~ digitalchk / docs / breach-chk
Breach Chk le dice a un visitante si su correo ha aparecido en una filtración conocida, y convierte esa respuesta en un informe escrito. Consulta Have I Been Pwned, agrupa los resultados por cuánto exponen y explica qué filtró cada brecha en realidad.
Cómo funciona
Consulta de filtraciones
La dirección se comprueba contra la base de Have I Been Pwned, que necesita una clave de HIBP.
Consulta de publicaciones
Reporta aparte las apariciones en sitios públicos de volcado, que suelen salir antes que el anuncio formal de una brecha.
Agrupación por riesgo
Los hallazgos se agrupan por lo que quedó expuesto, para que una contraseña filtrada pese más que un alta de boletín.
Comprobación de contraseñas
Un shortcode aparte comprueba una contraseña contra listas de contraseñas comprometidas usando la API de rangos con k-anonimato, así que la contraseña entera nunca sale del navegador.
Monitoreo de filtraciones
Debajo del resultado, el visitante puede pedir que le escribamos cuando su propia dirección aparezca en una filtración nueva. Marca que administra ese correo y lo confirma con un código. La revisión corre con la frecuencia que eliges en el submenú Monitoring (cada 6 o 12 horas, diaria, cada 3 días o semanal; diaria de manera predeterminada), espera y reintenta cuando Have I Been Pwned falla o limita las consultas, y solo avisa de filtraciones añadidas después del alta. Dos días después de un aviso, un seguimiento repite lo encontrado por si no se vio. Los enlaces de estos correos piden confirmación antes de detener nada, porque los escáneres de seguridad del correo abren todos los enlaces. El monitoreo forma parte de la newsletter: darse de baja lo detiene.
Autopublicador
Puede redactar y publicar entradas sobre filtraciones relevantes, con texto escrito por IA y una imagen destacada generada. El texto funciona con cualquier servicio de IA con una API de tipo Chat Completions, con un ajuste de esfuerzo de razonamiento (Reasoning effort) para modelos que razonan, y las imágenes con las API estándar de generación de imágenes. Cada uno puede tener un proveedor de respaldo que entra cuando el principal falla. De fábrica deja las entradas como borrador. Borrar un borrador le dice que no al publicador: recuerda esa filtración y no la vuelve a escribir, y restaurar el borrador desde la papelera lo deshace. Se apaga, o se olvida la lista, en Auto-Publisher > Deleted articles.
Requisitos
- WordPress 5.8 o superior
- PHP 7.4 o superior
- Una clave de API de Have I Been Pwned, que es un servicio de pago
Cómo publicarlo
Pon uno de estos shortcodes en cualquier página o entrada. Cada uno es autónomo y no necesita integración con el tema.
[breach_chk][breach_checker][breach_catalog][password_checker]
Atribución. El plugin muestra una línea pequeña, «Una herramienta de Digital Checkmark», con un enlace a digitalchk.com, debajo del widget, al pie del informe PDF y debajo de cada correo que envía. Es parte del plugin y no tiene ajuste para quitarla. Si una herramienta y un formulario de Leads Chk comparten página, la línea sale una sola vez.
Configuración
Anti abuso Recomendado
En Settings, añade tu clave de sitio y tu clave secreta de Cloudflare Turnstile. Sin ella, cualquiera puede automatizar la herramienta pública y consumir tus cuotas de los servicios externos.
Con las claves puestas, el plugin además se niega a enviar por correo un código de verificación o un informe si el visitante no pasó Turnstile hace poco. Una búsqueda normal cuenta; si no, se abre una pequeña ventana de verificación antes de enviar.
Verificación de correo Recomendado
El plugin verifica en tres capas antes de enviar un informe: formato, dominio desechable y, si añades una clave de Reoon, comprobación real de entrega. Esto protege tu reputación de envío frente a rebotes a direcciones inventadas.
Informes en PDF Opcional
Los informes se convierten a PDF con Gotenberg, que alojas tú. Pon su URL en la pestaña de informes; en la misma máquina es http://127.0.0.1:3000. Sin Gotenberg el resto del plugin funciona igual.
Entrega y marca
Configura el servidor SMTP que envía los informes y la marca que aparece en ellos: nombre, lema, logotipo, colores y portada.
Avisos y contactos Opcional
Puede avisarte por correo o por webhook cuando entra un contacto y, si usas Leads Chk, pasárselo para que guarde tus contactos y tu boletín. Todo se filtra por evento y por origen, para que no te llegue ruido.
Muro de uso con código Opcional
Los usos gratis se cuentan en el servidor, y cuántos hay lo decides tú, así que una ventana privada no los reinicia. Pasado el límite, el visitante confirma un correo con un código de 6 dígitos y la herramienta se desbloquea el resto del día. Las peticiones de código y los intentos fallidos están limitados, con un bloqueo temporal. Una dirección que nadie verificó nunca se guarda como contacto.
Captación de contactos y retención
Cuando alguien pide su informe, el plugin guarda la dirección como contacto junto con un resumen del resultado, y arma el informe solo con el resultado que el servidor guardó al hacer la consulta (hasta 2 horas), así siempre coincide con lo que encontró la herramienta. Los encuentras en Leads, y se exportan a CSV.
La retención se controla con GDPR Retention (days): los contactos más antiguos que ese plazo se borran solos mediante una tarea programada. Ponlo en 0 para desactivar el borrado, aunque no lo recomendamos. Declara en tu política de privacidad qué guardas y cuánto tiempo.
El plugin también funciona con las herramientas de privacidad de WordPress (Herramientas > Exportar datos personales y Borrar datos personales): un solo pedido exporta o borra todo lo que guarda de una dirección de correo, junto con los demás plugins de Digital Checkmark que tengas instalados.
Si tienes Leads Chk instalado, cada dirección que el plugin recoge por un informe, el muro de uso o la puerta de acceso también se envía allí, con etiquetas (la herramienta, cómo llegó la dirección, si es de empresa o personal, y el resultado) y un registro del consentimiento. Qué pasa después (solo se guarda, se ofrece la newsletter con una casilla o se suscribe) y a qué lista va se decide en la pantalla Integrations de este plugin. Las direcciones que solo se consultaron, y que pueden ser de otra persona, no pasan a Leads Chk. Leads Chk también puede poner un formulario de newsletter debajo de la herramienta.
Si algo no funciona
La herramienta no reporta filtraciones para una dirección que sabes que sí está filtrada.
Confirma que la clave de HIBP está puesta y es válida. Sin ella la consulta no puede correr, y el plugin reporta el fallo en vez de un resultado vacío.
Cómo pedir ayuda
Escríbenos desde la página de soporte. Incluye la versión del plugin, tus versiones de WordPress y PHP, y el texto exacto de cualquier error.