ARACNE
Escáner, endurecimiento y cortafuegos para WordPress, con reglas que Cerwall mantiene actualizadas
Qué es ARACNE
ARACNE es el plugin de seguridad de Cerwall para WordPress: puntúa la exposición del sitio, lo endurece y bloquea los ataques contra la web.
La versión gratuita comprueba lo que el sitio deja a la vista y da una puntuación de 0 a 100. También aplica el endurecimiento básico, sin licencia.
El add-on Pro añade un WAF con niveles de paranoia, bloqueo progresivo de IP, antibots y alertas. Recibe de Cerwall reglas actualizadas y una lista de reputación de IP formada con los bloqueos que comparten los sitios con ARACNE.
Se instala sobre el WordPress que ya tienes, sin cambiar de alojamiento. Si el servicio de Cerwall no responde, la protección del sitio sigue activa.
Para quién es
Pymes con su web en WordPress
La web la montó un proveedor y nadie revisa qué deja a la vista. ARACNE puntúa su exposición, aplica el endurecimiento básico y, con Pro, bloquea los intentos de acceso y las inyecciones.
Tiendas con WooCommerce
El carrito y el pago no pueden fallar por un bloqueo indebido. ARACNE tiene un perfil de comercio electrónico que deja fuera del filtrado las rutas de la tienda y aplica el WAF al resto del sitio.
Agencias que mantienen webs de clientes
Administran varios WordPress con MainWP o ManageWP, y los plugins de seguridad bloquean su propio gestor. El modo integrador de ARACNE deja pasar al gestor solo si acredita quién es, y la licencia de agencia cubre un lote de sitios.
Qué incluye
ARACNE SCAN
Comprueba lo que el sitio deja a la vista: ficheros de configuración y copias accesibles, usuarios enumerables, versión visible, XML-RPC activo, cabeceras ausentes y editor de ficheros abierto. Cada hallazgo resta según su riesgo, y el resultado es una puntuación de 0 a 100. Incluido en la versión gratuita.
- Escáner de exposición
- Puntuación
- Versión gratuita
ARACNE
Cierra lo que WordPress deja abierto por defecto: oculta la versión, impide enumerar usuarios, bloquea los ficheros de instalación, unifica los errores de acceso y desactiva el editor de ficheros. Con Pro, añade cabeceras de seguridad y una CSP construida a partir de los servicios que usa el sitio.
- Hardening
- Cabeceras de seguridad
- CSP
ARACNE WAF
Analiza cada petición —parámetros, cuerpo JSON, cookies y ruta— y suma puntos por cada patrón de ataque: inyección SQL, XSS, inclusión de ficheros, inyección de comandos, SSRF o XXE. Bloquea al pasar el umbral. Eliges el nivel de paranoia y un perfil para blog, WooCommerce o membresías.
- WAF
- SQLi
- XSS
- Niveles de paranoia
ARACNE REPUTACIÓN
El sitio recibe de Cerwall las reglas del WAF y una lista de reputación de IP, actualizadas de forma automática. La lista se forma con las IP que bloquean los sitios con ARACNE. Las de peor reputación se bloquean antes de llegar al WAF.
- Red de reputación
- Reglas actualizadas
ARACNE
Cada IP acumula puntos por accesos fallidos, ataques bloqueados, rutas cebo o ráfagas de errores 404. Al llegar al límite queda bloqueada, y cada reincidencia alarga el bloqueo. Los antibots cortan las herramientas automáticas sin bloquear a los buscadores, y el límite de intentos protege la página de acceso.
- Bloqueo progresivo
- Antibots
- Rate limit
ARACNE ALERTAS
Registra cada bloqueo en la base de datos del propio WordPress. Un panel resume las IP y los tipos de ataque más frecuentes. Avisa por correo o por webhook cuando los bloqueos se disparan, envía un resumen semanal y exporta los eventos a CSV o HTML.
- Alertas
- Informes
- Webhook
ARACNE INTEGRADOR
Para quien administra muchos sitios con MainWP, ManageWP, InfiniteWP o WP Remote. El gestor pasa sin bloqueos solo si acredita quién es: por IP, por un secreto en cabecera o por Application Password. Las actualizaciones de Pro llegan desde Cerwall al panel de cada WordPress.
- MainWP
- ManageWP
- Actualizaciones gestionadas
ARACNE
Si el servicio de Cerwall no responde, la protección local sigue funcionando. ARACNE no modifica wp-config.php, el núcleo, los temas ni otros plugins, y al borrarlo se elimina todo lo que ha añadido.
- Funcionamiento sin conexión
- Desinstalación limpia
En el panel de WordPress
Cada hallazgo, explicado
El escáner agrupa los hallazgos por riesgo y resta puntos según su gravedad. Cada uno explica qué es, por qué importa y si ARACNE puede corregirlo desde sus ajustes o depende de la instalación.
Reglas y reputación con fecha y versión
La pantalla de licencia muestra qué servicios recibe el sitio: la versión de las reglas del WAF, cuántas reglas tiene y hasta cuándo son válidas, y la versión de la lista de reputación de IP. Ahí se sincronizan a mano o se libera el puesto.
