Inlogbeveiliging: mislukte pogingen per IP beperken

De inlogbeveiliging telt mislukte inlogpogingen per IP-adres en weigert het adres zodra dat de ingestelde limiet heeft bereikt. Geteld worden alleen pogingen via het normale inlogformulier; verzoeken via REST of met applicatiewachtwoorden blijven onaangeroerd. Een geslaagde aanmelding wist de teller van het adres weer.

Limiet en blokkeerduur instellen

1. Open in het WordPress-menu het item ‘Kakapo Security’ — bij actief White-label draagt het de daar ingestelde naam — en kies in de linker zijbalk onder ‘Beveiliging’ het onderdeel ‘Inlogbeveiliging’ (in het Duits: „Login-Schutz“).
2. Controleer in de kaart ‘Limiet mislukte pogingen’ de schakelaar ‘Inloglimiet actief’; standaard staat hij aan.
3. Vul onder ‘Toegestane mislukte pogingen’ de gewenste waarde in. Toegestaan zijn 2 tot 20, standaard is 5.
4. Stel onder ‘Blokkeerduur (minuten)’ het tijdvenster in. Toegestaan zijn 1 tot 1440 minuten, standaard is 15.
5. Laat ‘Algemene foutmelding’ ingeschakeld als het inlogscherm niet mag verraden of de gebruikersnaam of het wachtwoord fout was.
6. Geblokkeerde adressen verschijnen verderop in de kaart ‘Geblokkeerde IP-adressen’; de knop ‘Deblokkeren’ heft een blokkade meteen op.

Hoe er wordt geteld en geblokkeerd

• De blokkeerduur is tegelijk het telvenster: ligt de eerste mislukte poging langer geleden, dan begint het tellen opnieuw.
• Is de limiet bereikt, dan wordt het adres voor dezelfde periode geblokkeerd en wordt de aanmelding al vóór de wachtwoordcontrole geweigerd.
• De melding bij het geblokkeerde adres noemt het aantal resterende minuten.
• De tabel toont bij elke blokkade het adres, het aantal mislukte pogingen en het tijdstip tot wanneer die geldt.
• Elke blokkade wordt als gebeurtenis in het activiteitenlog vastgelegd en verstuurt een e-mail, zolang onder ‘Meldingen’ (in het Duits: „Benachrichtigungen“) de schakelaar ‘Melden bij IP-blokkade’ aan staat.

Twee andere schakelaars in de kaart ‘Verdere inloghardening’

• ‘XML-RPC uitschakelen’ zet de XML-RPC-interface uit. Standaard staat de schakelaar uit.
• ‘Gebruikersenumeratie blokkeren’ leidt oproepen met ?author=<id> voor niet-ingelogde bezoekers om naar de homepage en verwijdert de REST-route voor gebruikerslijsten voor anonieme bezoekers. Standaard staat de schakelaar aan.
• Ingelogde toegangen behouden de REST-gebruikersroute, zodat verbindingen via een applicatiewachtwoord blijven werken.

kwpsec_trust_proxy