Защита от подбора пароля

Боты круглосуточно перебирают пароли к админке любого сайта на WordPress. Функция ограничивает число попыток и блокирует тех, кто ошибается слишком часто.

Включение

Вкладка Безопасность → «Защита от подбора пароля». Значения по умолчанию подходят большинству сайтов: 5 попыток, блокировка на 20 минут.

Параметры

Настройка	По умолчанию	Что означает
Максимум попыток	5	Сколько раз можно ошибиться до блокировки
Срок блокировки	20 минут	На сколько закрывается вход после превышения
Окно подсчёта	60 минут	За какой период накапливаются неудачные попытки
Длинная блокировка после	3 блокировок	Сколько раз нужно попасться, чтобы срок вырос. 0 — выключить
Срок длинной блокировки	24 часа	На сколько закрывается вход упорным переборщикам

Эскалация делает перебор бессмысленным. Первая блокировка на 20 минут отсеивает случайные ошибки. Но если с одного адреса блокировка срабатывает трижды — это уже явно бот, и он уходит на сутки. Перебирать пароли при таких условиях бесполезно.

Определение адреса посетителя

Настройка «Источник IP» задаёт, откуда брать адрес обратившегося.

Значение	Когда выбирать
REMOTE_ADDR (по умолчанию)	Обычный сайт напрямую на хостинге
X-Forwarded-For	Сайт за прокси или балансировщиком
CF-Connecting-IP	Сайт работает через Cloudflare
X-Real-IP	Некоторые конфигурации Nginx

Не меняйте источник без необходимости. Заголовки вроде X-Forwarded-For подделываются одной строкой запроса. Если сайт не за прокси, а вы выбрали такой источник, бот просто подставит чужой адрес и обойдёт защиту. Значение по умолчанию подделать нельзя.

Признак того, что источник выбран неверно: в списке блокировок один и тот же адрес у всех, либо адрес вида 127.0.0.1.

Белый и чёрный списки

Оба поля принимают по одной записи на строку. Поддерживаются форматы:

192.168.1.10          точный адрес
192.168.1.*           маска
192.168.0.0/24        диапазон CIDR
# комментарий          строка-пояснение

Белый список — адреса, которые никогда не блокируются. Впишите сюда свой домашний или офисный адрес, если опасаетесь закрыть себе доступ.

Чёрный список — адреса, которым вход закрыт всегда, без попыток.

Снятие блокировки

Список заблокированных адресов и кнопки снятия находятся на вкладке «Безопасность», под настройками.

Если вы заблокировали сами себя. Варианты: дождаться окончания срока, зайти с другого устройства или мобильного интернета (адрес будет другой), либо добавить константу в файл wp-config.php на сервере:

define( 'WP_ELDER_ADDON_DISABLE_LOGIN_GUARD', true );

Она полностью отключает защиту, оставляя работающей кнопку снятия блокировок. После восстановления доступа строку нужно удалить.

Подсказка на странице входа

При неудачной попытке под формой появляется сообщение о числе оставшихся попыток. Это помогает человеку, который просто опечатался, и не даёт полезной информации боту — он всё равно не читает страницу.