Вход заблокирован после неудачных попыток
Fünf Fehlversuche genügen, dann weist die Anmeldeseite die eigene Adresse ab. Das Security-Plugin bremst damit Brute-Force-Versuche — gelegentlich trifft es auch den Betreiber. Die Sperre läuft von allein ab und lässt sich zusätzlich von Hand aufheben.
Woran du sie erkennst
Statt der üblichen Fehlermeldung erscheint auf der Anmeldeseite: „Zugang vorübergehend gesperrt. Zu viele Fehlversuche von deiner Adresse. Bitte in etwa X Minute(n) erneut versuchen.“ Die genannte Zahl ist die tatsächlich verbleibende Zeit. Im Aktivitäts-Log steht dazu ein Eintrag mit Adresse, Anzahl der Fehlversuche, Sperrdauer und betroffenem Benutzernamen.
Sperre aufheben
- Melde dich von einem anderen Anschluss aus an — die Sperre gilt je IP-Adresse.
- Öffne im WordPress-Menü den Eintrag „Kakapo Security“.
- Wechsle links in der Gruppe „Schutz“ auf „Login-Schutz“.
- Suche die Tabelle „Gesperrte IP-Adressen“ mit den Spalten „IP-Adresse“, „Fehlversuche“ und „Gesperrt bis“.
- Klicke in der betreffenden Zeile auf „Entsperren“.
Grenzen einstellen
- „Login-Limit aktiv“ ist ab Werk eingeschaltet
- „Erlaubte Fehlversuche“ — Vorgabe 5, einstellbar zwischen 2 und 20
- „Sperrdauer (Minuten)“ — Vorgabe 15, einstellbar zwischen 1 und 1440; derselbe Wert ist auch das Zeitfenster, in dem die Fehlversuche gezählt werden
- Gezählt werden nur Fehlversuche über das normale Anmeldeformular; REST-Zugriffe und Application-Passwörter bleiben unberührt
- Eine erfolgreiche Anmeldung leert den Zähler dieser Adresse
Weitere Hürden vor dem Backend
Ist unter „Zwei-Faktor“ der Schalter „2FA global aktiv“ an, verlangt das Plugin nach korrektem Passwort einen sechsstelligen Code an die Konto-Mail — allerdings nur bei Konten, für die 2FA in der Tabelle „Administratoren“ eingeschaltet ist. Kommt keine Mail an, führt der Weg nicht weiter; die Karte führt dazu die Zeile „E-Mail-Versand (wp_mail)“. Der Code gilt 10 Minuten, die zugehörigen Meldungen lauten „Bestätigungscode abgelaufen. Bitte erneut anmelden.“ und „Zu viele Fehlversuche beim Bestätigungscode. Bitte erneut anmelden.“