WordSec – Malware Scanner & Removal, Web Application Firewall (WAF), and 2FA

Descripción

WordSec is a complete WordPress security plugin. Eight modules cover the firewall, malware scanner, login security, live traffic, IP and country blocking, supply-chain intelligence, audit log and alerts, so you block attacks and harden your site from one dashboard instead of installing eight plugins.

If your site gets hacked you do not just lose the site. You lose customer trust, your search rankings, and days of work restoring backups. WordSec is built to stop that before it happens, and to help you recover if it already has: the scanner finds the malware, quarantine takes it out of the way, and modified core, plugin and theme files are repaired from their original copies.

Free, and no license key to enter. WAF firewall rules, malware and file-integrity scanning, brute force protection, two factor authentication, IP and country blocking, the audit log and one-click hardening all run locally on your own server.

Web Application Firewall (WAF)

• Custom rule builder with regex and wildcard matching
• Built-in rules for SQL injection, XSS, path traversal, PHP and command injection
• Learning and active modes, bot blocking, security headers, rate limiting
• 25+ hardening toggles for wp-config access, author enumeration and REST API
• Optional Extended Protection: pre-WordPress request inspection (opt-in, fully reversible)

Malware Scanner and Removal

• Malware detection rules across files, the database and scheduled tasks
• Core, plugin and theme file-integrity verification via the WordPress.org API
• Scheduled scans, one-click quarantine and restore
• Malware removal on a hacked site: quarantine a finding, or repair a modified core, plugin or theme file from its original copy

Login Security, Two-Factor Authentication (2FA) and Brute Force Protection

• Role-based two-factor authentication (RFC 6238 TOTP)
• reCAPTCHA, hCaptcha and Cloudflare Turnstile, plus a built-in math CAPTCHA
• Brute-force protection with progressive lockout, honeypot and login URL rename
• Leaked-password checking, session management, custom login page

Tráfico en vivo

• Real-time request logging with bot detection and CSV export
• Exclusion filtering by role, IP, country or URI

IP and Country Blocking

• Listas de permitidos o de bloqueo de países y continentes
• Bloqueo de IP individuales y rangos CIDR, temporal o permanente, con soporte de lista de permitidos

Supply Chain and Threat Intelligence

• Reputation scoring and abandoned-plugin detection
• Known-vulnerability alerts for core, plugins, themes and PHP
• Update-integrity verification with backups and an SBOM inventory

Registro de auditoría

• Seguimiento completo de la actividad en 11 tipos de objetos y 14 acciones

Alarmas

• 36 alert event types delivered by Email, Telegram or Slack

Every feature runs locally with no license key. Optionally, the WordSec service at wordsec.net supplies threat-intelligence data that cannot be produced locally: managed WAF rule sets, the malware signature feed, IP-reputation lists, the GeoIP database and vulnerability records. Connecting is optional and every external service is documented in «External services» below.

Servicios externos

WordSec está diseñado para ejecutarse localmente y, sin clave de licencia, no realiza ninguna petición saliente al servicio de WordSec. El filtrado principal de peticiones y el análisis de archivos se ejecutan en tu servidor. Los servicios enumerados a continuación se contactan únicamente para las funciones específicas descritas, y la mayoría de ellos solo cuando activas explícitamente esa función (o, en el caso de la API de WordSec, solo después de que actives una clave de licencia). Esta sección documenta todos los servicios de terceros a los que el plugin puede conectarse y los datos que recibe cada uno.

