Если в журналах сайта регулярно появляются неудачные попытки входа, это не обязательно означает, что сайт уже взломан. Часто боты автоматически проверяют популярные адреса и подбирают пароли к существующим учётным записям. Чтобы снизить риск, настройте ограничение попыток входа, используйте уникальные пароли и включите двухфакторную аутентификацию для администраторов. Для этого не требуется менять конфигурацию веб-сервера.
В WordPress нет встроенной настройки, которая блокирует IP-адрес после заданного числа неверных паролей. Один из простых вариантов — плагин Limit Login Attempts Reloaded. Он ограничивает число неудачных попыток с одного адреса. Но эта мера не заменяет надёжные пароли и второй фактор: подбор можно распределить между разными IP-адресами.
Настройте ограничение попыток входа
Перед установкой убедитесь, что у вас есть доступ к панели хостинга или файловому менеджеру. Если плагин по ошибке заблокирует ваш адрес, такой доступ поможет восстановить работу сайта. Не устанавливайте одновременно несколько плагинов, которые ограничивают вход: их правила могут конфликтовать и затруднить диагностику.
- В админ-панели откройте раздел Плагины → Добавить новый, найдите Limit Login Attempts Reloaded, установите и активируйте плагин.
- Откройте его настройки. Названия пунктов могут отличаться в зависимости от версии и языка интерфейса.
- Задайте число допустимых неудачных попыток. Для начала можно установить пять попыток, а блокировку — на 20 минут. Это практичная отправная точка, а не универсальное значение: на сайте с несколькими администраторами слишком строгие ограничения могут мешать работе.
- Если доступна настройка увеличения срока блокировки после повторных нарушений, включите её. Так адрес, который продолжает перебирать пароли, будет блокироваться дольше.
- Проверьте, что плагин сохраняет журнал попыток и отправляет уведомления о блокировках, если эти функции вам нужны. Уведомления полезны для контроля, но их не следует считать самостоятельной защитой.
Не добавляйте свой IP-адрес в список доверенных без необходимости. У домашнего или мобильного подключения адрес может меняться, а широкое разрешение для диапазона IP ослабляет ограничение. Если администраторы работают из офиса с постоянным IP, исключение допустимо, но сначала проверьте, как плагин определяет адрес посетителя.
Особенно внимательно настройте определение IP, если сайт работает за прокси или CDN. При неверной конфигурации WordPress может видеть один адрес прокси вместо адресов посетителей. Тогда ограничение будет применяться не к отдельному злоумышленнику, а сразу ко всем посетителям. Не включайте в плагине доверие к заголовкам прокси наугад: используйте рекомендации вашего хостинга или CDN.
Используйте уникальные пароли и защитите учётные записи
Ограничение попыток уменьшает скорость подбора, но не делает слабый пароль безопасным. У каждого пользователя с правами администратора должен быть длинный уникальный пароль, который не используется на почте, в панели хостинга или на других сайтах. Удобнее хранить такие пароли в менеджере паролей.
Проверьте список пользователей в разделе Пользователи → Все пользователи. Удалите неиспользуемые учётные записи, а людям, которым не нужны административные права, назначьте роль с меньшими разрешениями. Не передавайте всем сотрудникам один общий логин: отдельные учётные записи позволяют ограничить права и понять, кто выполнял действия на сайте.
Имя пользователя admin само по себе не является защитой, а его замена не остановит перебор других известных имён. Не полагайтесь на скрытие логина или адреса страницы входа вместо ограничения попыток и сильных паролей.
Включите двухфакторную аутентификацию
Второй фактор затрудняет вход даже в случае, если пароль стал известен постороннему. Обычно после ввода пароля нужно подтвердить вход одноразовым кодом из приложения-аутентификатора. Настройте двухфакторную аутентификацию как минимум для всех администраторов и редакторов, которым предоставлен доступ к панели.
Для этого подойдёт плагин безопасности с поддержкой двухфакторной аутентификации, например Wordfence Security. Установите только тот функционал, который вам нужен, и следуйте инструкции плагина: в зависимости от версии настройки входа могут находиться в отдельном разделе безопасности. Сначала подключите второй фактор к своей учётной записи, сохраните предложенные коды восстановления в надёжном месте и проверьте повторный вход. Затем помогите настроить его остальным пользователям. Не выходите из единственной административной учётной записи, пока не убедитесь, что можете войти обратно.
Если потерять доступ к приложению и не сохранить коды восстановления, вход может потребовать восстановления через администратора сайта или хостинг. Поэтому храните резервные коды отдельно от устройства, на котором получаете одноразовые коды.
Проверьте, что ограничения работают
После настройки не нужно намеренно перебирать пароли на рабочем сайте: так можно заблокировать собственную учётную запись или адрес офиса. Проверьте параметры плагина и его журнал: там должны отображаться неудачные входы и сведения о блокировках, если такие попытки происходят. Для функциональной проверки используйте отдельную тестовую учётную запись и контролируемо выполните несколько неверных входов, не превышая лимит. Убедитесь, что после достижения лимита вход с этого же адреса блокируется, а по окончании срока вы можете войти с правильным паролем.
Отдельно проверьте вход с включённой двухфакторной аутентификацией: WordPress должен запросить второй фактор после пароля. Если тестируете блокировку с другого устройства, помните, что оно может использовать тот же внешний IP-адрес, например через одну офисную сеть.
Что делать, если вас заблокировало
Сначала подождите окончания блокировки: часто этого достаточно. Если доступ нужен срочно, войдите в панель хостинга и откройте файловый менеджер или подключитесь по FTP. В каталоге wp-content/plugins временно переименуйте папку Limit Login Attempts Reloaded. WordPress отключит плагин, и вы сможете войти снова. После этого верните папке исходное имя и исправьте настройки. Переименование папки временно отключает защиту; не оставляйте плагин выключенным.
Если блокирует двухфакторная аутентификация, воспользуйтесь сохранённым кодом восстановления или предусмотренным плагином способом восстановления. Не удаляйте таблицы базы данных и не меняйте файлы WordPress наугад: это не стандартный способ снятия блокировки и может повредить сайт.
Где заканчиваются возможности плагина
Ограничение входа по IP хорошо подходит как базовая защита, но может быть обойдёно при распределённом переборе с большого числа адресов. Кроме того, при атаке с общего IP блокировка способна затронуть настоящих пользователей. Если попыток много и они продолжаются, уточните у хостинга, доступна ли защита на уровне WAF или панели управления. Это дополнительный уровень, а не причина отключать ограничения в WordPress.
Не меняйте адрес входа, если рассчитываете этим остановить подбор: нестандартный URL скрывает страницу от части автоматических запросов, но не защищает пароль, а само скрытие не заменяет лимит попыток. Для обычного сайта достаточно начать с ограничения неудачных входов, уникальных паролей, удаления лишних администраторов и второго фактора. Затем периодически проверяйте список пользователей и журнал блокировок, чтобы заметить необычную активность, не принимая каждую неудачную попытку за признак успешного взлома.