Seguridad de Acceso (Login Security)

🔐 Configuración de Login

La pestaña Login permite activar o desactivar todo el sistema de seguridad de acceso y configurar los parámetros fundamentales de protección contra fuerza bruta: límite de intentos fallidos, duración de bloqueos temporales y condiciones para bloqueos permanentes, además de notificaciones por correo electrónico.

Parámetros de Configuración

Flujo de Protección

Comportamiento Detallado

• Bloqueo Temporal: Se aplica tras superar el límite de intentos fallidos. La IP queda bloqueada por el tiempo configurado (default 15 min). Al expirar, la IP recupera el acceso automáticamente.

• Bloqueo Permanente: Se activa cuando una IP acumula múltiples bloqueos temporales (default 3). Requiere intervención manual del administrador para desbloquear.

⏱️ Cierre de Sesión por Inactividad (PRO)

Cierra la sesión de los usuarios de los roles que elijas cuando pasan el tiempo indicado sin usarla. Evita que un panel olvidado abierto en un ordenador ajeno (oficina, hotel, cibercafé) quede a disposición de cualquiera.

• Minutos sin actividad: entre 5 y 1440 (24 horas). Por defecto, 30.
• Roles: por defecto, Administrador y Editor.
• Qué cuenta como actividad: el uso real (ratón, teclado, desplazamiento, toques) en cualquier pestaña del sitio. La comprobación periódica de WordPress en segundo plano (heartbeat) no cuenta.
• Aviso previo: un minuto antes aparece un aviso con el botón «Seguir conectado». Al cerrarse, el usuario vuelve a la pantalla de acceso con el mensaje «Tu sesión se ha cerrado por inactividad».

Cada dispositivo cuenta por separado: estar activo en el móvil no mantiene abierta la sesión olvidada en otro ordenador. Se configura en Seguridad Login → Login.

📬 Aviso de Inicio de Sesión Nuevo (PRO)

Cuando alguien entra en una cuenta desde un navegador o dispositivo que no se había usado antes, o desde un país nuevo, SeenSecure envía un email al propio usuario con los datos del acceso (fecha, dispositivo, IP y país).

• «Fui yo»: el dispositivo pasa a ser de confianza y no se vuelve a avisar por él. Solo funciona abriendo el enlace en el mismo navegador y dispositivo con el que se inició sesión: quien leyera el email desde otro sitio no puede marcar su equipo como de confianza.
• «No fui yo»: se cierran todas las sesiones de la cuenta, en cualquier dispositivo, y la contraseña actual deja de servir (el atacante la conoce). El titular recibe el email estándar de WordPress para elegir una nueva: el enlace del aviso nunca abre directamente el cambio de contraseña.
• Bloqueo de la IP sospechosa: al confirmar «No fui yo», la IP desde la que se entró queda en Gestión de IPs → Bloqueadas durante 30 minutos (configurable en la tarjeta; 0 = no bloquear), con su motivo en el historial, y se desbloquea sola. Así el atacante no puede volver a intentarlo mientras el titular cambia la contraseña. No se bloquea si es la misma IP desde la que se pulsa el botón (el titular se quedaría fuera) ni si está en la lista blanca.
• Administradores y Editores: el administrador del sitio recibe también una copia con los mismos botones (opcional, con su propio email).
• Seguro frente a los escáneres de correo: los botones abren una página de confirmación; la acción solo se ejecuta al pulsar en ella. Cada enlace sirve una sola vez y caduca a los 7 días.
• Sin avisos al activarla: la primera vez que cada usuario entra tras activarla, su dispositivo y su país se registran sin avisar.

El dispositivo se reconoce con una cookie propia del navegador; el país, con la misma geolocalización que el resto del cortafuegos. Se configura en Seguridad Login → Login.

