BotBlocker Security – Complete security platform

Descripción

BotBlocker Security es una plataforma de seguridad completa que bloquea el 99 % de los ataques antes de que WordPress cargue. Cortafuegos, detección de bots, limitación de velocidad, CAPTCHA, 2FA, analíticas, notificaciones, herramientas: un plugin reemplaza toda su pila de seguridad: no necesita plugins separados de cortafuegos, CAPTCHA, 2FA y anti-spam. Sin sobrecarga, sin cuotas mensuales para la protección principal.

Si su sitio recibe ataques de fuerza bruta en el acceso, comentarios spam, Googlebots falsos, raspadores de contenido o inundaciones XML-RPC, no está solo: los bots generan más del 47 % de todo el tráfico web. La mayoría de los plugins de seguridad reaccionan después de que WordPress arranca, desperdiciando CPU y memoria en cada solicitud maliciosa. BotBlocker los detiene en la puerta, y luego le proporciona las analíticas, alertas y herramientas para entender exactamente qué bloqueó y por qué.

Debido a que BotBlocker intercepta el tráfico antes de que los temas y plugins se ejecuten, también protege las vulnerabilidades en toda su pila de plugins y temas. Los días cero en plugins de formularios de contacto, código de deslizador sin parchear, extensiones de comercio electrónico obsoletas: los atacantes nunca llegan al código vulnerable. BotBlocker es su primera y última línea de defensa, todos los días.

Por qué los propietarios de sitios cambian a BotBlocker

• Más rápido que la competencia. Se ejecuta en el inicio temprano a través de tres capas de interceptación, antes de que los temas y plugins carguen. La carga del servidor disminuye durante los ataques en lugar de aumentar. Cero consultas a la base de datos para visitantes recurrentes: 11 archivos PHP pregenerados con integridad SHA-256, cargados mediante include nativo.
• Un plugin, pila de seguridad completa. Cortafuegos, CAPTCHA, 2FA, antispam, limitación de velocidad, detección de bots: BotBlocker cubre prácticamente todas las necesidades de seguridad que tiene un sitio WordPress. La mayoría de los usuarios desinstalan 2-3 plugins separados después de cambiar. PRO añade escaneo de malware, cabeceras de seguridad, optimización de velocidad y análisis de comportamiento: sigue siendo un plugin.
• Detección de bots más inteligente. 2.899 firmas de User-Agent: la lista negra más grande entre los plugins de WordPress, además de más de 2.800 firmas de bots adicionales. 13 comprobaciones de cabecera que incluyen detección de AdBlock, detección de modo incógnito, huella digital de Canvas/WebGL y verificación de API de dispositivo. La puntuación antidetección con 9 señales ponderadas captura Chrome headless, Puppeteer, Selenium y PhantomJS incluso cuando falsifican cadenas de user-agent.
• CAPTCHA más inteligente. 9 modos que incluyen Silent Auto-Verify: cero clics para humanos, muro duro para bots. Los CAPTCHA propietarios derrotan a los solucionadores basados en IA que descifran reCAPTCHA por $2-3 por cada 1.000.
• Versión gratuita honesta. Cortafuegos completo, los 9 modos de CAPTCHA, 2FA completo, registro completo, multisitio completo, Redis/Memcached, shortcodes, paleta de comandos, alertas de Telegram, analíticas visuales, 15 herramientas de diagnóstico. Sin pantallas de insistencia, sin funciones limitadas.
• Privacidad primero. Ningún dato de visitantes sale de su servidor. Cumple con GDPR y CCPA de fábrica.
• Funciona con todo. Cloudflare, WP Rocket, LiteSpeed, WooCommerce, Elementor, multisitio, IPv6, PHP 7.4 a 8.5.

🛡️ Cortafuegos del núcleo (gratis)