Qué se comparte, a la vista y desactivable
Aplicar la reputación y compartir las IP bloqueadas son dos opciones separadas. Cada una explica qué hace y qué datos envía. Dejar de compartir no impide seguir aplicando la lista.
Cada bloqueo, registrado y exportable
El registro guarda fecha, IP, ruta, método, navegador y la regla que decidió el bloqueo. Se filtra por fechas, tipo o texto y se exporta a CSV o HTML.
Casos de uso
Una web corporativa que nadie revisa
La web de una asesoría lleva años en WordPress y su proveedor la revisa una vez al trimestre. Nadie sabe qué ficheros quedan a la vista. Con la versión gratuita, el escáner señala una copia de la configuración accesible y el usuario «admin». Tras corregirlos y aplicar el endurecimiento, la puntuación sube y queda claro qué falta.
Intentos de acceso en una tienda
Una tienda con WooCommerce recibe intentos de acceso a su página de login desde muchas IP. Con Pro y el perfil de comercio electrónico, cada intento fallido suma puntos y la IP queda bloqueada, cada vez durante más tiempo. El carrito y el pago siguen funcionando, y el responsable recibe un correo cuando los bloqueos se disparan.
Una agencia con webs de clientes
Una agencia mantiene los sitios de sus clientes desde ManageWP, y su anterior plugin de seguridad bloqueaba esas conexiones. Con el modo integrador, el gestor pasa porque acredita su IP y su secreto, y el resto del tráfico se filtra igual. Cada sitio, staging incluido, ocupa un puesto de su lote de agencia.
Preguntas frecuentes
¿Qué pasa cuando terminan los 30 días de demo?
Las funciones Pro se desactivan y tu configuración se conserva. Se mantiene la versión gratuita: escáner y endurecimiento básico. Si contratas, se activa la misma clave y no hay que reinstalar nada. La demo se concede una vez por dominio, a solicitud y tras la revisión de un comercial. Queda ligada a ese dominio: una copia de pruebas tiene que estar en él o en un subdominio suyo.
¿Cómo se instala ARACNE?
En tres pasos. Primero ARACNE Security, el plugin gratuito: se descarga en aracne.cerwall.com/descargar y se sube desde Plugins → Añadir nuevo plugin. Después ARACNE Pro, que se descarga desde la cuenta de cliente y requiere el gratuito activo. Por último, en ARACNE → Licencia se introduce la clave, se acepta el contrato de licencia y se activa.
¿Qué incluye la versión gratuita de ARACNE?
El escáner de exposición y el endurecimiento básico. El escáner comprueba ficheros sensibles accesibles, usuarios enumerables, versión visible y configuración insegura, y da una puntuación de 0 a 100. El resto de módulos forma parte del add-on Pro.
¿Qué datos salen de mi WordPress?
Con la versión gratuita, ninguno, salvo que actives el aviso de instalación: identificador de la instalación, dirección del sitio, correo del administrador y versiones. Con Pro, el plugin valida la licencia con la clave, el identificador de la instalación, la dirección y el nombre del sitio y las versiones de ARACNE Pro y de WordPress. También comparte las IP que ha bloqueado, con el motivo, el número de bloqueos y las fechas; nunca la URL, el navegador, el usuario ni el contenido de la petición. Ese envío se desactiva en ARACNE → Ajustes. Ningún componente envía contenido del sitio, usuarios, pedidos ni datos de los visitantes. Todo va por HTTPS y solo a aracne.cerwall.com. Las alertas y el resumen semanal los envía tu propio WordPress.
¿Qué ocurre si el servicio de Cerwall no responde?
La protección local sigue funcionando. Si la licencia deja de ser válida, Pro deja de aplicar sus módulos y el sitio mantiene la protección de la versión gratuita. La clave y la configuración no se borran.
¿Funciona con mi alojamiento y mis plugins?
Sí, si el sitio usa WordPress 5.6 y PHP 7.4 o versiones superiores. ARACNE se instala como un plugin más, sin cambiar de alojamiento. Tiene perfiles para WooCommerce y membresías, y excepciones por regla, parámetro y ruta.
¿Cuántas webs cubre una licencia?
Una licencia Pro cubre un WordPress. Para agencias e integradores hay lotes de 5, 10 o 25 puestos con una sola factura. Cada instalación activa ocupa un puesto, también los entornos de staging y de desarrollo. Para pasar de la copia de pruebas al sitio publicado, se desactiva la licencia en la copia, o se libera el puesto desde la cuenta de cliente, y se activa en el publicado. El precio se estudia con cada cliente: solicita un presupuesto.
¿Qué cambia ARACNE en mi sitio y cómo se desinstala?
Guarda su configuración y sus registros dentro de la instalación de WordPress. No modifica wp-config.php, el núcleo, los temas ni otros plugins. Al borrar cada plugin se elimina todo lo suyo, también en multisitio; desactivarlo sin borrarlo conserva la configuración. Antes de borrarlo, libera el puesto en ARACNE → Licencia → Desactivar: borrar el plugin no lo libera. El detalle está en la documentación técnica, en aracne.cerwall.com/documentacion.
ORIGEN DEL NOMBRE
Aracne, tejedora de Lidia que desafió a Atenea y acabó convertida en araña. Su tela, tendida en el borde de la web, retiene lo que intenta cruzarla.
