[B] 404 Bot Blocker

Seu log de 404 é uma cena de crime. A maioria dos plugins o ignora.

Todo site WordPress na internet pública é atingido, todos os dias, por um enxame de scanners automatizados caçando arquivos de backup esquecidos, credenciais vazadas e superfícies de ataque de CVEs conhecidas. Eles sondam caminhos como /wp-config.php.bak, /.env, /admin.rar, /wp-content/uploads/db.sql — e no segundo em que um desses retorna 200, seu site está comprometido.

Seu plugin de segurança genérico não vê isso. Seu CDN não se importa. Seu WAF só sinaliza o óbvio. Enquanto isso, os bots percorrem milhões de caminhos até que algo funcione — e você descobre três dias depois, quando o Google coloca seu domínio na lista negra.

[B] 404 Bot Blocker resolve isso — cirurgicamente.

É um firewall focado, de nível empresarial, construído em torno de um único insight: visitantes reais não geram 30 páginas 404 em 60 segundos. Bots geram. Quando um IP cruza o limite que você configura, ele é banido na camada de bootstrap do WordPress (antes que qualquer código pesado seja executado), com um 403 servido em toda requisição subsequente — incluindo wp-login.php.

O que o torna diferente

• Zero falsos positivos para SEO. Googlebot, Bingbot, AhrefsBot e amigos estão explicitamente na lista de permissões. Seus rastreamentos nunca contam.
• Detecção headless que não quebra o WordPress headless. Detectamos HeadlessChrome, Selenium, Puppeteer, sqlmap, nikto e mais de 30 assinaturas de scanner — sem bloquear suas próprias ferramentas de staging.
• Intervalos CIDR na lista de permissões e na lista de bloqueio. Adicione 192.168.0.0/24 para a rede do escritório, 2001:db8::/32 para um trânsito IPv6, pronto.
• Reconhece Cloudflare / proxy reverso. Respeita CF-Connecting-IP e X-Forwarded-For quando você opta por isso — e alerta na UI do admin quando cabeçalhos de proxy são detectados mas a confiança está desativada (uma má configuração silenciosa que torna a maioria dos firewalls WP inúteis).
• Log de auditoria com retenção via WP-Cron. Toda requisição bloqueada é registrada com IP, URL, User-Agent e timestamp. Um cron diário limpa linhas além da sua janela de retenção. Exportação CSV/TXT em streaming com proteção contra injeção de fórmulas.
• Gerenciador manual de bloqueios. Desbloqueio com um clique, promova um banimento temporário a permanente, ou coloque na lista de permissões instantaneamente — tudo em uma aba dedicada.
• Compatível com GDPR e LGPD desde o início. Texto de privacidade sugerido, exportador e apagador de dados que se conectam diretamente a Ferramentas → Exportar / Apagar Dados Pessoais.
• Proteção contra autobloqueio. Uma guarda do lado do servidor se recusa a banir seu próprio IP. Administradores são excluídos do contador de 404. Você nunca ficará trancado para fora.

O que ele não é

Não é um plugin de segurança canivete-suíço de 50 MB com scanners de malware, autenticação de dois fatores, captchas de login e um painel confuso. Ele faz uma coisa — parar bots que abusam de 404s — e faz isso melhor do que qualquer outra coisa no mercado. Use-o de forma independente, ou combine-o com Wordfence/iThemes para um perímetro extra que não se sobrepõe.

Construído para produção

• ~280 KB em disco. 27 arquivos. Sem dependências do Composer em tempo de execução.
• 52 testes PHPUnit, 100% aprovados — enviamos o conjunto de testes no nosso repositório.
• Traduzido em 4 idiomas: inglês, espanhol (castelhano), português brasileiro, galego. POT incluído.
• Código compatível com WPCS, PHPDoc completo, toda função protegida com nonce e verificação de capacidade.
• Entrega de atualizações via [B] License Manager — sem dependência do WordPress.org, sem exposição pública.

O firewall nunca deixa de funcionar quando sua licença expira. Um plugin de segurança que se desativa por falha de pagamento é má prática. O seu continua protegendo; apenas o canal de atualização fica em silêncio.