• Three-Layer Architecture – intercepts traffic at wp-config.php (before WordPress), MU-plugin phase, and main shield. Known threats are blocked before WordPress, plugins, or themes load – saving 30-100ms and 5-20MB RAM per blocked request. Zero-day attacks on other plugins never reach the vulnerable code.
• Cortafuegos de aplicaciones web (WAF) con actualizaciones de reglas en tiempo real a través del feed de defensa contra amenazas de BotBlocker
• 2.899 firmas de User-Agent + más de 2.800 de bots – la lista negra más grande entre los plugins de WordPress, que cubre Scrapy, Selenium, Puppeteer, PhantomJS, curl, wget, Python, Java, Perl, herramientas de inyección SQL
• Protección contra fuerza bruta con bloqueos progresivos – 5 intentos cada 15 minutos, prohibiciones escalonadas
• Rate Limiting – sliding window velocity per IP. 30 req/min triggers CAPTCHA; 50/min blocks IP for 10 min. Subnet aggregation catches distributed attacks. Floor protection prevents false positives.
• Antispam para comentarios, registro, formularios de contacto
• XML-RPC y API REST bloqueados por defecto con lista de permitidos para servicios de confianza
• HTTP method-level hardening – CONNECT and TRACE blocked (XST attack prevention). OPTIONS handled for CORS preflight.
• Detección de rastreadores falsos mediante FCrDNS (verificación DNS bidireccional), tokens de ASN y rangos de IP publicados – 95 % de eficacia, imposible de falsificar sin controlar la zona DNS del proveedor.
• Gestión de rastreadores LLM / IA – permite o bloquea GPTBot, ChatGPT-User, ClaudeBot, PerplexityBot, Bytespider mediante rangos IP verificados por CIDR (1.435 sincronizados desde la nube).
• Reglas de bloqueo por país, ASN, rango de IP, User-Agent, Referer con aplicación instantánea. Base de datos de ASN: 3,6 millones de registros verificados. Geobloqueo con selector visual de países e importación/exportación.
• Consciente de Cloudflare: resolución de IP real y protección contra elusión de origen
• Huella TLS (JA3/JA4) – detecta bots por la firma del handshake TLS, valida de forma cruzada con el User-Agent. 189 firmas. Opcional, requiere módulo del servidor.
• Bloqueo RKN (Roskomnadzor): 852 rangos CIDR, sincronizados con la nube, actualizados automáticamente con recuperación autocurativa ante manipulaciones
• Compatibilidad total con IPv6 – tablas y lógica separadas para IPv4 e IPv6
• Supervisión del tráfico en directo con asignación de ataques, país, ASN, dispositivo, navegador, motivo del bloqueo
• Caché integrada mediante Redis y Memcached: gratuita, se desactiva automáticamente si falla la conexión

🔍 Detección de bots y antidetección (gratis)

13 HTTP header checks run on every visitor, catching bots others miss:

• User-Agent vacío / Anomalías de UA / Accept-Language vacío
• Discordancia PTR/DNS: discordancia entre DNS directo e inverso, imposible de falsificar
• Discrepancia entre geolocalización e idioma – el idioma declarado difiere del país del visitante
• Detección de modo incógnito/privado
• Detección de AdBlock/uBlock en el navegador del visitante
• Huella de lienzo y WebGL – verificación de la coherencia de JS
• Vista previa de WhatsApp / Preflight de OPTIONS: tráfico legítimo en lista blanca

Página de desafío anti-detección se activa cuando los chequeos de cabeceras levantan sospechas: huella digital del navegador silenciosa antes de que aparezca cualquier CAPTCHA:

• 9 señales ponderadas: navigator (×2), plugins falsos (×3), renderizado de fuentes (×2), WebGL (×2), propiedades de Chromium (×3), jitter de JS, eventos táctiles (×2), idioma (×3), incógnito (×2)
• Las combinaciones de señales críticas activan el bloqueo inmediato
• Prueba de capacidad de cookies + contador de reintentos de sessionStorage
• Las respuestas firmadas con HMAC resisten la interferencia de proveedores DDoS
• Disyuntor: 3 fallos → enfriamiento de 30 segundos → reintento automático
• El CAPTCHA aparece solo si falla la verificación automática

🎯 Sistema CAPTCHA – Los 9 modos gratis

9 CAPTCHA modes, all free: Silent Auto-Verify (recommended – zero clicks, silent JS fingerprint check), Simple Button, Color Buttons, Image CAPTCHA (5 packs: Eagle, Horse, Raccoon, Dog, Cat), reCAPTCHA v2 (+ Button), Dynamic Shapes (60fps Canvas, 25 combinations), Dynamic Digits, Hold Button (hold in the green zone).

