¿Buscas una alternativa a Wordfence? Estas seis preguntas son las decisivas

Un plugin de seguridad rara vez se cambia por curiosidad. Normalmente hay un motivo: el sitio se ha vuelto lento, el buzón está lleno de avisos, o en una auditoría de protección de datos surgió la pregunta de qué envía realmente el plugin al exterior. Este texto ordena los motivos habituales y, para cada uno, indica la pregunta que tiene que responder una alternativa.

Motivo 1: demasiados avisos, muy pocos reales

El motivo más frecuente y el más peligroso: quien descarta con un clic tres hallazgos inofensivos cada semana acaba descartando también el real. Por eso, la pregunta para cualquier alternativa no es «¿cuántos patrones tiene?», sino cómo gestiona los falsos positivos.

Cómo reconocerlo: ¿dice la herramienta QUÉ busca? ¿Se puede aprobar un hallazgo, y caduca la aprobación si el archivo cambia? Kakapo Security vincula cada aprobación a la suma de comprobación del contenido leído: en cuanto se modifica algo en el archivo, el hallazgo vuelve a aparecer. Es incómodo y es lo correcto.

Un botón masivo de «aprobar todo» es una señal de alarma, no una comodidad. Es una amnistía general con un clic, justo para los casos que habría que haber revisado uno por uno.

Motivo 2: el sitio se ha vuelto lento

Un escaneo de decenas de miles de archivos necesita tiempo de proceso. Lo decisivo es si se lo toma cuando no hay nadie o en plena visita. Pregunta para la alternativa: ¿la pasada se ejecuta en pequeñas porciones con un presupuesto de tiempo, se puede pausar y, al volver a arrancar, continúa donde se quedó?

Segunda pregunta, que a menudo se olvida: ¿qué ocurre en cada visita a una página? Un firewall también la comprueba. Cuantas más reglas, más trabajo por petición, y más importante es que las reglas sean concisas y estén comprobadas en lugar de ser numerosas.

Motivo 3: no debe salir nada al exterior

Un plugin de seguridad ve intentos de inicio de sesión con nombres de usuario, direcciones IP, listas de archivos y contenidos de la base de datos. Si algo de eso se envía a un servicio, ese servicio debe figurar en tu registro de actividades de tratamiento. Pregunta para la alternativa: ¿qué sale del servidor y se puede desactivar?

En Kakapo Security, los patrones de firewall, los patrones de búsqueda y la lógica de comprobación están en el plugin. Hacia fuera solo va lo que configuras tú mismo: las sumas de comprobación del núcleo de WordPress desde api.wordpress.org y, si la indicas, tu propia fuente de vulnerabilidades. De serie, esta última está vacía.

Motivo 4: el inicio de sesión es el verdadero punto débil

La mayoría de las tomas de control no se producen por un fallo en el código, sino por una contraseña. Por eso, comprueba qué ofrece la alternativa en torno al inicio de sesión, más allá de limitar los intentos fallidos: mover la dirección de inicio de sesión, exigir contraseñas robustas, ver y cerrar las sesiones activas, una franja horaria para los inicios de sesión, una restricción por país de origen.

Y la pregunta incómoda sobre el doble factor: ¿basta con un código por correo electrónico o necesitáis una app de autenticación? Kakapo Security solo ofrece códigos por correo electrónico y así lo indica en la interfaz. Para muchas redacciones es suficiente. Quien necesite TOTP debe preguntarlo antes de cambiar.

Motivo 5: cuando llegó la emergencia, faltaba información

Después de un incidente no cuenta lo que se repelió, sino lo que se puede demostrar: quién inició sesión y cuándo, qué se modificó en los archivos, quién cambió qué ajuste. Pregunta para la alternativa: ¿hay un registro y se notan en él los cambios posteriores?

Kakapo Security encadena sus entradas de actividad y calcula la cadena frente a un valor de tu wp-config.php. Quien modifica o elimina una entrada rompe la cadena de forma visible. No es una caja fuerte, pero distingue un registro de una lista que se puede editar sin que nadie lo note.

Motivo 6: cinco plugins para cinco tareas

Seguridad, cookies, copias de seguridad, velocidad: un plugin por tema, cada uno con su propia interfaz, su propio inicio de sesión y su propia factura. Si ese es el motivo, la pregunta no es «¿qué plugin de seguridad?», sino si el resto de los módulos vienen del mismo proveedor y si se manejan igual.

La lista de comprobación, en resumen

Lo que ninguna alternativa puede hacer

Ningún plugin de WordPress sustituye a un firewall situado delante del servidor web, porque no se ejecuta hasta que PHP ya ha arrancado. Ninguno sustituye a tener las actualizaciones al día. Y ningún escaneo encuentra todo el código malicioso: encuentra lo que se parece a sus patrones. Quien tiene presentes estas tres frases elige de otra manera y con más calma.

Guarda el estado de referencia de tus archivos mientras se pueda demostrar que el sitio está limpio. Un estado guardado después de una infección convierte el código malicioso en el estado normal, y a partir de ahí ya nunca vuelve a llamar la atención.

Preguntas frecuentes