Protección del acceso: limitar intentos fallidos por IP

La protección del inicio de sesión cuenta los intentos de acceso fallidos por dirección IP y rechaza la dirección en cuanto alcanza el límite configurado. Solo se cuentan los intentos a través del formulario de acceso normal; las peticiones vía REST o con contraseñas de aplicación quedan al margen. Un inicio de sesión correcto vuelve a poner a cero el contador de esa dirección.

Ajustar el límite y la duración del bloqueo

1. Abre en el menú de WordPress la entrada «Kakapo Security» — con la marca blanca activa lleva el nombre que se haya fijado ahí — y elige en la barra lateral izquierda, dentro de «Protección», el punto «Protección del inicio de sesión» (en alemán: „Login-Schutz“).
2. Comprueba en la tarjeta «Límite de intentos fallidos» el interruptor «Límite de inicio de sesión activo»; de fábrica está activado.
3. Introduce en «Intentos fallidos permitidos» el valor que quieras. Se admiten de 2 a 20; el valor por defecto es 5.
4. Fija en «Duración del bloqueo (minutos)» la ventana de tiempo. Se admiten de 1 a 1440 minutos; el valor por defecto es 15.
5. Deja activado «Mensaje de error genérico» si no quieres que el formulario de acceso revele si lo incorrecto era el nombre de usuario o la contraseña.
6. Las direcciones bloqueadas aparecen más abajo, en la tarjeta «Direcciones IP bloqueadas»; el botón «Desbloquear» levanta un bloqueo de inmediato.

Cómo se cuenta y se bloquea

• La duración del bloqueo es al mismo tiempo la ventana de recuento: si el primer intento fallido queda más atrás, el recuento vuelve a empezar.
• Cuando se alcanza el límite, la dirección queda bloqueada durante ese mismo lapso y el inicio de sesión se rechaza ya antes de comprobar la contraseña.
• El mensaje que ve la dirección bloqueada indica el número de minutos restantes.
• La tabla muestra para cada bloqueo la dirección, el número de intentos fallidos y la hora hasta la que rige.
• Cada bloqueo queda recogido como evento en el registro de actividad y dispara un correo electrónico mientras en «Notificaciones» (en alemán: „Benachrichtigungen“) esté activado el interruptor «Avisar al bloquear una IP».

Otros dos interruptores en la tarjeta «Más blindaje del inicio de sesión»

• «Desactivar XML-RPC» apaga la interfaz XML-RPC. De fábrica el interruptor está desactivado.
• «Bloquear la enumeración de usuarios» redirige a la página de inicio las llamadas con ?author=<id> de los visitantes sin sesión iniciada y elimina para los anónimos la ruta REST de las listas de usuarios. De fábrica el interruptor está activado.
• Los accesos con la sesión iniciada conservan la ruta REST de usuarios, para que las conexiones con contraseña de aplicación sigan funcionando.

kwpsec_trust_proxy