• Modo híbrido – CAPTCHA interno + reCAPTCHA v3 invisible, defensa de dos capas
• Modo de resistencia a DDoS – las respuestas firmadas con HMAC evitan la elusión de desafíos falsificados
• Verificación del token de sesión – huella sin cookies para alojamiento restringido
• CAPTCHA Diagnostics – failure reason codes (token decrypt, transient, hash, mode mismatch)
• Entrega de imágenes: Base64 integrado (una sola solicitud, recomendado) o solicitudes separadas (compatible con la caché)

🔒 Seguridad de acceso y 2FA (gratis)

• Two-Factor Authentication (Google Authenticator, Authy, 1Password, Bitwarden) – TOTP, 10 backup codes
• 9 modos de CAPTCHA en el acceso, registro, contraseña perdida y formularios personalizados
• Modo híbrido – CAPTCHA interno + reCAPTCHA v3, defensa invisible de dos capas en el acceso
• Ocultar URL de acceso (PRO)
• Escalada de bloqueo configurable – CAPTCHA fallido = prohibición corta, reincidencia = prohibición de 24 horas

💳 Omisión de la pasarela de pago (gratis)

Detecta automáticamente más de 25 plataformas de comercio electrónico (WooCommerce, Easy Digital Downloads, SureCart, MemberPress, Paid Memberships Pro, Give, Dokan, CartFlows, FunnelKit y más) y más de 150 proveedores de pago (Stripe, PayPal, Mollie, Adyen, Braintree, Square, Razorpay, Klarna, Paddle, Authorize.Net, YooKassa, LiqPay y más), además de webhooks de plugins de formularios (Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms).

Cuatro capas de detección – 198 patrones de ruta, 227 claves de consulta, 360 nombres de acción, 114 cabeceras de firma – garantizan cero falsos positivos. Los webhooks, las devoluciones de llamada IPN y los avisos de pago nunca se bloquean.

📊 Visibilidad y control (gratis)

• Escritorio visual – tarjetas KPI (Solicitudes, Bloqueados, Motores de búsqueda permitidos, Puntuación de protección), gráfico de barras por hora, gráficos de anillo (Alojamiento, Dispositivo, Navegador, SO)
• Tarjeta de prueba social del Escritorio – valoración / puntuación en vivo de WordPress.org, recuento de instalaciones, valoraciones, enlace a WP.org (en caché 12 h)
• Widget integrado de reglas de IP – añadir reglas de permitir/bloquear IP mediante ajax. Importación por lotes con 4 botones de un clic (lista blanca/negra IPv4/IPv6)
• Lista de verificación del estado de protección – cambiar / alternar por función con acción por lotes «Activar restantes»
• Indicador de puntuación de salud – 44 parámetros, 3 categorías, 5 niveles desde Crítico (<25) hasta Seguro (≥85), actualizar en tiempo real
• 3 preajustes de seguridad – Ligero, Fuerte, Completo – configuración con un clic. Además, Por defecto para nuevas instalaciones
• Asistente de configuración – 8 pasos, menos de 5 minutos
• Paleta de comandos ⌘K – Ctrl+K / ⌘K en cualquier página de administrador / administración para buscar cada ajuste, pestaña y acción. Más de 30 atajos de acción rápida. Configuración con casi cero clics
• Analíticas interactivas – 8 métricas KPI, gráficos de anillo, gráfico de líneas de tráfico, asignar mundial, clasificaciones de IP y países principales
• 55 diagnostic event codes across 12 log categories – exact block reason for every decision
• Registro detallado de eventos – IP, país, ASN, User-Agent, navegador, sistema operativo, dispositivo, motivo exacto del bloqueo
• 17 idiomas de interfaz – English, Deutsch, Español, Français, Polski, Русский, Українська, العربية, עברית, Italiano, 日本語, 한국어, Nederlands, Português, Svenska, Türkçe, 中文 + POT
• Barra de cabecera de página de administrador / administración – «Bloqueados hoy: X · Total: Y» en cada página de administrador / administración
• Nodo de la barra de administración – estado de protección + enlaces al Escritorio + Ajustes
• Retención configurable con reconocimiento de zona horaria/horario de verano, Resumen diario con agregación incremental
• Control de X-Robots-Tag – directivas SEO (noindex, nofollow, noarchive, nosnippet, noimageindex, notranslate, unavailable_after) en páginas bloqueadas o de desafío – sin indexación de las barreras de seguridad por parte de los motores de búsqueda
• Clean uninstall – drops 17 tables, 40+ options, 22+ transients, 12 cron hooks, MU-plugin files, uploads/botblocker/. Departure feedback dialog. Zero leftover data

📬 Avisos y alertas (gratis)

