Dos protecciones distintas
La protección por contraseña exige credenciales antes de mostrar el contenido de una carpeta. El bloqueo de IPs impide el acceso desde direcciones concretas. Se usan en situaciones diferentes y se pueden combinar.
Proteger un directorio
- Entra en Funciones Avanzadas.
- Abre Directorios Protegidos.
- Pulsa la opción para proteger una carpeta.
- Indica la ruta, por ejemplo /domains/su-negocio.mx/public_html/clientes.
- Escribe un título para el área. Ese texto aparecerá en la ventana que pide las credenciales.
- Crea el primer usuario con su contraseña.
- Guarda.
Para qué sirve
| Situación | Carpeta a proteger |
|---|---|
| Sitio en construcción que nadie debe ver | La raíz pública completa. |
| Área de descargas para clientes | La carpeta de descargas. |
| Entorno de pruebas en subdominio | La carpeta del subdominio. |
| Panel administrativo propio | Su carpeta, como capa extra sobre su login. |
Varios usuarios para la misma carpeta
Puedes añadir tantos usuarios como necesites al mismo directorio protegido. Eso permite revocar el acceso de una persona sin cambiar la contraseña de todas las demás.
Un aviso sobre WordPress
Proteger la carpeta wp-admin parece buena idea pero rompe funcionalidades que hacen peticiones internas a esa ruta, como el editor de bloques o las llamadas de plugins a admin-ajax.php. Si aun así quieres hacerlo, hay que excluir ese archivo. Para la mayoría de casos, una contraseña fuerte más doble factor en el propio WordPress protege mejor y no rompe nada.
Bloquear direcciones IP
- En Funciones Avanzadas, abre la herramienta de IPs bloqueadas.
- Escribe la dirección que quieras bloquear.
- Guarda.
El bloqueo impide el acceso a tu sitio desde esa dirección. Es útil ante un atacante concreto identificado en los registros, o para cortar un rastreador que consume recursos sin aportar nada.
Los límites del bloqueo por IP
Conviene tener expectativas realistas. Un atacante decidido cambia de dirección con facilidad, y la mayoría de escaneos automatizados llegan desde miles de IPs distintas. Bloquear direcciones sirve para casos puntuales, no como estrategia de seguridad.
Además, cuidado con bloquear rangos amplios: puedes dejar fuera a clientes legítimos que comparten proveedor de internet con quien te molestaba.
La protección va sobre HTTPS o no sirve
Las credenciales de un directorio protegido viajan en cada petición. Sobre HTTPS es seguro; sin certificado, circulan sin cifrar. Activa el SSL antes de apoyarte en esta protección para algo sensible.
Quitar la protección
Desde la misma pantalla, eliminando la entrada. Si protegiste un sitio en construcción, este es el paso que se olvida el día del lanzamiento: revísalo antes de anunciar nada.