🖥️ Límite de Sesiones Simultáneas (PRO)

Limita cuántas sesiones puede tener abiertas a la vez un mismo usuario de los roles que elijas (de 1 a 10). Si entra en un dispositivo nuevo cuando ya ha llegado al límite, antes de poder usar la web ve una pantalla con sus otras sesiones (navegador, IP y hora de inicio) y elige:

• «Cerrar aquella sesión y continuar aquí»: se cierra la sesión más antigua y entra en este dispositivo. Con límite 1 se cierra la otra; con 2, la primera de las dos; y así sucesivamente.
• «Cancelar y no entrar»: no entra y sus otras sesiones siguen abiertas.
• El otro dispositivo se entera: al volver a la pantalla de acceso ve que su sesión se cerró porque se entró en la cuenta desde otro dispositivo, con la recomendación de cambiar la contraseña si no fue él.
• Mientras no elige, no puede hacer nada: la sesión nueva no puede navegar ni usar AJAX ni la API REST hasta que responde.
• Nadie se queda fuera: siempre se puede cerrar otra sesión para entrar. Las sesiones que ya estaban abiertas al activarla se respetan.

¿Por qué limitar las sesiones?

Cada sesión abierta es una puerta a la cuenta. Sin límite, una contraseña robada o una cookie de sesión copiada se pueden usar a la vez que el titular sin que nadie lo note, y las sesiones olvidadas en otros equipos siguen abiertas durante días.

Qué ataques evita o delata

• Contraseña robada usada en paralelo (phishing, filtración, reutilización): con límite 1 el atacante no puede estar dentro a la vez que el titular sin echarle, y el titular ve el aviso. Cuando el titular vuelve a entrar, es al atacante a quien se echa.
• Secuestro de sesión con una cookie robada (malware en el navegador, red Wi-Fi pública): la cookie deja de servir en cuanto esa sesión se cierra.
• Cuentas compartidas entre varias personas, por ejemplo una suscripción o un curso de pago usado por varios a la vez.

Qué no hace: no impide entrar a quien ya conoce la contraseña; lo hace visible y le obliga a echar al titular. Combínalo con la verificación en dos pasos y el aviso de inicio de sesión nuevo.

Recomendado: 1 para Administradores; 2 o 3 si la misma persona usa ordenador y móvil. Se configura en Seguridad Login → Login.

🛡️ CAPTCHA

El sistema CAPTCHA protege tus formularios contra bots y ataques automatizados. Ofrece 7 modos de verificación diferentes para adaptarse a las necesidades de cada sitio.

Modos de CAPTCHA Disponibles

Formularios a Proteger

Puedes seleccionar en qué formularios se aplica el CAPTCHA:

• Login: Protege el formulario de inicio de sesión contra fuerza bruta.

• Registro: Evita creación masiva de cuentas falsas.

• Comentarios: Previene spam automatizado en comentarios.

• Recuperar Contraseña: Bloquea ataques de reset de contraseña.

Configuración de Google reCAPTCHA

Para los modos que usan Google reCAPTCHA (v2, v3, Híbrido), necesitas registrar tu sitio en Google reCAPTCHA Admin y obtener las siguientes claves:

Protección Anti-Abuso

🔑 Autenticación de Dos Factores (2FA)

La autenticación de dos factores añade una capa adicional de seguridad al requerir un segundo factor de verificación además de la contraseña. El sistema soporta TOTP (Time-based One-Time Password) mediante apps de autenticación y códigos por correo electrónico como alternativa.

Activación Inicial por el Administrador

Antes de poder configurar políticas globales de 2FA, el administrador debe activar 2FA en su propia cuenta. El sistema genera un código QR con el secreto TOTP que debe escanearse con una app de autenticación (Google Authenticator, Authy, Microsoft Authenticator, etc.).

Política Global de 2FA

Gestión de Usuarios

El panel de administración permite buscar usuarios, restablecer o deshabilitar 2FA para cuentas específicas y reenviar códigos de recuperación. Incluye tarjetas de estadísticas: Usuarios con 2FA, Sin 2FA, Estado de la política, Total de usuarios y Estado del código por email.

🚫 Anti-Secuestro de Sesión

Detecta cuando un usuario autenticado cambia repentinamente de país a mitad de sesión — la señal típica de que alguien ha robado sus credenciales o su cookie de sesión, por ejemplo tras interceptarla en una wifi pública o compartida. El sistema guarda el país desde el que cada usuario hace login y lo compara en cada petición posterior.

Parámetros de Configuración

Modos de Actuación

¿Qué son los códigos ISO de país?

Son las 2 letras estándar (norma ISO 3166-1 alpha-2) que identifican a cada país en internet — las mismas que usan los dominios de país (.es, .fr...) y los formularios de dirección. Se escriben en mayúsculas, separadas por coma si añades varias. No hace falta saberlas de memoria: basta con el país donde sueles conectarte tú o tu equipo.

