El filtrado por país le permite bloquear visitantes de países seleccionados, o permitir únicamente a países seleccionados, aplicado en el servidor sobre la dirección IP de cada visitante. Esta guía cubre los dos modos, cómo configurarlos de forma segura, qué puede y qué no puede hacer esta función, y por qué nunca puede dejarlo fuera de KPanel.
Dónde se encuentra el filtrado por país en KPanel
El filtrado por país tiene su propia entrada en el menú izquierdo del sitio: abra Configuración, luego Bloqueo por país. También puede acceder desde la página de Seguridad del sitio:
- Inicie sesión en KPanel.
- Haga clic en Sitios web en la barra lateral izquierda y luego haga clic en el sitio.
- Abra la página Seguridad del sitio. En un sitio de WordPress o WooCommerce es WordPress, luego Seguridad. En un sitio estático, PHP, Node.js, Python o Ruby es Configuración, luego Seguridad.
- Busque la tarjeta Filtrado de IP por país y haga clic en Configure.
La dirección directa es /websites/<site-id>/security/geo-block.
La tarjeta de la página de Seguridad también resume el estado actual sin necesidad de abrir la página completa: cuántos países están seleccionados y si se están bloqueando o permitiendo.
Los dos modos
Bloquear seleccionados. Se permite todo el tráfico excepto el de los visitantes de los países que marque. Utilice esta opción para excluir una fuente específica de abuso mientras mantiene el sitio abierto para todos los demás. Esta es la opción segura por defecto y la elección correcta la mayoría de las veces.
Permitir solo seleccionados. Se bloquea todo el tráfico excepto el de los visitantes de los países que marque. Utilice esta opción cuando un sitio realmente sirve a un único mercado y a ningún otro, por ejemplo una herramienta interna o un servicio con licencia regional.
Las solicitudes bloqueadas reciben un HTTP 403.
El modo de permitir solo seleccionados es una herramienta mucho más contundente de lo que parece. Bloquea a los rastreadores de motores de búsqueda, a los verificadores de disponibilidad, a las devoluciones de llamada de proveedores de pago y a los remitentes de webhooks que resulten originarse fuera de su lista permitida, no solo a los visitantes humanos. Si lo utiliza, prepárese para añadir países que no había considerado, y vigile su tráfico después.
Configuración
- Abra la página de filtrado por país.
- Elija Bloquear seleccionados o Permitir solo seleccionados.
- Utilice el cuadro de búsqueda para encontrar países por nombre o por código de dos letras, y haga clic en cada uno para marcarlo. El encabezado muestra un recuento en tiempo real y un enlace Borrar todo.
- Haga clic en el botón de la parte inferior, que indica Apply to seguido del número de países que ha elegido.
Las reglas entran en vigor en el servidor en el momento en que las guarda. No hay retraso de propagación ni caché que esperar.
Cualquier cambio sin guardar se marca con una nota Cambios sin guardar junto al botón, de modo que no pueda abandonar una regla a medio hacer suponiendo que ya se aplicó.
La protección contra listas de permitidos vacías
El modo de permitir solo seleccionados con cero países seleccionados significaría "permitir solo estos cero países", lo cual equivale a bloquear a todos los visitantes del planeta y dejar su sitio completamente fuera de línea.
Esa combinación se rechaza. Si intenta guardarla, recibirá un error indicándole que añada al menos un país o que vuelva al modo de bloqueo. El rechazo ocurre en el navegador y de nuevo en el servidor, de modo que no existe ninguna vía para aplicarlo por accidente.
Para desactivar por completo el filtrado, borre todos los países mientras está en el modo Bloquear seleccionados y guarde. El botón cambia a Borrar reglas, y a partir de ese momento se permite todo el tráfico de nuevo. La página lo confirma: sin países seleccionados, se permite todo el tráfico.
No puede dejarse fuera de KPanel
Esta es la pregunta que todo el mundo se hace, y la respuesta es tranquilizadora.
KPanel se sirve desde su propio dominio independiente. Una regla de país que cree aquí se aplica a su sitio web, no al panel de control, así que incluso una regla que bloquee su propio país nunca afecta a su capacidad de iniciar sesión, editar la regla o eliminarla.
