemandé.

Enfriamiento (minutos)Cooldown (minutes)Abkühlung (Minuten)Refroidissement (minutes)

Una vez activado, cuánto tiempo se mantiene el modo flood encendido tras bajar el tráfico, antes de desactivarse solo. Evita que se encienda y apague constantemente si el tráfico ronda justo el límite.

Once activated, how long flood mode stays on after traffic drops, before switching off by itself. Prevents it from turning on and off constantly if traffic hovers right at the limit.

Nach der Aktivierung, wie lange der Flood-Modus nach einem Rückgang des Verkehrs eingeschaltet bleibt, bevor er sich selbst abschaltet. Verhindert ständiges Ein-/Ausschalten, wenn der Verkehr genau am Limit liegt.

Une fois activé, combien de temps le mode flood reste allumé après la baisse du trafic, avant de s'éteindre tout seul. Évite qu'il s'allume et s'éteigne constamment si le trafic tourne juste autour de la limite.

💡 Recomendación: déjalo desactivado si nunca has sufrido un ataque de este tipo. Actívalo solo si tu web ha sufrido caídas por exceso de tráfico repentino, o como medida preventiva si esperas un pico (lanzamiento, campaña, mención viral). 💡 Recommendation: leave it disabled if you have never suffered this kind of attack. Enable it only if your site has gone down from a sudden traffic overload, or as a precaution if you are expecting a spike (launch, campaign, going viral). 💡 Empfehlung: lassen Sie es deaktiviert, wenn Sie noch nie diese Art von Angriff erlitten haben. Aktivieren Sie es nur, wenn Ihre Website durch plötzliche Verkehrsüberlastung ausgefallen ist, oder vorsorglich bei einem erwarteten Spitzenwert (Start, Kampagne, viraler Beitrag). 💡 Recommandation : laissez-le désactivé si vous n'avez jamais subi ce type d'attaque. Activez-le seulement si votre site est tombé à cause d'une surcharge soudaine de trafic, ou par précaution si vous attendez un pic (lancement, campagne, viralité).

Lo que NO hace (límites honestos)What it does NOT do (honest limitations)Was es NICHT tut (ehrliche Grenzen)Ce qu'il ne fait PAS (limites honnêtes)

No protege formularios, pagos ni llamadas a la API (peticiones que no son de tipo "GET") — interrumpirlos a mitad sería peor que el propio ataque, así que se dejan pasar sin comprobar.
It does not protect forms, payments, or API calls (non-"GET" requests) — interrupting them midway would be worse than the attack itself, so they are let through without checking.
Es schützt keine Formulare, Zahlungen oder API-Aufrufe (Nicht-"GET"-Anfragen) — sie mittendrin zu unterbrechen wäre schlimmer als der Angriff selbst, daher werden sie ungeprüft durchgelassen.
Il ne protège pas les formulaires, les paiements ni les appels API (requêtes non "GET") — les interrompre en cours serait pire que l'attaque elle-même, donc ils sont laissés passer sans vérification.
No sustituye a un CDN (como Cloudflare) frente a ataques a nivel de red/conexión — esto protege a nivel de aplicación (páginas web), no el tráfico de red en bruto.
It does not replace a CDN (like Cloudflare) against network/connection-level attacks — this protects at the application level (web pages), not raw network traffic.
Es ersetzt keinen CDN (wie Cloudflare) gegen Angriffe auf Netzwerk-/Verbindungsebene — dies schützt auf Anwendungsebene (Webseiten), nicht den rohen Netzwerkverkehr.
Il ne remplace pas un CDN (comme Cloudflare) contre les attaques au niveau réseau/connexion — cela protège au niveau applicatif (pages web), pas le trafic réseau brut.

⚠️ Ningún desafío es 100% infalible: este mecanismo filtra la inmensa mayoría de bots genéricos de flood (los que no ejecutan JavaScript), pero un atacante muy dedicado que estudie específicamente tu web podría, en teoría, reproducir el cálculo sin ejecutar JS. Para el caso real de un WordPress pequeño-mediano, esta es una mejora sólida y honesta, no una promesa de invulnerabilidad total. ⚠️ No challenge is 100% foolproof: this mechanism filters out the vast majority of generic flood bots (those that don't execute JavaScript), but a very dedicated attacker who specifically studies your site could, in theory, reproduce the calculation without executing JS. For the real case of a small-to-medium WordPress site, this is a solid, honest improvement, not a promise of total invulnerability. ⚠️ Keine Herausforderung ist 100% narrensicher: dieser Mechanismus filtert die überwiegende Mehrheit generischer Flood-Bots heraus (die kein JavaScript ausführen), aber ein sehr engagierter Angreifer, der Ihre Website gezielt untersucht, könnte theoretisch die Berechnung ohne JS-Ausführung reproduzieren. Für den realen Fall einer kleinen bis mittleren WordPress-Website ist dies eine solide, ehrliche Verbesserung, kein Versprechen totaler Unverwundbarkeit. ⚠️ Aucun défi n'est infaillible à 100% : ce mécanisme filtre la grande majorité des bots de flood génériques (ceux qui n'exécutent pas JavaScript), mais un attaquant très déterminé qui étudie spécifiquement votre site pourrait, en théorie, reproduire le calcul sans exécuter de JS. Pour le cas réel d'un site WordPress petit à moyen, c'est une amélioration solide et honnête, pas une promesse d'invulnérabilité totale.