¿Tu país no está en la tabla? Busca "código ISO 3166-1 alpha-2" seguido del nombre de tu país, o consulta la lista oficial completa en iso.org.

Notificación por Email

Al activar la casilla "Enviar email al administrador", recibirás un correo en la dirección de contacto de tu WordPress (Ajustes → Generales) cada vez que se detecte un cambio de país sospechoso en una sesión activa. El correo incluye el usuario afectado, el país original, el país desde el que se detectó el cambio y si la sesión fue cerrada o solo registrada, para que puedas actuar si lo consideras necesario aunque estés en modo Monitor.

Disponible en el plan PRO. Configurable desde Login & 2FA → Anti-Secuestro en el panel de SeenSecure.

👤 Cuentas Restringidas

El sistema de cuentas restringidas bloquea nombres de usuario comunes o peligrosos que los atacantes suelen utilizar. Cuando una IP intenta acceder con múltiples nombres restringidos, se bloquea automáticamente y se añade a la blacklist permanente.

Nombres de Usuario Bloqueados por Defecto

Puedes añadir o eliminar nombres de la lista. Los cambios se aplican inmediatamente.

Umbral de Bloqueo por IP

Configura cuántos intentos con nombres restringidos desde una misma IP provocan un bloqueo permanente en la blacklist con la razón login_blackname.

Resumen de Intentos Detectados

El panel muestra una tabla resumen con los últimos intentos de acceso usando nombres de usuario restringidos, incluyendo la IP, el nombre intentado, la fecha/hora y si resultó en bloqueo.

IPs en Blacklist por login_blackname

Lista de direcciones IP que han sido bloqueadas permanentemente por exceder el umbral de intentos con nombres restringidos. Puedes desbloquearlas manualmente desde la sección de Bloqueos Activos.

🏢 Bloqueo Automático de ASN (ataques distribuidos) (PRO)

Un ataque de fuerza bruta distribuido no viene de una sola IP: el atacante alquila decenas de IPs del mismo proveedor de servidores o proxys (el mismo ASN) y prueba usuarios y contraseñas cambiando de IP en cada intento. Como cada IP lo intenta solo una o dos veces, ninguna llega al límite de bloqueo por IP.

Esta protección cuenta las IPs distintas de cada proveedor que fallan el inicio de sesión dentro de una ventana de tiempo. Si llegan al mínimo, bloquea el proveedor entero durante el tiempo configurado.

• IPs distintas para bloquear: 5 por defecto (de 2 a 50).
• Ventana: 10 minutos por defecto (de 1 a 120).
• Tiempo de bloqueo: 60 minutos por defecto (de 5 minutos a 7 días). Al acabar, se levanta solo.
• Qué se bloquea: por defecto solo el login, XML-RPC y la URL de acceso personalizada. Opcionalmente, toda la web.
• Cuenta todos los fallos: contraseña incorrecta, CAPTCHA, huella del navegador, usuario restringido y XML-RPC.

Escalón previo: reto JS invisible

Antes de bloquear, SeenSecure prueba algo más suave. Con muy pocas IPs fallando (2 por defecto), el proveedor entra en vigilancia: durante 60 minutos, todas sus IPs reciben una comprobación invisible del navegador al abrir el login, wp-admin o la URL de acceso personalizada.

• Un navegador real la resuelve solo en milisegundos (una pequeña prueba de trabajo con la criptografía del navegador) y la persona ve el login con normalidad.
• Un bot de script (curl, Python…) no ejecuta JavaScript y se queda en la comprobación: no llega ni a enviar el formulario.
• Si fallan el login IPs que ya superaron el reto (bots con navegador automatizado como Puppeteer o Playwright), el proveedor se bloquea antes, sin esperar a las 5 IPs.
• Los proveedores con usuarios legítimos recientes nunca se bloquean: solo se quedan en vigilancia.
• No se aplica a XML-RPC (lo usan apps, que no pueden resolverlo) ni a quien ya tiene la sesión iniciada en el panel. En modo Monitor del firewall solo se registra.

Se ve en Gestión de IPs → ASN (tabla «ASN en vigilancia», con botón «Quitar vigilancia») y en el Traffic Log como asn_challenge. Se configura en la misma tarjeta (IPs para vigilancia y duración).

