Accesso bloccato dopo tentativi falliti
Bastano cinque tentativi falliti e la pagina di accesso respinge il tuo stesso indirizzo. Il plugin Security frena così i tentativi di forza bruta — ogni tanto colpisce anche il gestore. Il blocco scade da sé e in più può essere rimosso a mano.
Come la riconosci
Al posto del solito messaggio di errore, sulla pagina di accesso compare: «Accesso temporaneamente bloccato. Troppi tentativi falliti dal tuo indirizzo. Riprova tra circa X minuto/i.» Il numero indicato è il tempo effettivamente rimanente. Nel log delle attività si trova al riguardo una voce con indirizzo, numero di tentativi falliti, durata del blocco e nome utente interessato.
Rimuovere il blocco
- Accedi da un'altra connessione — il blocco vale per singolo indirizzo IP.
- Nel menu di WordPress apri la voce «Kakapo Security».
- A sinistra, nel gruppo «Protezione», passa a «Protezione dell'accesso» (in tedesco: „Login-Schutz“).
- Cerca la tabella «Indirizzi IP bloccati» con le colonne «Indirizzo IP», «Tentativi falliti» e «Bloccato fino a».
- Nella riga interessata clicca su «Sblocca».
Impostare i limiti
- «Limite di accesso attivo» è attivo di fabbrica
- «Tentativi falliti consentiti» — valore predefinito 5, impostabile tra 2 e 20
- «Durata del blocco (minuti)» — valore predefinito 15, impostabile tra 1 e 1440; lo stesso valore è anche la finestra temporale in cui vengono contati i tentativi falliti
- Vengono contati solo i tentativi falliti attraverso il normale modulo di accesso; gli accessi REST e le password dell'applicazione non vengono toccati
- Un accesso riuscito azzera il contatore di questo indirizzo
Altri ostacoli prima del backend
Se in «Due fattori» (in tedesco: „Zwei-Faktor“) l'interruttore «2FA attivo globalmente» è acceso, dopo la password corretta il plugin richiede un codice a sei cifre inviato all'e-mail dell'account — però solo per gli account per cui la 2FA è attivata nella tabella «Amministratori». Se non arriva alcuna e-mail, la strada finisce lì; a questo proposito la scheda riporta la riga «Invio e-mail (wp_mail)». Il codice vale 10 minuti, i messaggi corrispondenti sono «Codice di conferma scaduto. Effettua di nuovo l'accesso.» e «Troppi tentativi falliti con il codice di conferma. Effettua di nuovo l'accesso.»