Если на странице входа в WordPress постоянно появляются неудачные попытки авторизации, одного сложного пароля недостаточно: автоматические боты могут отправлять запросы снова и снова. В WordPress нет встроенной настройки, которая ограничивает число попыток входа. Проще всего добавить такое ограничение плагином, а затем усилить защиту учётных записей двухфакторной авторизацией.
Установите плагин для ограничения попыток
Для обычного сайта подойдёт плагин Limit Login Attempts Reloaded. Он считает неудачные попытки и временно блокирует дальнейший вход с соответствующего IP-адреса. Блокировка не удаляет аккаунт и не меняет пароль: после окончания заданного срока пользователь сможет попробовать войти снова.
- В панели WordPress откройте Плагины → Добавить новый.
- Найдите Limit Login Attempts Reloaded, проверьте название и автора в каталоге WordPress и установите плагин.
- Нажмите Активировать, затем откройте страницу настроек плагина. Она может находиться в меню Настройки или в отдельном пункте меню — расположение зависит от версии.
Плагин сторонний, поэтому перед установкой проверьте дату последнего обновления и совместимость с вашей версией WordPress. Не устанавливайте несколько плагинов, которые одновременно блокируют вход: они могут применять разные правила, а при блокировке будет сложнее понять, какой компонент её вызвал.
Выберите порог попыток и срок блокировки
В настройках найдите параметры количества допустимых неудачных попыток, продолжительности блокировки и времени, через которое счётчик попыток сбрасывается. Названия и расположение полей могут меняться между версиями плагина. Для начала можно установить 5 попыток и блокировку на 20 минут, а сброс счётчика — через сутки. Это отправная точка, а не универсальные значения: если пользователи часто ошибаются при вводе пароля, короткая блокировка снизит риск случайно отрезать им доступ.
Если в настройках есть увеличение срока за повторные блокировки, включайте его постепенно. Длинная блокировка после нескольких серий ошибок усложняет автоматический подбор, но может надолго закрыть вход реальному пользователю, который забыл пароль. Не выставляйте максимальные ограничения без тестирования на своём сайте.
Некоторые версии плагина позволяют добавлять IP-адреса в список разрешённых или запрещённых. Не вносите в список разрешённых целые диапазоны адресов, если не знаете, кому они принадлежат: это может свести ограничение на нет. Добавлять собственный IP имеет смысл только при постоянном адресе и если вы понимаете, как снять это правило. У домашних и мобильных подключений IP может меняться.
Не полагайтесь только на блокировку IP
Ограничение попыток затрудняет подбор пароля с одного адреса, но не гарантирует защиту от атак с множества разных адресов. Кроме того, при работе сайта через прокси или CDN плагин может видеть IP прокси вместо адреса посетителя. В результате блокировка способна затронуть сразу многих пользователей или сработать не так, как ожидается. Если сайт использует прокси, уточните у хостинга или провайдера CDN, как WordPress получает реальный IP посетителя. Не меняйте настройки доверенных прокси наугад: неверная конфигурация влияет на безопасность не только входа.
Для защиты учётных записей используйте длинные уникальные пароли и включите двухфакторную авторизацию для администраторов. Для этого подойдёт отдельный поддерживаемый плагин двухфакторной аутентификации. Сохраните резервные коды восстановления и проверьте вход до того, как включать обязательную двухфакторную проверку для всех пользователей. Если доступ к почте или приложению-аутентификатору потерян, без заранее подготовленного способа восстановления можно заблокировать себе вход.
Не используйте общий аккаунт администратора для нескольких человек. Создайте каждому отдельную учётную запись с необходимой ролью: это позволит отключить доступ конкретному сотруднику, не меняя пароль для всей команды. Если у вас остался аккаунт с простым или предсказуемым именем пользователя, замените его: для этого создайте новую учётную запись администратора, проверьте вход под ней и только после этого удалите старую, назначив её публикации новому пользователю.
Проверьте настройки и подготовьте восстановление доступа
После сохранения параметров посмотрите, появились ли настройки в панели плагина и фиксируются ли неудачные входы. Не проверяйте полную блокировку на рабочем сайте многократным вводом неверного пароля с собственного IP: плагин может закрыть вход и вам, и другим пользователям за тем же адресом. Безопаснее провести такой тест на копии сайта. Если тестируете на рабочем сайте, ограничьтесь проверкой журнала после одной неверной попытки и не доводите счётчик до блокировки.
На тестовом сайте используйте отдельную учётную запись: несколько раз введите неверный пароль и убедитесь, что после заданного порога плагин показывает сообщение о блокировке. Затем проверьте вход после истечения срока. При необходимости посмотрите журнал блокировок и сравните отображаемый IP с тем, который ожидаете увидеть. Перед включением правила для всех пользователей отдельно проверьте корректный вход администратора.
До настройки убедитесь, что у вас есть доступ к панели хостинга или FTP и сохранены данные для входа. Если плагин заблокировал доступ, а его настройки недоступны, через файловый менеджер хостинга можно временно переименовать каталог плагина в wp-content/plugins. WordPress не сможет загрузить его и деактивирует плагин. Имя каталога зависит от установки; после восстановления доступа верните прежнее имя и настройте ограничение заново. Если вы не уверены в действиях с файлами, обратитесь в поддержку хостинга — не удаляйте папки и не редактируйте базу данных наугад.
Стоит ли менять URL страницы входа
Плагин, который меняет адрес страницы входа, может уменьшить число случайных запросов к стандартному адресу, но не заменяет ограничение попыток, надёжные пароли и двухфакторную авторизацию. Такой адрес нужно сохранить и передать тем, кому необходим доступ. При смене или удалении плагина URL может перестать работать, поэтому заранее изучите способ восстановления входа и проверьте его на копии сайта. Для большинства владельцев сайта это дополнительная мера, а не обязательный шаг.
После настройки оставьте включёнными ограничение попыток и двухфакторную авторизацию для администраторов, периодически проверяйте журнал блокировок и обновляйте WordPress, плагины и тему. Если легитимные пользователи часто попадают под блокировку, сначала выясните, с каких адресов идут попытки и не скрывает ли прокси реальные IP, а затем скорректируйте порог или срок. Не отключайте защиту только потому, что отдельному пользователю неудобно ждать разблокировки.