Buitengesloten van het inloggen na mislukte pogingen
Vijf mislukte pogingen zijn genoeg, dan wijst de inlogpagina je eigen adres af. De Security-plugin remt daarmee brute-force-pogingen af — af en toe treft het ook de beheerder zelf. De blokkering verloopt vanzelf en laat zich daarnaast met de hand opheffen.
Waaraan je ze herkent
In plaats van de gebruikelijke foutmelding verschijnt op de inlogpagina: ‘Toegang tijdelijk geblokkeerd. Te veel mislukte pogingen vanaf jouw adres. Probeer het over ongeveer X minuut(minuten) opnieuw.’ Het genoemde getal is de werkelijk resterende tijd. In het activiteitenlog staat daarover een item met adres, aantal mislukte pogingen, blokkeerduur en de betrokken gebruikersnaam.
Blokkering opheffen
- Log in vanaf een andere aansluiting — de blokkering geldt per IP-adres.
- Open in het WordPress-menu het item ‘Kakapo Security’.
- Ga links in de groep ‘Beveiliging’ naar ‘Inlogbeveiliging’ (in het Duits: „Login-Schutz“).
- Zoek de tabel ‘Geblokkeerde IP-adressen’ met de kolommen ‘IP-adres’, ‘Mislukte pogingen’ en ‘Geblokkeerd tot’.
- Klik in de betreffende regel op ‘Deblokkeren’.
Grenzen instellen
- ‘Inloglimiet actief’ staat standaard aan
- ‘Toegestane mislukte pogingen’ — standaard 5, instelbaar tussen 2 en 20
- ‘Blokkeerduur (minuten)’ — standaard 15, instelbaar tussen 1 en 1440; dezelfde waarde is ook het tijdvenster waarin de mislukte pogingen worden geteld
- Geteld worden alleen mislukte pogingen via het normale inlogformulier; REST-toegang en applicatiewachtwoorden blijven onaangeroerd
- Een geslaagde inlogpoging zet de teller van dit adres op nul
Verdere drempels vóór de backend
Staat onder ‘Tweefactor’ (in het Duits: „Zwei-Faktor“) de schakelaar ‘2FA globaal actief’ aan, dan vraagt de plugin na het juiste wachtwoord om een zescijferige code naar het e-mailadres van het account — echter alleen bij accounts waarvoor 2FA in de tabel ‘Beheerders’ is ingeschakeld. Komt er geen e-mail aan, dan loopt de weg dood; de kaart voert daarvoor de regel ‘E-mailverzending (wp_mail)’. De code geldt 10 minuten, de bijbehorende meldingen luiden ‘Bevestigingscode verlopen. Log opnieuw in.’ en ‘Te veel mislukte pogingen bij de bevestigingscode. Log opnieuw in.’