Salvaguardas

• Nunca bloquea el proveedor de usuarios que han iniciado sesión correctamente en los últimos 30 días (ni el tuyo).
• Las IPs de la lista blanca nunca se bloquean.
• Por qué solo el login por defecto: un ASN puede ser un operador entero (Movistar, Vodafone…); bloquear solo el acceso deja la web visible para todos.
• Con el firewall en modo Monitor, se registra pero no se bloquea.

Dónde se ve y cómo se desbloquea

En Gestión de IPs → ASN bloqueados aparece cada proveedor bloqueado con su motivo, cuántas IPs atacaron, el alcance y hasta cuándo dura, con un botón Desbloquear. Los bloqueos y desbloqueos quedan en el historial de Gestión de IPs y, si lo activas, recibes un email con el ASN, el proveedor y las IPs del ataque.

Ejemplo real

En octubre de 2026, una web protegida con SeenSecure recibió en pocos minutos intentos de acceso desde más de 45 IPs distintas, todas del mismo proveedor de proxys. Cada IP probó un usuario de diccionario (admin, wpadmin, root…) una sola vez. El CAPTCHA y la huella del navegador los frenaron uno a uno; con esta protección, al quinto atacante distinto se bloquea el proveedor completo y el resto del ataque ya no llega ni al formulario.

Se configura en Login y 2FA → Cuentas restringidas.

🛡️ Bloqueos Activos

La sección de Bloqueos Activos muestra todos los bloqueos temporales y permanentes actualmente activos. Permite gestionar usuarios e IPs que han sido bloqueados por actividades sospechosas, ofreciendo opciones para desbloquear manualmente.

Tabla de Bloqueos

La tabla incluye las siguientes columnas:

• Usuario/IP: Nombre de usuario o dirección IP bloqueada.

• Tipo: Permanente o Temporal, indicado con distintivo de color.

• Razón: Motivo del bloqueo (login fallidos, login_blackname, etc.).

• Intentos: Número de intentos fallidos registrados antes del bloqueo.

• Bloqueado Desde: Fecha y hora de inicio del bloqueo.

• Expira: Fecha de expiración (para bloqueos temporales).

Desbloquear

Cada fila de la tabla incluye un botón "Desbloquear" con confirmación. Al hacer clic, se solicita confirmación antes de eliminar el bloqueo. Esto evita desbloqueos accidentales.

📊 Historial de Eventos

El Historial de Eventos registra todas las actividades relacionadas con la seguridad de login: inicios de sesión exitosos y fallidos, bloqueos temporales y permanentes, desbloqueos manuales y cambios de contraseña. Proporciona filtros y paginación para facilitar la navegación.

Tipos de Evento

Filtros Disponibles

• Tipo de Evento: Desplegable para seleccionar un tipo de evento concreto (o "Todos").

• Nombre de Usuario: Campo de texto para filtrar por usuario específico.

• Dirección IP: Campo de texto para buscar eventos de una IP concreta.

Paginación y Visualización

• Filas por página: Selector con opciones 10, 20, 50, 100, 200.

• Paginación del lado del cliente: La navegación entre páginas se maneja en el navegador sin recargar.

• Banderas de país: Se muestran banderas desde códigos ISO de país para identificar el origen de los eventos.

🔑 Políticas de Contraseña

Exige una contraseña mínimamente robusta al crearla o cambiarla, tanto en la pantalla de restablecer contraseña como en el perfil de usuario de WordPress. El usuario ve en tiempo real, mientras escribe, qué requisitos le faltan — sin que se toque el formulario original de WordPress.

Requisitos configurables

Cada requisito es independiente: solo se exige el que actives.

Dónde se aplica

Se comprueba en las dos pantallas nativas de WordPress donde se establece una contraseña: la pantalla de restablecer contraseña (tras pedir «¿Olvidaste tu contraseña?») y el cambio de contraseña desde el perfil de usuario en el escritorio de WordPress. Si la contraseña no cumple los requisitos activados, WordPress rechaza el guardado con un mensaje indicando exactamente qué falta.