API de WordSec (api.wordsec.net)

WordSec funciona de forma gratuita sin licencia, en cuyo caso no contacta en absoluto con este servicio. Hay una licencia gratuita disponible para todo el mundo; una vez que activas una clave, el plugin se comunica con el servicio de WordSec con dos propósitos distintos:

1. Llamadas de servicio requeridas (solo mientras haya una clave de licencia activa): activación y validación de la licencia, y actualizaciones de datos de amenazas (reglas del firewall, firmas de malware, listas de reputación de IP, datos GeoIP, la lista de dominios de correo desechable y datos de vulnerabilidades conocidas). Estas habilitan las funciones respaldadas en la nube y no pueden realizarse localmente; sin clave, no se realiza ninguna de estas llamadas. El código local de aplicación de estas funciones (el motor del WAF, el escáner de malware, los filtros de bloqueo de IP y el filtro de restricción de registro) está siempre presente y activo; sin un feed actualizado, simplemente no tiene datos de inteligencia de amenazas con los que contrastar las peticiones.

* Cuándo: en la activación/validación y en las comprobaciones programadas de actualización de datos de amenazas.
* Datos enviados: la URL de tu sitio y la clave de licencia (utilizadas para autenticarte y vincular la licencia a este sitio) y, para las comprobaciones de actualización, las versiones actuales de los feeds de datos de amenazas que tengas instalados.

1. Telemetría opcional de uso/entorno (OPT-IN, DESACTIVADA de forma predeterminada): una instantánea anónima una vez al día utilizada para mejorar WordSec. Solo se envía después de que actives explícitamente «Compartir datos de uso y del entorno» (al activar la licencia o en Ajustes → Avanzado → Datos de uso) y se puede volver a desactivar en cualquier momento.

* Cuándo: una vez al día, solo mientras la opción esté activada.
* Datos enviados: una instantánea no personal del entorno del sitio (versiones del servidor, WordPress, PHP y base de datos, la lista de plugins y temas activos) y estadísticas agregadas de uso de funciones y de seguridad de WordSec. Nunca se envían contraseñas, credenciales de la base de datos, claves secretas ni direcciones de correo electrónico.

• Términos del servicio: https://wordsec.net/terms
• Política de privacidad: https://wordsec.net/privacy

Have I Been Pwned (api.pwnedpasswords.com)

Utilizado por la comprobación opcional de contraseñas filtradas para detectar si una contraseña aparece en filtraciones de datos conocidas, mediante k-anonymity.
* Cuándo: cuando un usuario establece o envía una contraseña y la comprobación de contraseñas filtradas está activada.
* Datos enviados: solo los primeros 5 caracteres del hash SHA-1 de la contraseña. La contraseña en sí y su hash completo nunca salen de tu sitio.
* Términos & privacidad: https://haveibeenpwned.com/Privacy

API de WordPress.org (api.wordpress.org, downloads.wordpress.org, wordpress.org, core.svn.wordpress.org, plugins.svn.wordpress.org, themes.svn.wordpress.org)

Se utiliza para verificar la integridad de los archivos del núcleo, plugins y temas de WordPress, para consultar información pública de plugins/temas (plugins_api/themes_api) para las puntuaciones de reputación de la cadena de suministro y las comprobaciones de integridad de actualizaciones, para descargar el paquete de idioma de la propia traducción de WordSec desde translate.wordpress.org cuando eliges un idioma de la interfaz que aún no está instalado (el mismo mecanismo que usa el propio WordPress cuando cambia el idioma del sitio) y, solo cuando haces clic en «Reparar» en un hallazgo del escáner, para descargar la copia original de un archivo modificado del núcleo/plugin/tema y poder restaurarlo. Las descargas de reparación obtienen archivos originales individuales de plugins.svn.wordpress.org / themes.svn.wordpress.org / core.svn.wordpress.org, recurriendo como alternativa a los paquetes completos de downloads.wordpress.org (zips de plugins/temas) y wordpress.org (zips de versiones del núcleo).
* Cuándo: durante los análisis de malware/integridad y las comprobaciones de reputación de la cadena de suministro, en una acción de reparación explícita y cuando guardas un idioma de la interfaz cuya traducción aún no está instalada.
* Datos enviados: la versión del núcleo de WordPress, el idioma del sitio y los slugs/versiones de los plugins/temas comprobados; para una descarga de idioma, el slug/versión del plugin y el idioma elegido.
* Términos y privacidad: https://wordpress.org/about/privacy/

