Protezione dell'accesso: limitare i tentativi falliti per IP

La protezione dell'accesso conta i tentativi di accesso falliti per ogni indirizzo IP e respinge l'indirizzo non appena raggiunge il limite impostato. Vengono contati solo i tentativi tramite il normale modulo di accesso; le richieste tramite REST o con password per applicazioni restano intatte. Un accesso riuscito azzera di nuovo il contatore dell'indirizzo.

Impostare il limite e la durata del blocco

1. Nel menu di WordPress apri la voce «Kakapo Security» — con White-Label attivo porta il nome lì impostato — e scegli nella barra laterale sinistra, sotto «Protezione», la voce «Protezione dell'accesso» (in tedesco: „Login-Schutz“).
2. Nella scheda «Limite di tentativi falliti» controlla l'interruttore «Limite di accesso attivo»; di fabbrica è acceso.
3. In «Tentativi falliti consentiti» inserisci il valore desiderato. Sono ammessi da 2 a 20, il valore predefinito è 5.
4. In «Durata del blocco (minuti)» imposta la finestra temporale. Sono ammessi da 1 a 1440 minuti, il valore predefinito è 15.
5. Lascia acceso «Messaggio di errore generico» se la maschera di accesso non deve rivelare se era sbagliato il nome utente o la password.
6. Gli indirizzi bloccati compaiono più in basso nella scheda «Indirizzi IP bloccati»; il pulsante «Sblocca» revoca un blocco immediatamente.

Come si conta e si blocca

• La durata del blocco è al tempo stesso la finestra di conteggio: se il primo tentativo fallito è più lontano nel tempo, il conteggio ricomincia da capo.
• Al raggiungimento del limite l'indirizzo viene bloccato per lo stesso arco di tempo e l'accesso viene respinto già prima della verifica della password.
• Il messaggio all'indirizzo bloccato indica il numero di minuti rimanenti.
• Per ogni blocco la tabella mostra l'indirizzo, il numero di tentativi falliti e l'ora fino alla quale vale.
• Ogni blocco viene registrato come evento nel log delle attività e fa partire un'e-mail, finché in «Notifiche» (in tedesco: „Benachrichtigungen“) è acceso l'interruttore «Segnala in caso di blocco IP».

Altri due interruttori nella scheda «Ulteriore hardening dell'accesso»

• «Disattiva XML-RPC» spegne l'interfaccia XML-RPC. Di fabbrica l'interruttore è spento.
• «Blocca l'enumerazione degli utenti» reindirizza alla pagina iniziale le chiamate con ?author=<id> per i visitatori non connessi e rimuove per gli anonimi la rotta REST degli elenchi utenti. Di fabbrica l'interruttore è acceso.
• Gli accessi autenticati mantengono la rotta REST degli utenti, così le connessioni tramite password per applicazioni continuano a funzionare.

kwpsec_trust_proxy