Bloqueo de IP & países, control de visitantes: configuración y ayuda

Sigue los pasos de Inicio rápido.

Al instalarse, el módulo activa la recogida de datos, el seguimiento de invitados, el bloqueo de visitantes y los paneles en los pedidos. El periodo de conservación inicial es de 90 días. Su acción Configurar abre General Settings.

Guardar General Settings aplica las opciones de recogida de datos, seguimiento de invitados, bloqueo, paneles en pedidos y conservación. Default Ban Message se guarda para cada idioma y se usa cuando una regla coincidente no tiene un mensaje personalizado.

Establece Enable Data Collection o Enable Visitor Banning en No y guarda para detener la función correspondiente. Desactiva el módulo en el Gestor de módulos para detener ambas. Gestiona las entradas individuales de bloqueos y de la lista blanca desde sus pantallas específicas.

El mensaje en inglés definido al instalar es:

Your access to this website has been restricted. If you believe this is an error, please contact the store administrator.

El seguimiento del sistema operativo, el navegador, la pantalla y la cadena user-agent sin procesar se activa al instalar. El formulario principal para el comerciante no tiene controles separados para estos datos. Cada registro recogido incluye la dirección IP.

Abre IP Whitelist. Introduce IP Address o CIDR Range y una Label, y guarda. Ejemplos de entradas:

IP Address: 203.0.113.10
Label: Office IP

CIDR Range: 198.51.100.0/24
Label: Agency VPN

Sustituye estas direcciones de documentación por tus direcciones de confianza reales. La coincidencia con la lista blanca se comprueba antes de cada verificación de bloqueo. Una dirección incluida en la lista blanca también evita los bloqueos por país, user-agent y cliente. Evita rangos más amplios de lo que pretendes permitir. Las entradas se comprueban para la tienda actual o para todas las tiendas, según corresponda.

Abre Visitor Bans y añade una Ban Rule. Rellena al menos un campo para definir qué visitantes bloquear. Usa un solo criterio por regla si quieres una prueba predecible: si rellenas varios campos, basta con que coincida uno de ellos; no es necesario que se cumplan todas las condiciones.

Para las expresiones regulares de user-agent, usa /(curl|wget|python-requests)/. El mecanismo de coincidencia solo reconoce una expresión regular si su último carácter es /. Un ejemplo que termine en /i se trata como texto sin formato en esta versión. La coincidencia de texto sin formato ya ignora las mayúsculas y minúsculas. El visitante puede modificar las cadenas user-agent, por lo que no permiten establecer su identidad.

Elegir el alcance

El bloqueo se ejecuta mediante actionDispatcher para los controladores nativos del front office; las solicitudes a controladores del front office de módulos se omiten. El módulo lee el valor controller de la solicitud para los bloqueos de alcance limitado. Prueba tus rutas del proceso de compra y de la cuenta, especialmente si usas controladores personalizados. Una coincidencia para toda la tienda se comprueba antes que el alcance más limitado. Un cambio de IP, por ejemplo mediante una conexión VPN, puede eludir una regla basada solo en IP cuando la nueva dirección queda fuera de la regla.

Ejemplos

Para una prueba en toda la tienda, introduce la dirección de prueba en IP Address, mantén Ban Type en Full Block - Entire Store, introduce un Reason interno y establece una fecha de caducidad cercana en Expiry Date.

Para una subred bloqueada solo durante el proceso de compra, usa CIDR Range 192.168.1.0/24 y Ban Type Checkout Only. Para una regla de una cuenta con sesión iniciada, introduce Customer ID 123 y deja vacíos los demás campos de criterio de bloqueo. Sustituye los valores de ejemplo por los datos de prueba previstos.

Para un mensaje específico de una regla, introduce:

<p>Your access to checkout is temporarily restricted. Please contact support if you believe this is an error.</p>

Importar reglas CSV

Usa CSV Import > Import ban rules from CSV encima de la lista de bloqueos, elige un archivo CSV y haz clic en Import. Las columnas se interpretan según su posición:

ip_address,ban_type,reason
192.168.1.1,full,Fraud attempt
192.168.1.0/24,checkout,Suspicious checkout traffic
203.0.113.10,auth,Fake account attempts

La primera fila puede contener las cabeceras ip_address o ip. Las direcciones que contienen una barra se guardan en el campo CIDR. Las entradas importadas son activas, permanentes y se asignan al contexto de tienda actual. Un tipo de bloqueo no compatible se convierte en full; las direcciones vacías se omiten. El importador no valida exhaustivamente los formatos de las direcciones. Comprueba las entradas resultantes en lugar de considerar el número importado como una prueba de bloqueo satisfactoria.

