Tu sitio web se abre en el navegador, pero UptimeWire dice que está caído y da como motivo el código de estado 403, el 429 o una página de comprobación de seguridad. En la mayoría de los casos el sitio está bien. Algo que hay delante de él, como Cloudflare, un plugin de seguridad o el cortafuegos del alojamiento, toma nuestras comprobaciones por robots no deseados y las rechaza.

No es un fallo de la protección. Nuestras comprobaciones llegan desde servidores en centros de datos, no tienen ningún navegador detrás y llegan según un calendario, y eso es justo lo que la protección contra bots está diseñada para frenar. La solución es decirle a la protección que estas pocas direcciones son de tu monitor.

Señales de que la protección bloquea nuestras comprobaciones

Qué ves en UptimeWire Qué suele significar
Código de estado 403 mientras el sitio se abre para ti Un cortafuegos o una protección contra bots rechaza a los robots
Una página de «comprobando tu navegador» o «Just a moment», a veces con el código de estado 503 Una página de desafío. Nuestras comprobaciones no ejecutan scripts y no pueden superarla
Código de estado 429 Un límite de frecuencia: demasiadas solicitudes desde una misma dirección
Código de estado 401 La página pide una contraseña. Nuestras comprobaciones no inician sesión
Las comprobaciones fallan solo desde algunas ubicaciones Una regla bloquea ciertos países o redes

Cuando una prueba en el formulario del sitio web o una comprobación reciente recibe una de estas respuestas, el panel muestra un enlace: «¿Tienes problemas? Lee cómo dejar pasar nuestras comprobaciones». Abre una versión corta de esta guía con nuestras direcciones actuales.

Paso 1. Toma nuestras direcciones

Nuestras comprobaciones llegan desde una lista corta y fija de servidores. La lista actual, con una dirección por línea, está siempre en app.uptimewire.com/ips.txt. La misma lista con la ubicación de cada dirección está en app.uptimewire.com/ips.json, pensada para scripts.

Cuando añadimos una ubicación de comprobación, su dirección aparece en la lista el mismo día. Si copiaste las direcciones a mano, vuelve a mirar la lista cuando empiecen a fallar las comprobaciones desde una ubicación nueva.

Nuestras comprobaciones también se presentan con el nombre UptimeWireBot/1.0 (+https://uptimewire.com). Puedes usarlo para encontrar nuestras solicitudes en un registro. No permitas el paso solo por este nombre: cualquiera puede enviar el mismo nombre, así que una regla de permiso basada en él es una puerta abierta. Permite por dirección.

Warning

Permite solo nuestras direcciones. No desactives la protección contra bots ni el cortafuegos de todo el sitio para que el monitor pase.

Paso 2. Permite las direcciones

Busca abajo la protección que usa tu sitio. Los nombres de los menús cambian de vez en cuando, así que los tuyos pueden ser algo distintos de los de aquí.

Cloudflare, plan Free

En el plan Free, Bot Fight Mode es el motivo habitual del bloqueo. La documentación de Cloudflare dice que no se puede omitir con una regla personalizada. Sin embargo, no se activa cuando una regla de acceso por IP coincide antes con la solicitud. Así que tienes dos opciones:

  1. Añade una regla de acceso por IP para cada dirección. En el panel de Cloudflare, abre tu sitio, ve a Security rules y luego a Create rule → IP access rules. En el panel antiguo, la misma herramienta está en Security → WAF → Tools. Escribe una de nuestras direcciones, elige la acción Allow, aplícala a este sitio web y añade una nota como «Comprobaciones de UptimeWire». Repite con cada dirección de la lista.
  2. O desactiva Bot Fight Mode. Ve a Security → Settings, filtra por Bot traffic y desactiva Bot Fight Mode. Esto deja pasar también a otros robots, así que la primera opción es mejor.

Una regla de acceso por IP con Allow también deja pasar nuestras comprobaciones por tus reglas personalizadas, tus reglas de límite de frecuencia y las reglas gestionadas.

Cloudflare, Pro, Business y Enterprise

Los planes de pago usan Super Bot Fight Mode, y una regla personalizada con la acción Skip puede saltárselo:

  1. Ve a Security rules → Create rule → Custom rules.
  2. Ponle nombre a la regla, por ejemplo «Comprobaciones de UptimeWire».
  3. En las condiciones, elige el campo IP Source Address, el operador is in y escribe nuestras direcciones.
  4. Elige la acción Skip. Marca All remaining custom rules, All rate limiting rules, All managed rules y All Super Bot Fight Mode rules. Entre los productos, marca Browser Integrity Check y Security Level.
  5. Despliega la regla y muévela al principio de la lista.

Si el sitio está en el modo Under Attack, cada visitante recibe una comprobación del navegador que nuestras comprobaciones no pueden superar. Permite nuestras direcciones como se describe aquí y, si las comprobaciones siguen fallando, añade también reglas de acceso por IP para ellas.

