Protection de la connexion : limiter les tentatives échouées par IP

La protection de la connexion compte les tentatives de connexion échouées par adresse IP et rejette l'adresse dès qu'elle a atteint la limite réglée. Seules les tentatives passant par le formulaire de connexion normal sont comptées ; les requêtes via REST ou avec des mots de passe d'application ne sont pas concernées. Une connexion réussie remet le compteur de l'adresse à zéro.

Régler la limite et la durée de blocage

1. Ouvre dans le menu WordPress l'entrée « Kakapo Security » — si la marque blanche est active, elle porte le nom qui y est défini — et choisis dans la barre latérale de gauche, sous « Protection », le point « Protection de la connexion » (en allemand : „Login-Schutz“).
2. Dans la carte « Limite de tentatives échouées », vérifie l'interrupteur « Limite de connexion active » ; par défaut, il est activé.
3. Sous « Tentatives échouées autorisées », saisis la valeur souhaitée. Les valeurs admises vont de 2 à 20, la valeur par défaut est 5.
4. Sous « Durée de blocage (minutes) », définis la fenêtre temporelle. Les valeurs admises vont de 1 à 1440 minutes, la valeur par défaut est 15.
5. Laisse « Message d'erreur générique » activé si le formulaire de connexion ne doit pas révéler si c'est le nom d'utilisateur ou le mot de passe qui était faux.
6. Les adresses bloquées apparaissent plus bas dans la carte « Adresses IP bloquées » ; le bouton « Débloquer » lève un blocage immédiatement.

Comment le comptage et le blocage fonctionnent

• La durée de blocage est en même temps la fenêtre de comptage : si la première tentative échouée est plus ancienne, le comptage recommence à zéro.
• Une fois la limite atteinte, l'adresse est bloquée pour la même durée et la connexion est refusée avant même le contrôle du mot de passe.
• Le message affiché à l'adresse bloquée indique le nombre de minutes restantes.
• Pour chaque blocage, le tableau affiche l'adresse, le nombre de tentatives échouées et l'heure jusqu'à laquelle il s'applique.
• Chaque blocage est consigné comme événement dans le journal d'activité et déclenche un e-mail, tant que l'interrupteur « Signaler un blocage d'IP » est activé sous « Notifications » (en allemand : „Benachrichtigungen“).

Deux autres interrupteurs dans la carte « Durcissement supplémentaire de la connexion »

• « Désactiver XML-RPC » coupe l'interface XML-RPC. Par défaut, l'interrupteur est désactivé.
• « Bloquer l'énumération des utilisateurs » redirige les appels avec ?author=<id> vers la page d'accueil pour les visiteurs non connectés et supprime la route REST des listes d'utilisateurs pour les anonymes. Par défaut, l'interrupteur est activé.
• Les accès connectés conservent la route REST des utilisateurs, afin que les connexions par mot de passe d'application continuent de fonctionner.

kwpsec_trust_proxy