❓ FAQ — Preguntas Frecuentes❓ FAQ — Frequently Asked Questions❓ FAQ — Häufig gestellte Fragen❓ FAQ — Foire Aux Questions

🔹 ¿Debo tener esto activado siempre?🔹 Should I always have this enabled?🔹 Sollte ich das immer aktiviert haben?🔹 Dois-je toujours l'avoir activé ?

No es necesario para la mayoría de sitios. Actívalo si tu web ya ha sufrido caídas por exceso de tráfico repentino, o de forma preventiva antes de un evento que esperas que genere mucho tráfico (lanzamiento, campaña de publicidad, mención viral).

Not necessary for most sites. Enable it if your site has already gone down from sudden traffic overload, or preventively before an event you expect to generate heavy traffic (launch, ad campaign, going viral).

Für die meisten Websites nicht notwendig. Aktivieren Sie es, wenn Ihre Website bereits durch plötzliche Verkehrsüberlastung ausgefallen ist, oder vorbeugend vor einem Ereignis, bei dem Sie starken Verkehr erwarten (Start, Werbekampagne, viraler Beitrag).

Pas nécessaire pour la plupart des sites. Activez-le si votre site est déjà tombé à cause d'une surcharge soudaine de trafic, ou préventivement avant un événement dont vous attendez un fort trafic (lancement, campagne publicitaire, viralité).

🔹 ¿Puede bloquear a mis clientes reales durante un pico de ventas?🔹 Could it block my real customers during a sales spike?🔹 Könnte es meine echten Kunden während eines Verkaufsspitzenwerts blockieren?🔹 Pourrait-il bloquer mes vrais clients lors d'un pic de ventes ?

No los bloquea — les pide un segundo de verificación automática (invisible para ellos) antes de mostrarles la página, solo mientras el modo flood esté activo. Un cliente real con un navegador normal lo pasa sin darse cuenta. Es más probable que active el modo flood en un pico de tráfico legítimo si el umbral está configurado demasiado bajo — por eso se recomienda empezar alto (600-1000 peticiones/minuto).

It doesn't block them — it asks them for a second of automatic verification (invisible to them) before showing the page, only while flood mode is active. A real customer with a normal browser passes without noticing. It's more likely to trigger flood mode during a legitimate traffic spike if the threshold is set too low — that's why starting high (600-1000 requests/minute) is recommended.

Es blockiert sie nicht — es bittet sie um eine Sekunde automatischer Verifizierung (für sie unsichtbar), bevor die Seite angezeigt wird, nur solange der Flood-Modus aktiv ist. Ein echter Kunde mit einem normalen Browser besteht dies, ohne es zu bemerken. Es ist wahrscheinlicher, dass der Flood-Modus bei einem legitimen Verkehrsspitzenwert ausgelöst wird, wenn der Schwellenwert zu niedrig eingestellt ist — deshalb wird empfohlen, hoch zu beginnen (600-1000 Anfragen/Minute).

Il ne les bloque pas — il leur demande une seconde de vérification automatique (invisible pour eux) avant d'afficher la page, seulement pendant que le mode flood est actif. Un vrai client avec un navigateur normal passe sans s'en apercevoir. Il est plus probable de déclencher le mode flood lors d'un pic de trafic légitime si le seuil est réglé trop bas — c'est pourquoi il est recommandé de commencer haut (600-1000 requêtes/minute).

💡 Consejo: si vas a lanzar una campaña que esperas que sea muy popular, sube temporalmente el umbral (o desactiva el modo) durante el evento, y vuelve a activarlo después. 💡 Tip: if you're launching a campaign you expect to be very popular, temporarily raise the threshold (or disable the mode) during the event, and re-enable it afterwards. 💡 Tipp: Wenn Sie eine Kampagne starten, von der Sie erwarten, dass sie sehr beliebt wird, erhöhen Sie vorübergehend den Schwellenwert (oder deaktivieren Sie den Modus) während des Ereignisses und aktivieren Sie ihn danach wieder. 💡 Astuce : si vous lancez une campagne que vous pensez très populaire, augmentez temporairement le seuil (ou désactivez le mode) pendant l'événement, puis réactivez-le ensuite.

🛡️ Modo Resistencia DDoS

🛡️ DDoS Resilience Mode

🛡️ DDoS-Resilienzmodus

🛡️ Mode Résilience DDoS