登录保护：限制每个 IP 的失败尝试

Der Login-Schutz zählt fehlgeschlagene Anmeldeversuche je IP-Adresse und weist die Adresse ab, sobald sie das eingestellte Limit erreicht hat. Gezählt werden nur Versuche über das normale Anmeldeformular; Anfragen über REST oder mit Anwendungspasswörtern bleiben unberührt. Eine erfolgreiche Anmeldung löscht den Zähler der Adresse wieder.

Limit und Sperrdauer einstellen

1. Öffne im WordPress-Menü den Eintrag „Kakapo Security“ — bei aktivem White-Label trägt er den dort gesetzten Namen — und wähle in der linken Seitenleiste unter „Schutz“ den Punkt „Login-Schutz“.
2. Prüfe in der Karte „Fehlversuch-Limit“ den Schalter „Login-Limit aktiv“; ab Werk ist er eingeschaltet.
3. Trage unter „Erlaubte Fehlversuche“ den gewünschten Wert ein. Zulässig sind 2 bis 20, voreingestellt sind 5.
4. Setze unter „Sperrdauer (Minuten)“ das Zeitfenster. Zulässig sind 1 bis 1440 Minuten, voreingestellt sind 15.
5. Lass „Generische Fehlermeldung“ eingeschaltet, wenn die Anmeldemaske nicht verraten soll, ob Benutzername oder Passwort falsch war.
6. Gesperrte Adressen erscheinen weiter unten in der Karte „Gesperrte IP-Adressen“; die Schaltfläche „Entsperren“ hebt eine Sperre sofort auf.

Wie gezählt und gesperrt wird

• Die Sperrdauer ist zugleich das Zählfenster: Liegt der erste Fehlversuch länger zurück, beginnt die Zählung von vorn.
• Ist das Limit erreicht, wird die Adresse für dieselbe Spanne gesperrt und die Anmeldung schon vor der Passwortprüfung abgewiesen.
• Die Meldung an der gesperrten Adresse nennt die Zahl der verbleibenden Minuten.
• Die Tabelle zeigt zu jeder Sperre die Adresse, die Zahl der Fehlversuche und die Uhrzeit, bis zu der sie gilt.
• Jede Sperre wird als Ereignis im Aktivitäts-Log festgehalten und löst eine E-Mail aus, solange unter „Benachrichtigungen“ der Schalter „Bei IP-Sperre melden“ an ist.

Zwei weitere Schalter in der Karte „Weitere Login-Härtung“

• „XML-RPC deaktivieren“ schaltet die XML-RPC-Schnittstelle ab. Ab Werk ist der Schalter aus.
• „Benutzer-Enumeration blocken“ leitet Aufrufe mit ?author=<id> für nicht angemeldete Besucher auf die Startseite um und entfernt die REST-Route für Benutzerlisten für Anonyme. Ab Werk ist der Schalter an.
• Angemeldete Zugriffe behalten die REST-Benutzerroute, damit Verbindungen per Anwendungspasswort weiter funktionieren.

kwpsec_trust_proxy