Shield monta el código de tus sitios en solo lectura a nivel del kernel Linux. Fortress añade WAF nginx, hardening PHP, escáner de uploads en tiempo real y control de salida de red. Sin chmod cosmético — protección real, aplicada por el kernel.
El docroot se monta en solo lectura a nivel VFS del kernel mediante Docker bind mount :ro. Incluso un root comprometido dentro del contenedor no puede escribir.
Bind mount Docker en solo lectura a nivel VFS. Ningún chmod, chattr o exploit PHP lo evita. Protección estructural, no cosmética.
WordPress, WooCommerce, Joomla, PrestaShop, Magento, Drupal, Laravel y Custom. Cada perfil sabe qué carpetas mantener escribibles (uploads, cache, sesiones).
Solo las carpetas realmente necesarias (wp-content/uploads, cache, logs) permanecen escribibles. Todo lo demás — core, plugins, temas — es inmutable.
Además del montaje del kernel, nginx devuelve 403 para cualquier .php / .phtml / .phar / .pl / .cgi / .sh / .py subido a zonas escribibles. Defensa en profundidad.
El cron healthcheck verifica desde dentro del contenedor que el docroot sigue en solo lectura. Detecta instantáneamente cualquier desvío de montaje.
Botón en la UI o comando CLI shield-enable. Activable desde la creación del contenedor. Desactivable en caliente sin pérdida de datos.
WAF nginx generado por regla, hardening PHP, escáner de uploads en tiempo real y control de salida de red. Activable / desactivable capa por capa.
SQLi, LFI, XSS, RFI, scanners, archivos sensibles, exec PHP en zonas de uploads, xmlrpc, rate-limit. Generado desde el store, inyectado al reconfigure-domain.
Servicio systemd por dominio. Check MIME (libmagic), patrón PHP, ZipSlip, SVG, PDF, entropía Shannon, regeneración Pillow imagen. 7 checks individuales.
disable_functions quirúrgico (exec, system, passthru, ...) + open_basedir + extra-disable / extra-allow por dominio. Modo strict opcional para zonas de riesgo.
3 modos: permissive (por defecto), standard (bloquea bind-shell hacia IPs no whitelisted), strict (DNS interno + IP allowlist estricta). Evita la exfiltración de datos.
Bloquea xmlrpc.php, bloquea REST API si no se usa. Mu-plugin colocado en wp-content/mu-plugins/ para protecciones inline.
El botón "Probar el WAF" lanza un curl real con payload SQLi al dominio y verifica que nginx devuelve 403. Validación continua, no declarativa.
Demo live: intentamos un upload PHP malicioso en un WordPress, vemos a Shield + Fortress rechazarlo. Sin compromiso.
