Что умеет
По умолчанию WordPress допускает неограниченное число попыток ввода пароля, поэтому подбор через форму входа или подделанные cookie возможен. WPS Limit Login считает неудачные попытки с каждого IP-адреса и после превышения заданного порога блокирует его на время.
Что делает плагин:
- Ограничивает число попыток входа на странице авторизации с гибкими настройками.
- Так же ограничивает попытки через cookie авторизации.
- Показывает пользователю, сколько попыток осталось и на какое время действует блокировка.
- Ведёт журнал и может присылать уведомления на почту.
- Поддерживает белый и чёрный списки IP-адресов.
- Закрывает вход через XML-RPC и защищает форму входа WooCommerce.
- Работает с сайтами за обратным прокси и совместим с файрволом Sucuri, а также с мультисайтом.
Плагин делает хостинг-компания WPServeur и сопровождает его лишь в режиме поддержки: новые возможности не добавляются.
Установка и настройка
Установите плагин из каталога («Плагины → Добавить новый», поиск WPS Limit Login) и активируйте. Основные параметры: число допустимых попыток, длительность блокировки, увеличение срока блокировки при повторах, настройки уведомлений. Добавьте в белый список свои постоянные IP, чтобы не заблокировать себя.
Если сайт стоит за прокси или CDN, укажите правильный источник IP-адреса клиента, иначе заблокируются все посетители сразу, так как адрес будет у всех одинаковый.
Подводные камни
Прокси и CDN. Неверное определение IP либо блокирует всех, либо не защищает вовсе. После настройки проверьте, что блокируется конкретный адрес.
Два плагина безопасности. Не используйте одновременно несколько механизмов ограничения входа, они мешают друг другу. Если вы используете комплексный защитный плагин с такой же функцией, этот не нужен.
Распределённый подбор. Атаки с множества адресов одним лимитом по IP не остановить; дополнительно включайте двухфакторную защиту и сильные пароли.
Персональные данные. Журнал хранит IP-адреса, которые считаются персональными данными по 152-ФЗ. Ограничьте срок хранения.
Кому подойдёт
Небольшим сайтам, где нужна простая защита входа без комплексного файрвола. Для расширенной защиты смотрите Wordfence, Limit Login Attempts или All-In-One Security.