🔓 Contraseñas Filtradas (PRO)

Al crear o cambiar una contraseña (en el perfil, al dar de alta un usuario o con «¿Olvidaste tu contraseña?»), SeenSecure comprueba si ya ha aparecido en filtraciones de datos reales y, si es así, la rechaza: «Esta contraseña ha aparecido 23.547 veces en filtraciones de datos… Elige otra.» Usa el servicio público Pwned Passwords de Have I Been Pwned (más de 900 millones de contraseñas).

• Servicio de referencia mundial: Have I Been Pwned está integrado en Firefox (Mozilla Monitor) y en el gestor de contraseñas 1Password, y más de 40 gobiernos, como el Centro Nacional de Ciberseguridad británico (NCSC), Australia o Alemania (CERT-Bund), lo usan para vigilar sus dominios.
• La contraseña nunca sale de tu web (k-anonimato): se calcula su huella SHA-1 y solo se envían sus 5 primeros caracteres, que comparten cientos de contraseñas; la comparación se hace en tu servidor y las respuestas llevan relleno para que ni su tamaño dé pistas.
• Si el servicio no responde, la contraseña se deja pasar: nunca bloquea a nadie por una caída ajena.
• Opciones: rechazar si aparece al menos N veces (1 = cualquier filtrada, recomendado) y a qué roles se aplica (ninguno marcado = todos).
• Probar una contraseña: desde la tarjeta puedes comprobar cualquier contraseña sin guardarla.

Complementa a las Políticas de Contraseña: una contraseña puede cumplir todos los requisitos («Verano2023!») y aun así estar en las listas que usan los ataques de relleno de credenciales. Se configura en Seguridad Login → Políticas de Contraseña. El servicio es gratuito y no necesita clave.

🔧 Solución de Problemas

Un usuario o IP legítima quedó bloqueado

Ve a Login Security → Bloqueos Activos: ahí verás la tabla completa con motivo, número de intentos y si el bloqueo es temporal o permanente. Los bloqueos temporales expiran solos; para los permanentes, cada fila tiene su propio botón "Desbloquear" (con confirmación, para evitar desbloqueos accidentales). No hace falta esperar ni tocar la configuración general para liberar a una sola persona.

Mi equipo se bloquea constantemente al probar el login

Revisa primero el Historial de Eventos: filtra por vuestra IP para confirmar cuántos intentos fallidos reales estáis generando. Si el bloqueo viene por nombre de usuario restringido (razón login_blackname), es probable que estéis probando con un usuario de prueba genérico (admin, test, etc.) — usa siempre un nombre de usuario real para las pruebas. Si es por intentos fallidos normales, sube el Umbral de Bloqueo o registra vuestra IP en la whitelist del Firewall para que no cuente contra el límite.

Preguntas Frecuentes

¿Los bloqueos temporales necesitan que yo haga algo? No, expiran automáticamente. Solo los permanentes (típicamente por nombre de usuario restringido) requieren desbloqueo manual desde Bloqueos Activos.

¿Qué diferencia hay entre el bloqueo por intentos fallidos y por nombre de usuario restringido? El primero cuenta intentos de login fallidos normales; el segundo salta específicamente cuando alguien prueba nombres de usuario ya bloqueados por defecto (como "admin"), y su umbral de intentos-por-IP se configura por separado.

¿Puedo ver de dónde vienen los intentos de acceso? Sí, el Historial de Eventos y el resumen de intentos detectados muestran IP, fecha/hora y bandera del país de origen de cada intento.

¿El Anti-Secuestro de Sesión puede cerrar la sesión de alguien que viaja o usa VPN? Si el modo está en "Bloquear", sí — es su comportamiento esperado: cierra esa sesión concreta en cuanto detecta un cambio de país, que es justo lo que pasa al viajar o cambiar de VPN. No es un baneo: solo hace falta volver a iniciar sesión con normalidad. Si prefieres solo recibir el aviso sin cerrar la sesión, usa el modo "Monitor".

¿Las Políticas de Contraseña afectan a las contraseñas que ya existen? No, solo se comprueban al crear una cuenta nueva o al cambiar una contraseña activamente. Una contraseña antigua que no cumpla los requisitos actuales sigue funcionando para iniciar sesión hasta que se cambie.

¿Por qué no me exige mayúscula/número/símbolo si lo tengo activado? Comprueba que el Firewall (WAF) principal esté en modo Protección: si está en Monitor o apagado, la exigencia real se desactiva (el aviso en pantalla se sigue mostrando, pero solo como orientación).