Limit Login Attempts Security – Login Security, 2FA, Firewall, Brute Force Prevention

Najczęściej zadawane pytania

Co mam zrobić, jeśli wszyscy użytkownicy zostaną zablokowani?

If you are using contemporary hosting, it’s likely your site uses a proxy domain service like CloudFlare, Sucuri, Nginx, etc. They replace your user’s IP address with their own. If the server where your site runs is not configured properly (this happens a lot) all users will get the same IP address. This also applies to bots and hackers. Therefore, locking one user will lead to locking everybody else out. If the plugin is not using our Cloud App, this can be adjusted using the Trusted IP Origin setting. The cloud service intelligently recognizes the non-standard IP origins and handles them correctly, even if your hosting provider does not.

Skąd mam wiedzieć, czy jestem atakowany?

Łatwym sposobem na sprawdzenie, czy atak jest rzeczywisty, jest skopiowanie adresu IP z powiadomienia o blokadzie i sprawdzenie jego lokalizacji za pomocą narzędzia do lokalizacji IP. Jeśli lokalizacja nie jest miejscem, które rozpoznajesz, a otrzymałeś kilka nieudanych prób logowania, prawdopodobnie jesteś atakowany. Możesz zauważyć dziesiątki lub setki adresów IP każdego dnia. Odwiedź naszą stronę internetową, aby dowiedzieć się, jak możesz zapobiegać atakom siłowym na swojej stronie.

Jak mogę sprawdzić, czy wtyczka premium działa poprawnie?

Po uaktualnieniu do wersji premium, zobaczysz nowy kokpit w panelu administracyjnym WordPress, który pokaże wszystkie ataki, które teraz będą przesyłane przez naszą usługę w chmurze. Na wykresie zobaczysz żądania oraz nieudane próby logowania. Każde żądanie będzie reprezentować aplikację w chmurze weryfikującą adres IP, co obejmuje również odrzucone logowania.

W niektórych przypadkach możesz zauważyć zwiększenie szybkości i wydajności swojej strony internetowej. Zmniejszy się również ilość powiadomień o blokadach wysyłanych e-mailem.

Czy te nieudane próby logowania mogą być fałszywe?

Niektórym użytkownikom trudno jest uwierzyć, że mogą doświadczyć wielu nieudanych prób logowania, szczególnie gdy ich strona została niedawno utworzona lub ma minimalny ruch użytkowników. Wtyczka nie jest odpowiedzialna za generowanie tych nieudanych prób logowania. Nowo utworzone strony internetowe często są hostowane na współdzielonych adresach IP, co ułatwia hakerom ich odkrycie. Dodatkowo, nowo zarejestrowane nazwy domen są często przeszukiwane krótko po ich utworzeniu, co sprawia, że strona WordPress staje się podatna na ataki. Takie strony są atrakcyjnymi celami, ponieważ bezpieczeństwo nie jest głównym zmartwieniem ich właścicieli. Stworzyliśmy artykuł, który zagłębia się w kwestię fałszywych prób logowania w WordPressie.

Co się stanie, jeśli moja strona przekroczy limity żądań w planie?

Plan premium ma limity zasobów zaczynające się od 100 000 żądań miesięcznie, co powinno wystarczyć na prawie każdy ciężki atak siłowy. Monitorujemy wszystkie nasze strony i powiadomimy użytkownika, jeśli okaże się, że przekraczają swoje limity. Jeśli limity zostaną osiągnięte, zasugerujemy użytkownikowi przejście na wyższy plan. Jeśli używasz wersji darmowej, obciążenie spowodowane atakami siłowymi będzie pochłaniane przez aktualną przepustowość twojego hostingu, co może spowodować wzrost kosztów hostingu.

Jakie adresy URL są atakowane i chronione?

Chronione są adresy URL takie jak strona logowania (wp-login.php, wp-admin), xmlrpc.php, strona logowania WooCommerce oraz każda niestandardowa strona logowania korzystająca z zwykłych haków logowania WordPress.

Why is Limit Login Attempts Security more popular than other brute-force protection plugins?

Naszym głównym celem jest ochrona twojej strony przed atakami siłowymi. Dzięki temu nasza wtyczka jest bardzo lekka i skuteczna. Nie wymaga dużo zasobów twojego serwera i zapewnia doskonałą ochronę twojej strony. Co najważniejsze, wszystko to odbywa się automatycznie, ponieważ nasza usługa samodzielnie uczy się o każdym napotkanym adresie IP. Z kolei zapora sieciowa wymagałaby ręcznego blokowania adresów IP.

Co zrobić, gdy administrator zostanie zablokowany?

Otwórz stronę z innego adresu IP. Możesz to zrobić za pomocą telefonu komórkowego lub używając przeglądarki Opera z włączonym darmowym VPN-em. Możesz także spróbować wyłączyć router na kilka minut i sprawdzić, czy uzyskasz inny adres IP. Te metody powinny zadziałać, jeśli serwer hostingu jest poprawnie skonfigurowany. A jeśli to nie zadziała, spróbuj połączyć się ze stroną za pomocą FTP lub menedżera plików w panelu sterowania hostingiem. Przejdź do katalogu wp-content/plugins/ i zmień nazwę folderu limit-login-attempts-reloaded. Zaloguj się na stronie, następnie przywróć pierwotną nazwę tego folderu i dodaj swój adres IP do białej listy. Poprzez aktualizację do naszej aplikacji premium, uzyskasz możliwość odblokowania bezpośrednio z chmury, co pozwoli uniknąć tego rodzaju problemów w przyszłości.

Jakich ustawień powinienem użyć we wtyczce?

Ustawienia są szczegółowo wyjaśnione we wtyczce. Jeśli nie masz pewności, użyj ustawień domyślnych, ponieważ są one zalecane.

Czy mogę udostępnić listę bezpieczeństwa/zablokowanych na wszystkich moich stronach?

Domyślnie będziesz musiał ręcznie kopiować i wklejać listy do każdej strony. W przypadku usługi premium, strony są grupowane w ramach tego samego prywatnego konta w chmurze. Każda strona w tej grupie może być skonfigurowana do dzielenia swoich blokad i list dostępu z innymi członkami grupy. Ustawienie znajduje się w interfejsie wtyczki. Zalecane są domyślne opcje.