Extensión

CrowdSec

Plugin de CrowdSec no oficial, sin relación con CrowdSec: alertas, bloqueos y principales amenazas de su Local API en la administración de EmDash.

• Categoría: crowdsec
• Estado: Disponible
• Versión: 0.1.3
• Precio: Desconocido
• Fuente: Registro oficial de plugins
• Instalación: Plugin aislado del registro
• Verificado: 2026-10-21

Copiar enlace Abrir en Claude Abrir en ChatGPT

Compartir en X Compartir en LinkedIn Compartir en Reddit

Descripción

Plugin no oficial. No está afiliado a CrowdSec, ni cuenta con su respaldo ni su soporte.

CrowdSec en la administración de EmDash, leído desde su Local API de CrowdSec con un inicio de sesión de máquina propio.

En el panel: una tarjeta de CrowdSec con las alertas de las últimas 24 horas comparadas con las 24 anteriores, los bloqueos vigentes ahora, las alertas por tipo (WAF, desafío de bots, comportamiento) y los escenarios principales.

Página de CrowdSec: 7, 30 o 90 días de alertas por tipo y de bloqueos emitidos por día, con los escenarios, direcciones de origen, países, organizaciones AS y rutas atacadas más frecuentes.

Alertas: un explorador de las alertas almacenadas. Períodos desde una hora hasta todo el historial conservado o desde su última visita, pestañas por tipo, dos desgloses con histogramas, filtros por rango de direcciones, país, escenario, comportamiento, red, ruta o motor, alertas agrupadas por dirección y el detalle en vivo de cada alerta.

Decisiones: las decisiones que LAPI aplica ahora mismo, leídas en vivo y ordenadas por vencimiento.

Gráficos de tráfico: el tráfico malicioso descartado por el bouncer del cortafuegos, dividido entre la lista de bloqueo de la comunidad, sus propias detecciones y los bloqueos manuales, su proporción sobre el tráfico total, las solicitudes web inspeccionadas y bloqueadas, el desafío de bots y los bloqueos activos por origen. A partir de las métricas de su propio motor y bouncer, nunca de la nube de CrowdSec.

Herramientas MCP: un resumen, las principales amenazas, un explorador de alertas, el tráfico, las decisiones activas y las alertas de una dirección, además de tres que realizan cambios.

Cambios opcionales: con Permitir cambios activado, los administradores pueden bloquear una dirección o un rango durante un tiempo fijo, quitar una decisión y eliminar alertas antiguas. Un bloqueo nunca abarca su propia dirección, la del sitio, la del host de LAPI, sus direcciones protegidas, el espacio privado ni una dirección de una lista de permitidos.

Los días siguen su zona horaria. Se necesita un LAPI de CrowdSec al que el sitio pueda llegar.

Instalación

Necesita CrowdSec 1.7 o posterior con su Local API en un nombre de host HTTPS público (EmDash rechaza las direcciones privadas) y EMDASH_ENCRYPTION_KEY configurada en el sitio (npx emdash secrets generate crea una).

1. En el host de CrowdSec, cree una máquina para el plugin: sudo cscli machines add emdash-crowdsec --auto -f /root/emdash-crowdsec.yaml. El archivo contiene su ID y su contraseña.
2. Publique LAPI detrás de un proxy inverso que admita solo la dirección del servidor de EmDash y solo estas rutas: POST /v1/watchers/login, GET /v1/alerts, GET /v1/alerts/. Para los cambios, añada también POST /v1/alerts, DELETE /v1/alerts/, DELETE /v1/decisions/ y POST /v1/allowlists/check. Nunca admita DELETE /v1/decisions sin id. Excluya la ruta de cualquier desafío de bots. El README incluye ejemplos de nginx y Traefik para un único host.
3. Instale el plugin desde el registro. Su único permiso es el acceso a la red: a la URL de su LAPI y, mientras los cambios estén activados, a cloudflare-dns.com.
4. En Plugins, abra la configuración del plugin: introduzca la URL de LAPI (sin /v1), el ID y la contraseña de la máquina y su zona horaria. Guarde.
5. Abra Plugins, CrowdSec y seleccione Check setup. Corrija todo lo que señale.
6. Para permitir bloqueos y desbloqueos, active Permitir cambios y añada las direcciones de su servidor y de su casa a Direcciones protegidas.

En Cloudflare Workers, la sincronización necesita el activador Cron de la guía de despliegue de EmDash. Para usar las herramientas MCP, active el acceso Agent del plugin en Plugins.

Preguntas frecuentes

¿El plugin hace público mi LAPI de CrowdSec? No. EmDash solo permite que un plugin llame a nombres de host HTTPS públicos, así que se llega a LAPI por una ruta de uno de ellos, pero el proxy que está delante solo admite la dirección de su servidor EmDash y solo las rutas que usa el plugin. Todos los demás reciben un 403, y cada solicitud necesita además el inicio de sesión de máquina propio del plugin. LAPI sigue escuchando en 127.0.0.1. El README muestra la configuración.

El inicio de sesión falla con «incorrect Username or Password», pero la contraseña es correcta. LAPI rechaza un User-Agent que no tenga la forma name/version. Un proxy que reemplace el del plugin lo provoca.

La comprobación de la configuración dice que se rechazó una ruta (403). Su proxy no la admite para el servidor de EmDash. Añádala como muestra el README.

¿Por qué las cifras de los primeros días son bajas? El historial se lee empezando por lo más reciente, una ventana cada vez. La página lo indica mientras aún se está leyendo.

