Blokowanie logowania po nieudanych próbach
Jak skonfigurować w RRSecurity automatyczne banowanie adresów IP, które zbyt wiele razy próbują się zalogować lub zaspamować formularz.
Boty i automaty testują formularz logowania w kółko, licząc na to, że w końcu trafią na słabe hasło. Bez ograniczenia liczby prób każdy adres IP może próbować bez końca - RRSecurity blokuje to na dwóch poziomach naraz: po nieudanych próbach logowania i po spamie w formularzach kontaktowych.
Gdzie to ustawić
Ustawienia znajdziesz w panelu WordPressa: RRSecurity → Antyspam → Auto-ban i logi. Sekcja "Auto-banowanie" pozwala osobno skonfigurować próg dla formularzy i próg dla logowania.
Próg formularza i próg logowania
To dwa niezależne liczniki:
- Próg formularza - ile zgłoszeń z jednego adresu IP w zadanym oknie czasowym uruchamia bana. Na mojej testowej instalacji to 10 prób w 360 sekund.
- Próg logowań - to samo, ale liczone dla nieudanych prób logowania do wp-admin. U mnie ustawione na 5 prób w 600 sekund.
Gdy licznik przekroczy próg, adres IP dostaje bana na czas ustawiony w polu Czas bana - w sekundach. 86400 sekund to 24 godziny; możesz ustawić dłużej, jeśli wolisz odstraszyć atakującego na dobre, albo krócej, jeśli obsługujesz ruch z sieci firmowych, gdzie wielu użytkowników dzieli jeden adres IP.
Zanim zmniejszysz progi, sprawdź, ile realnych prób logowania generują twoi własni użytkownicy - zbyt niski próg potrafi zbanować kogoś, kto po prostu kilka razy pomylił hasło.
Jak sprawdzić, czy to działa
W tej samej zakładce, niżej, znajduje się tabela Ostatnie zdarzenia - pełny log zablokowanych prób: czas, adres IP (na poniższym zrzucie zamazany, bo pochodzi z realnego ruchu), powód blokady, szczegóły i źródło. To pierwsze miejsce, w którym sprawdzam, czy ochrona rzeczywiście łapie ataki, a nie tylko stoi wyłączona w tle.
Jeśli po włączeniu auto-banowania log zaczyna się zapełniać wpisami, wiesz, że wtyczka realnie odrzuca próby, zanim dotrą do ekranu logowania czy formularza.