El componente de recogida se añade mediante displayHeader. Una vez que el DOM está listo, espera unos 1,5 segundos y después envía una solicitud a la URL de recogida generada con sw y sh obtenidos de las dimensiones de la pantalla del navegador. Con rutas amigables, una URL puede tener este aspecto:

/module/mprvisitorcontrol/collect?sw=1920&sh=1080

El navegador usa la clave de almacenamiento de sesión mprvc_collected para evitar repetir la solicitud en la misma sesión. Si el almacenamiento no está disponible, la recogida puede repetirse. Una solicitud HTTP completada marca la sesión del navegador incluso cuando la respuesta JSON informa de un estado desactivado o de un error. Comprueba la respuesta real durante las pruebas.

El servidor almacena IP, país, user-agent, sistema operativo, navegador/versión, dimensiones de la pantalla, tipo de dispositivo, ID de cliente, ID de invitado, ID de tienda y fecha del registro. El inicio de sesión y la creación de cuentas también recogen datos mediante actionAuthentication y actionCustomerAccountAdd.

La recogida evita crear un registro nuevo para el mismo cliente o invitado y la misma IP cuando existe un registro de la última hora. Puede actualizar la resolución de pantalla en ese registro reciente. Los datos no constituyen un historial completo de páginas vistas, y Visits cuenta registros almacenados en lugar de cada página vista.

La detección del país usa primero la cabecera de Cloudflare HTTP_CF_IPCOUNTRY, después PrestaShop GeoIP y por último la cookie de país. El país puede estar vacío. La detección de IP valida REMOTE_ADDR y acepta las cabeceras de Cloudflare con la IP del cliente solo cuando la conexión procede directamente de un servidor de Cloudflare. Para otros proxies inversos, configura el servidor web para restaurar la dirección del cliente en REMOTE_ADDR.

Paneles de cliente y pedido

El módulo muestra los paneles mediante displayAdminCustomers y displayAdminOrder. El panel solo aparece cuando un cliente tiene un registro almacenado. Muestra la última IP, el país, el navegador, el sistema operativo, la resolución de pantalla cuando está disponible, el tipo de dispositivo y la fecha del registro. La página del pedido muestra el último registro de visita del cliente, que no refleja necesariamente la situación al crear el pedido.

Cuando hay varias direcciones IP almacenadas, IP History muestra el país, el número de registros, la primera y la última aparición y una acción de bloqueo rápido. Las advertencias abarcan IP compartidas, más de tres países, más de tres tipos de dispositivo y más de diez IP distintas. Revísalas como indicadores, no como bloqueos automáticos. Los paneles de cliente y pedido se basan en cuentas; los registros exclusivamente de invitados no crean un panel de cliente.

Usa una dirección de prueba separada para un bloqueo. Confirma que la página coincidente devuelve HTTP 403 y muestra Access Restricted con el mensaje de la regla o el mensaje de reserva. Para las reglas de alcance limitado, confirma que una página no afectada sigue disponible y que la desactivación restablece el acceso.

Si no aparecen datos de los visitantes, comprueba que el módulo esté activo, que estén presentes el hook y la solicitud de recogida y que el endpoint devuelva {"status":"ok"}. Usa una nueva sesión del navegador si ya existe la marca de sesión. Ten en cuenta la deduplicación de una hora en el servidor. Una visita muy corta puede terminar antes de que se ejecute la recogida de datos de la pantalla.

Confirma los valores guardados en General Settings antes de probar la recogida de datos, el bloqueo o la conservación. Si un bloqueo no coincide, comprueba Active, la caducidad, la tienda, la prioridad de la lista blanca, la IP, el país y el user-agent reales y el alcance seleccionado. Los rangos CIDR y con guion admiten IPv4. Las direcciones IPv6 pueden compararse individualmente por su texto exacto.

La primera solicitud a la tienda después de 24 horas activa la eliminación de los registros más antiguos que el periodo de conservación activo, cuando ese periodo es positivo. No tienes que configurar una tarea cron del sistema para esta limpieza diaria. Si no hay solicitudes, la limpieza espera hasta la siguiente visita.

Establece Enable Data Collection o Enable Visitor Banning en No y guarda para detener por separado la recogida de datos o los bloqueos. Desactiva el módulo en el Gestor de módulos para detener ambas funciones. Para una sola regla, establece Active en No.

Usa Desinstalar en el Gestor de módulos para eliminar el módulo. La desinstalación elimina mprvc_info, mprvc_banned y mprvc_whitelist, así como la configuración compartida y las entradas de menú de este módulo. Conserva antes una copia de seguridad de la base de datos si necesitas el historial de visitantes, los bloqueos o los datos de la lista blanca.