RDAP (rdap.org)

Utilizado por la herramienta de búsqueda WHOIS/RDAP de la página Herramientas para mostrar información de titularidad de una dirección IP o dominio que inspecciones.
* Cuándo: solo cuando ejecutas la herramienta de búsqueda WHOIS/RDAP.
* Datos enviados: la dirección IP o el dominio que hayas elegido consultar.
* Términos & privacidad: https://about.rdap.org/

ipify (api.ipify.org)

Utilizado por el comprobador de listas negras y la herramienta de información del servidor de la página Herramientas para determinar la dirección IP pública propia de tu servidor.
* Cuándo: solo cuando ejecutas la herramienta «Comprobación de listas negras» o «IP del servidor».
* Datos enviados: una solicitud simple desde tu servidor; no se incluye ningún dato del sitio (el servicio simplemente devuelve la IP que hace la solicitud).
* Términos y privacidad: https://www.ipify.org/

Proveedores de listas de bloqueo DNS (herramienta Comprobación de listas negras)

La «Comprobación de listas negras» de la página Herramientas consulta listas de bloqueo basadas en DNS (DNSBL) para indicarte si la dirección IPv4 pública de tu servidor está incluida. Cada proveedor recibe una consulta DNS estándar que contiene la dirección IP de tu servidor en forma invertida. Se consultan cinco proveedores:
* Spamhaus ZEN (zen.spamhaus.org): https://www.spamhaus.org/privacy-notice/
* SpamCop (bl.spamcop.net), operado por Cisco: https://www.cisco.com/c/en/us/about/legal/privacy-full.html
* Barracuda Reputation Block List (b.barracudacentral.org): https://www.barracuda.com/company/legal/privacy-policy
* UCEPROTECT Level 1 (dnsbl-1.uceprotect.net): https://www.uceprotect.net/en/index.php
* PSBL (psbl.surriel.com): https://psbl.org/
Detalles:
* Cuándo: solo cuando haces clic en «Comprobación de listas negras» en la página Herramientas.
* Datos enviados: la dirección IPv4 pública de tu servidor, incrustada en cada consulta a las listas de bloqueo DNS.

Telegram Bot API (api.telegram.org)

Canal opcional de envío de alarmas. Activo solo cuando configuras tu propio token de bot e ID de chat de Telegram.
* Cuándo: cuando se dispara una alarma de seguridad que has activado y el envío por Telegram está configurado.
* Datos enviados: el texto del mensaje de la alarma (tipo de evento, nombre del sitio, contexto relevante de IP/usuario) al bot/chat que hayas configurado.
* Términos del servicio: https://telegram.org/tos
* Política de privacidad: https://telegram.org/privacy

Webhooks entrantes de Slack (hooks.slack.com)

Canal opcional de envío de alarmas. Activo solo cuando configuras tu propia URL de webhook entrante de Slack.
* Cuándo: cuando se dispara una alarma de seguridad que has activado y el envío por Slack está configurado.
* Datos enviados: el texto del mensaje de la alarma (tipo de evento, nombre del sitio, contexto relevante de IP/usuario) al webhook que hayas configurado.
* Términos del servicio: https://slack.com/terms-of-service
* Política de privacidad: https://slack.com/privacy-policy

Google reCAPTCHA (www.google.com, www.gstatic.com)

CAPTCHA opcional de inicio de sesión/registro. Activo solo cuando seleccionas reCAPTCHA y proporcionas tus propias claves.
* Cuándo: en los formularios de inicio de sesión y registro mientras esté activado.
* Cargado de forma remota: reCAPTCHA requiere que su script de widget (www.google.com/recaptcha/api.js, servido con recursos desde www.gstatic.com) se cargue desde Google en el navegador del visitante; se encola únicamente en esos formularios y solo mientras reCAPTCHA sea el proveedor seleccionado. La verificación del token es una llamada del lado del servidor desde tu sitio a www.google.com.
* Datos enviados: el token de respuesta del CAPTCHA, tu clave pública del sitio y la dirección IP del visitante.
* Términos del servicio: https://policies.google.com/terms
* Política de privacidad: https://policies.google.com/privacy

hCaptcha (hcaptcha.com, js.hcaptcha.com)