• Informes por correo electrónico – resúmenes de seguridad diarios, dos veces por semana o mensuales. Advertencias críticas de carga del servidor y alertas de caducidad de la API de la nube.
• Integración con bot de Telegram (extensión) – resúmenes semanales de seguridad a través de @BotFather: solicitudes, permitidas, bloqueadas, sospechosas, bots de búsqueda/falsos, zona horaria, modo de protección, puntuación de seguridad, tasa de bloqueo. Botón de prueba de conexión. Extensiones → Avisos de Telegram.
• Alertas del Escritorio de administrador / administración (8 tipos) – nube perdida, archivos de tiempo de ejecución faltantes, API caducada, visitas agotadas, actualización de ASN/extensión fallida, extensión incompatible, incompatibilidad de caché

🧩 Shortcodes y herramientas para desarrolladores (gratis)

20 shortcodes para portada / vista pública / parte pública de Escritorio, portales de clientes y páginas de estado.
* Conectores WP (WordPress 6.7+) – Conector nativo de WordPress en la página de administración de Conexiones
* Variable de verificación personalizada (bbcs-verify) – desacoplada de la estructura de Enlace permanente
* WordPress Administrador / administración → Herramientas → Estado del sitio → Información integración
* Inyección del registro de cambios en la actualización del plugin – registro de cambios mostrado en la pantalla de actualización del plugin
* Widget flotante de es compatible con / dar soporte – enviar tiques / entradas de es compatible con / dar soporte desde el Escritorio sin salir del sitio

🔧 Herramientas y diagnósticos (gratis)

15 acciones de mantenimiento y diagnóstico integradas en el panel de administración:

Exportar datos y ajustes Copia de seguridad completa en JSON de ajustes, reglas, listas de IP
Importar datos y ajustes Restaurar desde copia de seguridad JSON
Reinstalar base de datos Restablecer de fábrica todas las tablas de BotBlocker
Reparar y optimizar DB Reparación y optimización de la base de datos de WordPress
Vaciar todos los datos de visitantes Purgar visitas, contadores y estadísticas
Vaciar datos transitorios Quitar / eliminar datos transitorios caducados de WordPress
Actualizar base de datos ASN Descargar la última base de datos de geolocalización ASN con 3,6 millones de registros
Actualizar lista RU-Gov Descargar la última lista de bloqueo CIDR de RKN con 852 rangos
Sincronizar proveedores LLM Actualizar 1.435 rangos de IP de rastreadores de IA desde la nube
Vaciar cookies de visitantes Restablecer todas las cookies de BotBlocker – fuerza la reverificación
Restablecer reglas de reescritura de URL Corrección de errores 404 después de cambios en el Enlace permanente
Vaciar caché de objetos Vaciar cachés de WordPress + Redis/Memcached
Estado del sitio Abrir el diagnóstico de Estado del sitio de WordPress
Vaciar registro de depuración / Descargar registro de depuración Purgar o descargar wp-content/debug.log

🚀 Añadidos PRO (Premium / Pro / Ultimate)

• Cloud Threat Intelligence – 5M+ attack IPs cross-checked globally. Zero-day behavioral and heuristic detection catches unknown attack patterns before signatures exist. VPN, Tor, proxy, ASN, hosting reputation checks.
• Early Init Mode – filtering before WordPress Core loads via wp-config.php boot code. Saves 30-100ms and 5-20MB RAM per blocked request. Multisite-aware, auto-disables if Cloud API inactive. Self-healing runtime files.
• Ocultar URL de acceso – slug de URL de administrador / administración personalizado. Cuatro comportamientos en la URL por defecto: 403, 404, redirección a inicio / página de inicio, redirección personalizada. La detección de slug reservado evita conflictos de página.
• Cabeceras de seguridad – despliegue de MU-plugin antes de que se carguen los plugins. HSTS, CSP con lista blanca de dominios personalizados, X-Frame-Options, X-Content-Type-Options, Permissions-Policy. Detecta automáticamente los dominios de reCAPTCHA Google + API de BotBlocker en CSP.
• Acelerar WordPress – 14 optimizaciones de portada / vista pública / parte pública y servidor: desactivar emojis, jQuery Migrate, dashicons, estilos globales, incrustar, feed RSS, XML-RPC, ocultar versión de WP, enlaces cortos, autopingbacks.
• Escáner de malware – más de 25 patrones de detección: cadenas eval(), ofuscación base64, scripts inyectados, marcadores de webshell. Preprocesador de desofuscación. Exploración de archivos (núcleo, plugins, temas, subir, rutas personalizadas) + base de datos (entradas, wp_options, usuarios, cron). Comparador de Fuente de verdad. Exploración programada en segundo plano (cada hora hasta 5 días). Gravedad: Crítico a Info. Confianza: Reseña / valoración a Confirmado.
• Protocolo HTTPS – redirección 301 de HTTP→HTTPS. Corrección automática de contenido mixto mediante búfer de salida. Detección de SSL detrás de 7 cabeceras de proxy (Cloudflare, balanceadores de carga).
• Alerta de cookies – banner ligero de consentimiento de cookies propias. Texto personalizado, enlace a la política, etiqueta del botón, posición, tema, CSS personalizado. Accesibilidad WP: aria-label, atributos de perfil. Duración de la cookie de 1 año.
• Motor de análisis de comportamiento – detección de bots con IA de 3 capas. Gratis: velocidad RPM + presión de subred. Pro: puntuación multiseñal (velocidad, diversidad de URI, profundidad de sesión, tiempo, consistencia del referer). Reputación: seguimiento de IP/subred con decaimiento diferida. 3 preajustes rápidos.
• Tareas cron – gestión, supervisión y depuración avanzadas del cron de WordPress
• Fuente de verdad – verificación de integridad de archivos contra referencias conocidas y correctas del núcleo de WordPress, plugins y temas. Detecta archivos modificados, añadidos y faltantes. Ignorados por archivo y comodín. Exploración programada en segundo plano.
• Túnel XMLRPC – XML-RPC seguro a través de variables en la lista de IP permitidas. Formatos de entrada IPv4/IPv6/CIDR/comodín. Resolución de IP real multicabecera. Bloqueo automático de acceso no incluido en la lista de permitidos.
• Es compatible con / dar soporte prioritario – tiempo de respuesta de 24 horas

