Descargar sitios web que utilizan Wordfence Login Security

Acerca de Wordfence Login Security

Instalar un plugin dedicado en exclusiva al inicio de sesión es una decisión más acotada que instalar una suite de seguridad, y precisamente ahí está la señal. Wordfence Login Security existe porque algunos administradores quieren autenticación de dos factores, CAPTCHA en la página de acceso y protección de XML-RPC en WordPress sin adoptar además un cortafuegos y un analizador de malware. Publicado por Defiant Inc. en 2019 con licencia GPL v3 y escrito en PHP, el plugin es la pieza desagregada de un producto mucho mayor, ofrecida por separado para quien solo quería esa pieza.

Su presencia describe por tanto a un administrador con criterio propio. O bien un producto de seguridad competidor ya ocupa el puesto del cortafuegos y la superficie de acceso era el hueco que quedaba, o bien el sitio se mantiene ligero a propósito y el propietario eligió el único control que responde al tráfico de relleno de credenciales que recibe toda instalación de WordPress, la esté vigilando alguien o no. En cualquier caso el operador es la misma clase de persona, alguien que ha mirado un registro de accesos y ha tomado una decisión deliberada en lugar de aceptar lo que venía por defecto. En octubre de 2026 registramos el plugin en 1534 sitios.

Es en la información de versiones donde una lista de plugins de seguridad se vuelve operativamente interesante, y también donde más cuidado hay que poner al leerla. En las instalaciones que podemos resolver aparecen 19 versiones distintas, y 9.0.1 se repite en buena parte de ellas. Una dispersión tan amplia en un plugin cuyo propósito entero es reforzar la autenticación es de por sí un hallazgo, porque una instalación que se ha quedado atrás funciona con un control de autenticación al que le faltan correcciones ya publicadas.

Los números de versión no se leen aquí desde un panel de administración, porque ningún rastreador tiene acceso a uno. La versión se infiere de las URL de recursos que la llevan como parámetro de consulta, de los archivos readme que algunas instalaciones dejan accesibles al público y de otras huellas que una instalación expone sin pretenderlo. Un sitio que las elimina, o que está detrás de una caché o de un optimizador que reescribe las URL de recursos, se resuelve sin versión alguna en lugar de con una equivocada. De modo que 19 cuenta las versiones distintas realmente observables, y el desglose por versiones cubre un subconjunto de los 1534 sitios y no todos ellos.

Para un dominio concreto la pregunta es lo bastante simple como para que una consulta la responda. Si este sitio tiene el acceso reforzado. Las preguntas de población son de otra naturaleza y no pueden armarse consulta a consulta. Qué plataformas de alojamiento dejan sus flotas de WordPress con versiones antiguas del plugin. Si la adopción de una nueva publicación ocurre en días o en trimestres. Qué tamaño real tiene el mercado abordable de un producto competidor de dos factores, y qué parte de ese mercado no paga hoy nada por esa función.

Los proveedores de seguridad que dimensionan un segmento, quienes investigan el comportamiento de parcheo de un ecosistema y las empresas de alojamiento que auditan lo que usan de verdad sus propios clientes necesitan todos los dominios, su plugin y la versión que se haya podido resolver, juntos en un único archivo. Los patrones de parcheo existen entre sitios y no dentro de ninguno en particular, y ese es exactamente el nivel al que una consulta por dominio no llega.