CAPTCHA opcional de inicio de sesión/registro. Activo solo cuando seleccionas hCaptcha y proporcionas tus propias claves.
* Cuándo: en los formularios de inicio de sesión y registro mientras esté activado.
* Cargado de forma remota: hCaptcha requiere que su script de widget (js.hcaptcha.com/1/api.js) se cargue desde hCaptcha en el navegador del visitante; se encola únicamente en esos formularios y solo mientras hCaptcha sea el proveedor seleccionado. La verificación del token es una llamada del lado del servidor desde tu sitio a hcaptcha.com.
* Datos enviados: el token de respuesta del CAPTCHA, tu clave pública del sitio y la dirección IP del visitante.
* Términos del servicio: https://www.hcaptcha.com/terms
* Política de privacidad: https://www.hcaptcha.com/privacy

Cloudflare Turnstile (challenges.cloudflare.com)

CAPTCHA opcional de inicio de sesión/registro. Activo solo cuando seleccionas Turnstile y proporcionas tus propias claves.
* Cuándo: en los formularios de inicio de sesión y registro mientras esté activado.
* Cargado de forma remota: Turnstile requiere que su script de widget (challenges.cloudflare.com/turnstile/v0/api.js) se cargue desde Cloudflare en el navegador del visitante; se encola únicamente en esos formularios y solo mientras Turnstile sea el proveedor seleccionado. La verificación del token es una llamada del lado del servidor desde tu sitio a challenges.cloudflare.com.
* Datos enviados: el token de respuesta del CAPTCHA, tu clave pública del sitio y la dirección IP del visitante.
* Términos del servicio: https://www.cloudflare.com/website-terms/
* Política de privacidad: https://www.cloudflare.com/privacypolicy/

ipwhois.io (ipwho.is)

Optional IP details service, disabled by default. All requests go over HTTPS with certificate verification, and none are made until you enable «External IP Lookup Service» in WordSec Settings (Visitor IP Handling section). It is used for exactly one thing: the «IP details» lookup in Live Traffic (country, region, city, ISP, organization, ASN). Traffic logging never contacts this service; country resolution during logging uses only the local GeoIP database.
* When: only while the External IP Lookup Service opt-in is enabled, and only on your click in the IP details lookup.
* Data sent: the IP address you chose to inspect.
* Terms of Service: https://ipwhois.io/terms
* Privacy Policy: https://ipwhois.io/privacy

VirusTotal (virustotal.com)

No se contacta automáticamente. El escáner muestra un enlace «Comprobar en VirusTotal» en el que puedes hacer clic para abrir VirusTotal en tu navegador para un archivo determinado.
* Cuándo: solo cuando haces clic en el enlace.
* Datos enviados: el hash del archivo contenido en la URL del enlace.
* Términos y privacidad: https://docs.virustotal.com/docs/privacy-policy

Qualys SSL Labs (ssllabs.com)

No se contacta automáticamente. La prueba «Comprobar salud SSL» de la página Herramientas se ejecuta por completo en tu propio servidor (abre una conexión TLS con tu propio dominio y lee el certificado). Junto a ella, un enlace «Análisis profundo (SSL Labs)» abre la prueba de Qualys SSL Labs en una nueva pestaña del navegador; a continuación, SSL Labs conecta con tu sitio desde el exterior y califica su configuración TLS. El enlace lleva el indicador «hide results», por lo que el informe no se publica en el tablón público de SSL Labs.
* Cuándo: solo cuando haces clic en el enlace «Análisis profundo (SSL Labs)».
* Datos enviados: el nombre de dominio de tu sitio, contenido en la URL del enlace.
* Términos: https://www.ssllabs.com/about/terms.html
* Privacidad: https://www.qualys.com/company/privacy/

Créditos

WordSec incluye las bibliotecas de terceros que se enumeran a continuación. Todas las bibliotecas se distribuyen bajo una licencia compatible con la propia licencia «GPLv2 or later» de WordSec. Cada biblioteca incluida conserva su aviso de licencia dentro del archivo o su archivo de licencia original, y el código fuente original completo (sin minificar) de cada una está disponible en el proyecto y la versión enlazados.