¿Por qué la lista de decisiones es más corta que cscli decisions list? Muestra sus propias decisiones. La lista de bloqueo de la comunidad y otras listas contienen miles más, que se muestran como un solo total encima de la lista.

¿Por qué las clasificaciones son aproximadas? Cada día conserva solo sus 25 valores más frecuentes, de modo que los poco habituales se subcuentan.

¿Dónde están las insignias de reputación? El plugin nunca consulta la nube de CrowdSec. El explorador muestra indicaciones locales: Banned now y Seen before.

Mi LAPI recopila alertas de varios hosts. Cada alerta conserva el motor que la generó. Póngales nombre en el ajuste Engine names.

¿Por qué no puedo eliminar esta alerta? Eliminarla borraría sus decisiones sin que los bouncers lo sepan. Quite la decisión y elimine la alerta dos minutos después.

¿Por qué se rechazó mi bloqueo? El mensaje nombra la regla. El README las enumera todas.

¿De dónde salen los gráficos de tráfico? De las métricas de su propio motor y del bouncer del cortafuegos, nunca de la nube de CrowdSec. Establezca sus URL en los ajustes.

¿En qué zona horaria están los días? En la del ajuste Time zone, Australia/Sydney salvo que la cambie. Un nombre desconocido pausa la sincronización y se conserva el historial.

Seguridad

Informe de un problema de seguridad de forma privada mediante el formulario de avisos de seguridad del repositorio: https://github.com/shanelord01/emdash-crowdsec/security/advisories/new

A qué puede acceder el plugin

Solo a solicitudes de red, a dos destinos: la URL de LAPI que usted introduce y, mientras Permitir cambios esté activado, cloudflare-dns.com para consultar las direcciones del sitio y del host de LAPI. No tiene acceso a su contenido, usuarios ni medios. Solo usa las rutas de LAPI enumeradas en el README, nunca DELETE /v1/decisions con un filtro, nunca el borrado masivo de alertas, y no sigue ninguna redirección, por lo que la contraseña nunca se envía a otro host. Se rechazan el HTTP sin cifrar y las URL con credenciales.

Credenciales

La contraseña de la máquina se almacena cifrada con EMDASH_ENCRYPTION_KEY. El token de LAPI nunca se almacena: cada ejecución inicia sesión y lo mantiene en memoria. Dé al plugin una máquina propia y publique LAPI de modo que solo pasen el servidor de EmDash y solo las rutas del plugin.

Quién puede hacer qué

Los editores y administradores ven la tarjeta, las páginas y las herramientas de lectura. Solo los administradores pueden cambiar algo, y solo con Permitir cambios activado. En las páginas, el plugin comprueba el rol por sí mismo. EmDash limita a los administradores las rutas de las herramientas de escritura.

Protecciones de bloqueo

Un bloqueo se rechaza, indicando la regla, cuando abarca la dirección de quien lo solicita (en una herramienta MCP, la salida del cliente), las direcciones del sitio o del host de LAPI, una entrada de Direcciones protegidas, espacio privado, de loopback, link-local, CGNAT (incluido el 100.64.0.0/10 de Tailscale), multicast o reservado, un rango mayor que /16 o /48, o una entrada de la lista de permitidos de CrowdSec, que se comprueba primero porque LAPI la omite en los bloqueos manuales. Una IPv6 que transporta IPv4 se juzga por esa dirección IPv4, y Teredo se rechaza. Una entrada protegida incorrecta hace que se rechace cualquier cambio.

Eliminación de alertas

Una alerta solo se elimina cuando sus decisiones terminaron hace más de dos minutos, porque eliminarla quita sus decisiones sin que los bouncers lo sepan.

Registro de cambios

0.1.3

• En EmDash 1.2 y posteriores, las páginas se agrupan en una sola carpeta de CrowdSec en la barra lateral (Overview, Alerts, Decisions). Sus direcciones no cambian, y las versiones anteriores de EmDash las muestran una por una.
• Los bloqueos activos por origen requieren el level: full de Prometheus del motor. La sección Metrics del README lo explica.
• Sin permisos nuevos ni cambios en las herramientas MCP.

0.1.2

• Los filtros del explorador de alertas caben en una sola fila y se aplican en cuanto los elige.

0.1.1

• La página de alertas de CrowdSec pasa a ser un explorador: períodos desde una hora hasta todo el historial o desde su última visita, pestañas por tipo, dos desgloses conmutables con histogramas, filtros en forma de chips, alertas agrupadas por dirección con una vista de cada dirección y el detalle en vivo de cada alerta, e indicaciones Banned now y Seen before.
• Motores: cada alerta conserva el agente de CrowdSec que la generó, como desglose y filtro, además de una columna y un gráfico cuando hay más de uno, con los nombres definidos en el ajuste Engine names.
• Una nueva herramienta MCP, alerts_explorer. EmDash vuelve a solicitar el acceso Agent al actualizar.
• Las alertas almacenadas pasan a un registro de alertas compacto durante las primeras sincronizaciones.
• Se eliminaron los datos de demostración: el plugin necesita un LAPI accesible. Una instalación que los usaba solicita los ajustes de LAPI y borra sus filas de demostración una vez configurados.
• Duraciones más cortas, tablas más estrechas, una página de 90 días con barras de tres días y un muestreador de métricas que sigue sus ajustes sin visitar el panel.

0.1.0

Primera versión: la tarjeta del panel, la página de CrowdSec, las páginas de alertas y decisiones, una comprobación de la configuración, gráficos de tráfico, ocho herramientas MCP y, para los administradores, bloqueos, desbloqueos y eliminación de alertas opcionales, con protecciones para sus propias direcciones.

Historial completo: CHANGELOG.md.