Wordfence vs. Kakapo Security: ¿qué protección encaja?

Un plugin de seguridad se juzga en dos días: el día en que repele algo y el día en que se equivoca. El primero aparece en todas las descripciones de producto. El segundo, en ninguna, y sin embargo es el que decide si el plugin sigue activado al cabo de medio año. Esta comparativa ordena Wordfence y Kakapo Security según ambos.

La respuesta corta

Wordfence es el plugin de seguridad más conocido para WordPress, con una versión gratuita, un firewall propio y un escáner de malware que trabaja con firmas del fabricante. Parte de su fuerza está, expresamente, fuera de la propia instalación: las firmas y los datos de amenazas vienen del proveedor.

Kakapo Security sigue el camino contrario. Incluye un firewall de patrones, un escaneo, una comparación de los archivos del núcleo con las sumas de comprobación de api.wordpress.org y una serie de bloqueos de inicio de sesión, y todo ello funciona en tu servidor, sin consultar a ningún servicio. A cambio, no hay una base de datos de firmas mantenida ni un filtro de IP basado en reputación.

En resumen: quien quiere una base de datos de amenazas mantenida de forma continua y una forma gratuita de empezar acierta con Wordfence. Quien quiere entender qué se busca exactamente, no desea entregar datos a un servicio de seguridad y ya usa otros plugins de Kakapo encuentra en Kakapo Security la herramienta más adecuada.

Lo que pueden hacer ambos

• Limitar los intentos fallidos de inicio de sesión y bloquear direcciones
• Doble factor en el inicio de sesión
• Comprobar si los archivos han cambiado y contrastar el núcleo de WordPress con el original
• Un escaneo de wp-content en busca de patrones sospechosos
• Un registro de lo que se ha repelido y de quién ha iniciado sesión
• Notificación cuando algo llama la atención

En este nivel, los dos apenas se diferencian. La diferencia está en DE DÓNDE viene el conocimiento con el que se busca.

En qué se diferencian

La diferencia que solo se nota al cabo de semanas: los falsos positivos

Todo escaneo que encuentra algo encuentra también algo erróneo. Un plugin que avisa cada semana de tres archivos inofensivos deja de leerse a la tercera vez, y entonces el hallazgo real también pasa desapercibido. La forma de gestionar esta cuestión diferencia más a las herramientas que el número de sus patrones.

Para ello, Kakapo Security mantiene en el código fuente distribuido una lista de los enfoques descartados según las mediciones, con el número de falsos positivos por el que fracasaron: alta densidad de secuencias \xNN (23 archivos legítimos), nombres de función troceados en dos fragmentos (2, por una biblioteca muy extendida), líneas muy largas (429), caracteres no imprimibles (179), backticks abiertos (49). Esta lista está en la interfaz, no en una wiki para desarrolladores.

Un plugin de seguridad cuyo resumen está permanentemente en rojo ya no protege nada: solo acostumbra a descartar avisos con un clic. Tras dos semanas de funcionamiento, comprueba cuántos avisos eran reales.

Lo que Kakapo Security expresamente NO hace

Esto tiene cabida en una comparativa honesta, porque decide la elección:

• Sin doble factor con app de autenticación: los códigos llegan por correo electrónico. Quien necesite TOTP necesita un plugin adicional.
• Sin base de datos de firmas mantenida. El escaneo busca patrones, no programas maliciosos conocidos por su nombre.
• Sin comparación de vulnerabilidades de serie. Se puede introducir la dirección de una fuente, pero no se incluye ninguna.
• Sin firewall en la nube delante del sitio web. Las reglas se ejecutan en PHP, es decir, solo cuando WordPress ya está arrancando.

Quien necesite una de estas cuatro cosas no debería cambiar solo porque el resto encaje.

Dónde están los datos

Un plugin de seguridad ve más de un sitio web que cualquier otro: intentos de inicio de sesión con nombres de usuario, direcciones IP de los visitantes, listas de archivos, contenidos de la base de datos. Por eso, la cuestión de adónde va algo de todo eso no es un detalle secundario, sino parte del encargo del tratamiento.

Kakapo Security no consulta nada para su detección. Los patrones de firewall, los patrones de búsqueda y la lógica de comprobación están en el plugin; hacia fuera solo va lo que configuras tú mismo: las sumas de comprobación del núcleo de WordPress desde api.wordpress.org y, si la has indicado, tu propia fuente de vulnerabilidades. No hay ningún paso intermedio por un servicio del fabricante.

Cuándo Wordfence es la mejor opción

• Quieres empezar sin presupuesto
• Quieres una base de datos de firmas y vulnerabilidades mantenida de forma continua, sin tener que ocuparte tú
• Necesitas doble factor con una app de autenticación
• Quieres bloquear direcciones de atacantes conocidos a partir de una fuente común

Cuándo Kakapo Security es la mejor opción

• Quieres poder consultar qué se busca: cada patrón figura en el código fuente
• No quieres que nada se envíe a un servicio de seguridad, ni siquiera metadatos
• Necesitas un registro en el que se noten los cambios posteriores
• Gestionas varios sitios y quieres administrarlos con una sola licencia
• Ya usas Consent, Backup o los demás módulos

El cambio: qué hay que hacer

1. Anota qué reglas estaban activas en el plugin antiguo, sobre todo las listas de bloqueo y las excepciones.
2. Instala Kakapo Security e introduce la clave de licencia.
3. Pon primero el firewall en «Observar» (en alemán: „Beobachten“) y déjalo funcionar en paralelo durante una semana.
4. Revisa el registro del firewall: si aparece tráfico real de tus visitantes, una regla es demasiado amplia.
5. Solo después, cambia a «Bloquear» (en alemán: „Blockieren“).
6. Guarda una vez el estado de referencia de los archivos mientras se pueda demostrar que el sitio está limpio.
7. Desactiva el plugin antiguo en lugar de eliminarlo, durante dos semanas.

Activar dos firewalls a la vez no es el doble de seguridad, sino el doble de fuentes de error. Uno avisa y el otro bloquea; si no, nunca sabrás cuál ha rechazado algo.

Preguntas frecuentes