About this plugin
Ocho herramientas independientes en un solo panel. Todas las secciones se abren desplegadas: al entrar ves el estado completo del sitio sin tener que ir pulsando.
1. Detección de publicidad intrusiva. Analiza las páginas y entradas de tu propio sitio según los Better Ads Standards de la Coalition for Better Ads: pop-ups que tapan el contenido, banners fijos, vídeo con sonido automático y densidad excesiva de anuncios.
Puede analizar desde el servidor o dentro del navegador, que ve también lo que se inyecta con JavaScript.
2. Escáner de código malicioso. )), iframes ocultos, escritura de archivos desde parámetros de la petición y patrones similares.
Los hallazgos en archivos se te informan con la ruta, la línea y el fragmento, para que los revises tú con una copia de seguridad delante: el plugin no los toca. Lo que aparece en el contenido de entradas y páginas sí se puede limpiar con un clic, porque vive en la base de datos y se puede deshacer.
3. Monitor de integridad. Guarda una línea base de los archivos y avisa cuando cambian.
org, así que distingue un archivo legítimo modificado de uno que no debería estar ahí. En pantalla solo salen los cambios realmente peligrosos, explicados; el resto va por email.
4. Auditoría de configuración. html delatando la versión y archivos PHP donde no debería haberlos.
No hace ninguna petición de red.
5. Auditoría de usuarios. Busca nombres de acceso previsibles ( admin, root, test ), exceso de cuentas con permisos totales y perfiles que firman los artículos con el mismo nombre con el que entran al escritorio.
6. Archivos sensibles expuestos. git/config, registros de errores, listados de carpetas, enumeración de autores y la lista de usuarios por la API REST.
7. Cabeceras de seguridad HTTP. Lee las cabeceras que tu servidor envía con la portada (HSTS, protección contra enmarcado, nosniff, Referrer-Policy, CSP) y te dice cuáles faltan, para qué sirve cada una y dónde se configuran.
8. Alertas por email, protección y automatización. 9 o superior), limpieza programada del contenido de entradas y páginas, y webhook opcional.
Además, un resumen en la cabecera reúne la puntuación de cada bloque y una lista de lo más urgente, con un botón que ejecuta todas las revisiones seguidas.
Qué toca y qué no
El plugin no modifica, no borra y no renombra ningún archivo de tu sitio, ni el núcleo, ni el tema, ni los plugins, ni nada que haya en wp-content. Tampoco crea archivos: los ajustes, el registro y la línea base de integridad se guardan con la API de opciones de WordPress.
Lo único que puede cambiar es el contenido de tus entradas y páginas, que está en la base de datos: ahí sí retira las inyecciones confirmadas, guarda antes el original y el botón “Deshacer” lo repone. Esa limpieza es manual salvo que actives la programada en los ajustes, que viene desactivada.
Cuando el hallazgo está en un archivo, el plugin te da la ruta, la línea y el fragmento sospechoso, y lo deja ahí. Arreglar un archivo infectado es una decisión que conviene tomar con una copia de seguridad hecha y, si es del núcleo o de un plugin, casi siempre la respuesta correcta es reinstalarlo en vez de editarlo.
External services
Este plugin no envía datos a ningún servicio del autor ni descarga definiciones de ningún servidor. Las firmas de malware son las que vienen en el código.
Hace conexiones salientes en tres casos, todos bajo tu control:
-
Tu propio sitio. Para analizar la publicidad, para sondear archivos expuestos y para leer las cabeceras HTTP, el plugin pide URLs públicas de tu propia web (las mismas que ve cualquier visitante) y examina la respuesta. No sale de tu dominio y solo ocurre cuando pulsas el botón correspondiente.
-
org. El monitor de integridad usa la función get_core_checksums() del propio WordPress para obtener las sumas de verificación oficiales de tu versión del núcleo. Solo se envían la versión de WordPress y el idioma.
org: términos y privacidad.
-
Webhook de alertas (opcional, desactivado de fábrica). Si escribes una URL de webhook en los ajustes, el plugin enviará a esa dirección un mensaje de texto con el título de la alerta y la lista de rutas afectadas. La dirección la eliges tú (Slack, Discord, Telegram o la que quieras) y el envío solo ocurre si el campo está relleno.
Si lo dejas vacío, no se envía nada a ninguna parte. Consulta los términos y la política de privacidad del servicio que uses como destino.