Four plans to match your traffic: Premium ($12/month, 25k cloud checks), Pro ($50/month, 100k cloud checks), Ultimate ($100/month, 250k cloud checks + emergency 24h support). Annual billing includes 1 month free. 30-day refund policy. Licensed per domain via Freemius.

Comparar planes →

⚡ Rendimiento y compatibilidad

• Zero database queries for returning visitors – 11 runtime PHP files with SHA-256 integrity, loaded via include
• Sobrecarga medida: +3-15 ms de TTFB para visitantes en caché, +50-200 ms en las primeras búsquedas PTR, +2-4 MB de memoria
• Más de 100 ajustes configurables sin afectar al rendimiento
• Compatibilidad con Redis y Memcached – gratis, se desactiva automáticamente de forma controlada si falla la conexión
• Cache plugin compatibility – automatic DONOTCACHEPAGE and cache-bypass headers (Cache-Control: no-store, X-LiteSpeed-Cache-Control: no-cache, X-Accel-Expires: 0, CDN-Cache-Control: no-store, private, Surrogate-Control: no-store, max-age=0) covering PHP caches, Nginx, CDN edge, and surrogate caches in one pass. Works with WP Super Cache, W3 Total Cache, WP Rocket, LiteSpeed, Hummingbird, WP Fastest Cache, Cache Enabler, Swift Performance.
• Compatibilidad con CDN y WAF – Cloudflare, Sucuri, Incapsula, AWS CloudFront, Fastly, KeyCDN, StackPath. Resolución de IP real multicabecera (CF-Connecting-IP, X-Forwarded-For, X-Real-IP)
• DDoS Protection Compatibility – auto-detects JS-challenges from DDoS-Guard, Stormwall, Qrator. HMAC-signed AJAX responses, Circuit Breaker with retry/backoff. The only WordPress plugin that works correctly behind aggressive DDoS protection without manual configuration.
• Fatal Error Hive Mode – during PHP fatal errors from other plugins or themes, renders an emergency page instead of a white screen, preserving the security barrier.
• Compatibilidad con multisitio – activación en red, datos por sitio, ajustes, limpieza. Gratis en todos los planes.
• PHP 7.4 – 8.5, probado en 7 versiones. WordPress 5.1 – 7.0+. Linux y Windows.
• Más de 50 versiones de SO detectadas – Windows 95-11, macOS, Android, iOS, Chrome OS, distribuciones de Linux, HarmonyOS, Fire OS, KaiOS, Tizen, FreeBSD, consolas de juegos
• Más de 50 navegadores identificados – Opera, Edge, Vivaldi, Brave, Samsung Internet, UC Browser, Yandex, DuckDuckGo, Tor, Headless Chrome, Lynx/ELinks y más
• Cumple con el RGPD y la CCPA – sin PII, solo parámetros técnicos, base de interés legítimo (art. 6.1.f)