Bibliotecas PHP (`vendor/`)

TCPDF 6.11.3
* Licencia: LGPL-3.0-or-later
* Copyright: Nicola Asuni, Tecnick.com LTD
* Fuente: https://github.com/tecnickcom/TCPDF
* Archivo de licencia: vendor/tecnickcom/tcpdf/LICENSE.TXT
* Utilizado para: generación de informes/exportaciones en PDF

SimpleXLSXGen 1.5.x
* Licencia: MIT
* Copyright: (c) 2020-2022 Sergey Shuchkin
* Fuente: https://github.com/shuchkin/simplexlsxgen
* Archivo de licencia: vendor/shuchkin/simplexlsxgen/LICENSE
* Utilizado para: exportación a XLSX (Excel)

Bibliotecas JavaScript / CSS (`assets/*/vendor/`)

Select2 4.1.0-rc.0
* Licencia: MIT
* Copyright: Kevin Brown, Igor Vaynberg y los colaboradores de Select2
* Fuente: https://github.com/select2/select2
* Texto de la licencia: https://github.com/select2/select2/blob/master/LICENSE.md
* Archivos incluidos: assets/js/vendor/select2.min.js, assets/css/vendor/select2.min.css

ApexCharts 5.16.0
* Licencia: MIT
* Copyright: (c) 2018-2026 ApexCharts
* Fuente: https://github.com/apexcharts/apexcharts.js
* Texto de la licencia: https://github.com/apexcharts/apexcharts.js/blob/main/LICENSE
* Archivos incluidos: assets/js/vendor/apexcharts.min.js

jsVectorMap 1.7.0
* Licencia: MIT
* Copyright: (c) Mustafa Omar y los colaboradores de jsVectorMap
* Fuente: https://github.com/themustafaomar/jsvectormap
* Texto de la licencia: https://github.com/themustafaomar/jsvectormap/blob/master/LICENSE
* Archivos incluidos: assets/js/vendor/jsvectormap.min.js, assets/css/vendor/jsvectormap.min.css
* Utilizado para: visualizaciones del mapa mundial (Tráfico en vivo / Bloqueo / Firewall)

Datos del mapa mundial (world_mill), registrados como el mapa «world» de jsVectorMap
* Licencia: MIT
* Copyright: colaboradores de jvectormap-content; geometría del mapa derivada de Natural Earth (public domain)
* Fuente: https://www.npmjs.com/package/jvectormap-content
* Archivos incluidos: assets/js/vendor/world.js
* Utilizado para: la geometría de países representada por las visualizaciones del mapa mundial anteriores

qrcode-generator 1.4.4
* Licencia: MIT
* Copyright: Kazuhiko Arase
* Fuente: https://github.com/kazuhikoarase/qrcode-generator
* Texto de la licencia: https://github.com/kazuhikoarase/qrcode-generator/blob/master/LICENSE
* Archivos incluidos: assets/js/vendor/qrcode.min.js

Iconos / recursos

flag-icons (SVG de banderas de países)
* Licencia: MIT (marcado SVG); los diseños de las banderas en sí son de public domain
* Copyright: (c) 2013 Panayiotis Lipiridis
* Fuente: https://github.com/lipis/flag-icons
* Texto de la licencia: https://github.com/lipis/flag-icons/blob/main/LICENSE
* Archivos incluidos: assets/images/flags/*.svg (banderas de países, 4×3 viewBox="0 0 640 480")