Защита входа: ограничение неудачных попыток на один IP

Защита входа считает неудачные попытки входа по каждому IP-адресу и отклоняет адрес, как только он достиг заданного лимита. Считаются только попытки через обычную форму входа; запросы через REST или с паролями приложений остаются нетронутыми. Успешный вход снова обнуляет счётчик адреса.

Настроить лимит и срок блокировки

1. Открой в меню WordPress пункт «Kakapo Security» — при активном White-Label он носит заданное там имя — и выбери в левой боковой панели в разделе «Защита» пункт «Защита входа» (по-немецки: „Login-Schutz“).
2. Проверь в карточке «Лимит неудачных попыток» переключатель «Лимит входа активен»; по умолчанию он включён.
3. Впиши в поле «Разрешённые неудачные попытки» нужное значение. Допустимо от 2 до 20, по умолчанию 5.
4. Задай в поле «Срок блокировки (минуты)» временное окно. Допустимо от 1 до 1440 минут, по умолчанию 15.
5. Оставь «Обобщённое сообщение об ошибке» включённым, если форма входа не должна выдавать, что было неверно — имя пользователя или пароль.
6. Заблокированные адреса появляются ниже в карточке «Заблокированные IP-адреса»; кнопка «Разблокировать» снимает блокировку немедленно.

Как ведётся подсчёт и блокировка

• Срок блокировки является одновременно окном подсчёта: если первая неудачная попытка была раньше, подсчёт начинается заново.
• Как только лимит достигнут, адрес блокируется на тот же промежуток, а вход отклоняется ещё до проверки пароля.
• Сообщение по заблокированному адресу называет число оставшихся минут.
• Таблица показывает по каждой блокировке адрес, число неудачных попыток и время, до которого она действует.
• Каждая блокировка фиксируется как событие в журнале активности и вызывает письмо, пока в разделе «Уведомления» (по-немецки: „Benachrichtigungen“) включён переключатель «Сообщать при блокировке IP».

Два дополнительных переключателя в карточке «Дополнительное усиление защиты входа»

• «Отключить XML-RPC» выключает интерфейс XML-RPC. По умолчанию переключатель выключен.
• «Блокировать перебор пользователей» перенаправляет обращения с ?author=<id> для не вошедших посетителей на главную страницу и удаляет REST-маршрут списков пользователей для анонимных. По умолчанию переключатель включён.
• Обращения из-под учётной записи сохраняют REST-маршрут пользователей, чтобы соединения по паролю приложения продолжали работать.

kwpsec_trust_proxy