El peor escenario posible es que se bloquee a sí mismo el acceso a su propio sitio web, y eso se soluciona en KPanel en cuestión de segundos.
Qué puede y qué no puede hacer
El filtrado por país se aplica sobre la dirección IP del visitante, lo que lo hace preciso para el tráfico habitual y fácil de eludir para quien quiera hacerlo.
Sí hará lo siguiente:
- Reducirá una gran cantidad de escaneos automatizados y abuso de bajo esfuerzo procedentes de un país específico.
- Reducirá la carga y el ruido en los registros provenientes de regiones a las que no da servicio.
- Aplicará una política de acceso geográfico sencilla.
No hará lo siguiente:
- Detener a un atacante decidido. Cualquiera que use una VPN o un proxy aparentará estar en otro lugar, y la propia página lo indica claramente.
- Aplicar de forma fiable un límite legal o de licencia. No lo trate como una medida de cumplimiento normativo.
- Distinguir a un visitante legítimo que viaja al extranjero de uno no deseado. Un cliente de vacaciones recibirá un 403.
Trátelo como un filtro general que reduce el volumen, no como una barrera de seguridad. Para una barrera real, utilice autenticación: consulte Proteger un sitio con contraseña.
Combinación con otros controles
El filtrado por país es uno de varios controles de acceso disponibles en el mismo sitio, y se combinan entre sí:
- El Bloqueo de IP se dirige a direcciones o rangos individuales. Mejor cuando sabe exactamente quién es el problema. Consulte Seguridad del sitio.
- La Protección contra ataques de fuerza bruta de inicio de sesión vigila los intentos fallidos de inicio de sesión y bloquea la fuente automáticamente, lo que gestiona el ataque más habitual sin tener en cuenta la geografía en absoluto.
- La Protección con contraseña exige credenciales a todo el mundo, en cualquier lugar, y es la única de estas opciones que constituye realmente una barrera.
- La Protección hotlink impide que otros sitios incrusten su contenido multimedia, lo cual es un problema de ancho de banda más que de acceso.
Si su problema real son los intentos de fuerza bruta contra un inicio de sesión de WordPress, el endurecimiento del inicio de sesión ya se encarga de ello y el filtrado por país aporta poco. Si su problema es el scraping, el filtrado por país junto con la protección hotlink forman una combinación razonable.
Solución de problemas
Visitantes legítimos informan de un 403. Compruebe si su país está en su lista de bloqueo, o si falta en su lista de permitidos. Los clientes que viajan y las redes móviles que enrutan a través de otro país son las explicaciones habituales.
El tráfico de búsqueda cayó tras activar el modo de permitir solo seleccionados. Los rastreadores lo alcanzan desde fuera de sus países permitidos y están siendo bloqueados. Añada los países que utilizan los rastreadores, o cambie al modo de bloqueo y liste únicamente los países que realmente quiere excluir.
El monitoreo de disponibilidad empezó a fallar. El verificador está siendo bloqueado. Consulte Monitoreo de la disponibilidad del sitio, donde el motivo del incidente mostrará el 403.
Dejaron de llegar devoluciones de llamada de pagos o webhooks. Los servicios de terceros llaman a su sitio desde su propia infraestructura, esté donde esté. El modo de permitir solo seleccionados suele ser el culpable.
El guardado falló con un mensaje sobre el servidor. La regla no se pudo aplicar, y se restauró su configuración anterior en lugar de dejarla aplicada a medias. Inténtelo de nuevo, y si sigue fallando, abra un ticket.
Quiero bloquear una sola dirección abusiva, no un país. Utilice en su lugar la lista de bloqueo de IP en la página Seguridad del sitio. Es mucho más precisa y no tiene ninguno de los efectos colaterales.
Páginas relacionadas
- Seguridad del sitio para la página completa de seguridad, incluyendo el bloqueo de IP y el endurecimiento del inicio de sesión.
- Proteger un sitio con contraseña cuando necesite una barrera de acceso real.
- Analítica de tráfico del sitio para ver de qué países proviene realmente su tráfico antes de bloquear alguno de ellos.