Plugins de seguridad de WordPress

Añade nuestras direcciones a la lista de permitidos del plugin:

  • Wordfence: Wordfence → Firewall → All Firewall Options, y luego el campo de direcciones IP permitidas (allowlisted; las versiones antiguas las llaman whitelisted). Una dirección por línea.
  • Solid Security: el ajuste Authorized IPs en los ajustes globales.
  • All-In-One Security: la lista de permitidos en los ajustes del cortafuegos.
  • Shield Security: IP Rules → crea una nueva regla de IP → añádela a la lista de omisión (bypass).

Si tu sitio WordPress también está detrás de Cloudflare, permite las direcciones en los dos sitios.

Cortafuegos del alojamiento

En un alojamiento compartido normalmente no puedes cambiar el cortafuegos tú mismo. Envía la lista al soporte del alojamiento y pídele que permita estas direcciones para tu sitio. Si administras tú el servidor, usa la herramienta que tenga:

  • Imunify360 (cPanel, WHM, Plesk): abre el cortafuegos de Imunify360, añade cada dirección y elige la lista blanca.
  • CSF: añade cada dirección con un comentario, por ejemplo csf -a 203.0.113.10 UptimeWire.
  • fail2ban: añade las direcciones a ignoreip en jail.local, separadas por espacios, y luego recarga fail2ban.
  • ModSecurity: añade, por encima de las demás, una regla que desactive el motor de reglas para nuestras direcciones, por ejemplo:
SecRule REMOTE_ADDR "@ipMatch 203.0.113.10,203.0.113.11" "id:1000100,phase:1,pass,nolog,ctl:ruleEngine=Off"

Sustituye las direcciones de ejemplo por las de nuestra lista.

Sucuri, AWS WAF, Akamai e Imperva

  • Sucuri: en el panel del cortafuegos de Sucuri, abre tu sitio y luego Access Control, escribe una dirección en Allow IP Addresses y selecciona Allow.
  • AWS WAF: crea un conjunto de IP (IP set) con nuestras direcciones, las IPv4 como /32 y las IPv6 como /128, y añade una regla con la acción Allow por encima de Bot Control y de tus límites de frecuencia.
  • Akamai e Imperva: añade las direcciones a la lista de permitidos de tu política de seguridad o de tu protección contra bots. Si no la gestionas tú, envía la lista a quien la gestione.

Países y centros de datos bloqueados

Nuestras comprobaciones llegan desde varios países. Si una regla bloquea países, continentes o redes de centros de datos, pon la regla de permiso de nuestras direcciones por encima de ella. Si no, solo pasan algunas ubicaciones y los resultados parecen aleatorios.

Otras respuestas que no son un bloqueo

  • 429, demasiadas solicitudes: permite nuestras direcciones también en el límite de frecuencia o elige un intervalo más largo entre comprobaciones.
  • 401, una contraseña: nuestras comprobaciones no inician sesión. Monitoriza en su lugar una página pública, como la página de inicio o una pequeña página de estado del servicio.
  • 503, una página de mantenimiento: el monitor tiene razón, el sitio no atiende a los visitantes. Para los trabajos que planifiques, anota un mantenimiento programado para el sitio web, así no enviará alertas.

Paso 3. Comprueba que funciona

  1. En UptimeWire, abre el sitio web, elige editarlo y pulsa Probar dirección. Una respuesta entre 200 y 399 significa que nuestras comprobaciones pasan.
  2. Observa las últimas comprobaciones durante unas horas. Todas las ubicaciones deberían mostrar un código de estado entre 200 y 399.
  3. Abre el registro de la protección. Nuestras solicitudes deberían aparecer ahora como permitidas. Si siguen bloqueadas, el registro indica la regla que las bloqueó: permite nuestras direcciones también en esa regla.

Si el sitio también te rechaza a ti, desde otra red o desde el móvil, el bloqueo es real y los visitantes también lo ven. Entonces el problema está en las reglas o en los permisos de los archivos del servidor. Más sobre esto en Por qué tu monitor muestra 403 pero el sitio funciona.

Lista de comprobación

  • ¿El motivo es un 403, un 429, un 401 o una página de desafío, mientras el sitio se abre para ti?
  • ¿Tomaste la lista actual de app.uptimewire.com/ips.txt?
  • ¿Están permitidas las direcciones en todas las capas: Cloudflare, el plugin, el cortafuegos del alojamiento?
  • En el plan Free de Cloudflare, ¿usaste reglas de acceso por IP en lugar de una regla personalizada?
  • ¿Permitiste por dirección, no por el nombre del robot, y dejaste la protección activa para todos los demás?
  • ¿La prueba en el formulario del sitio web responde ahora entre 200 y 399?