Zaufane samouczki WordPress, kiedy ich najbardziej potrzebujesz.
Przewodnik dla początkujących po WordPressie
WPB Cup
25 milionów+
Witryny korzystające z naszych wtyczek
16+
Lata doświadczenia z WordPressem
3000+
Samouczki WordPress od ekspertów

Jak i dlaczego powinieneś ograniczyć próby logowania w WordPressie

Wyobraź sobie złodzieja wielokrotnie próbującego różnych kluczy, aby włamać się do Twojego domu. Coś podobnego dzieje się podczas ataku siłowego, gdzie hakerzy próbują tysięcy kombinacji haseł, aby uzyskać dostęp do Twojej witryny.

To prawdopodobnie brzmi przerażająco, ale na szczęście możesz łatwo bronić swojej witryny, tak jak my, ograniczając liczbę prób logowania. 🔒

To ogranicza liczbę prób logowania, zanim użytkownik zostanie zablokowany, dając hakerom prawie zerową szansę na włamanie się metodą siłową.

W tym artykule przeprowadzimy Cię przez proces ustawiania limitów prób logowania na Twojej stronie WordPress. Zbadamy, dlaczego jest to ważne dla bezpieczeństwa Twojej witryny i przeprowadzimy Cię przez kroki, nawet jeśli nie jesteś ekspertem technicznym.

Jak i dlaczego powinieneś ograniczyć próby logowania w WordPressie

Oto szybki przegląd tego, co omówimy w tym przewodniku:

Dlaczego powinieneś ograniczać próby logowania w WordPress?

Atak siłowy to metoda hakowania, w której atakujący używają metody prób i błędów, aby odgadnąć Twoje dane logowania.

Używają zautomatyzowanego oprogramowania do wypróbowania tysięcy kombinacji nazw użytkownika i haseł, mając nadzieję, że jedna w końcu zadziała.

Domyślnie WordPress pozwala użytkownikom wielokrotnie wprowadzać hasło. Ta funkcja może zostać wykorzystana przez hakerów, którzy używają skryptów do uruchamiania nieskończonych kombinacji, dopóki nie uzyskają dostępu do Twojej witryny.

Możesz łatwo zatrzymać te ataki, ograniczając liczbę nieudanych prób logowania.

Tymczasowe blokowanie użytkownika po nieudanych próbach logowania

Po określonej liczbie nieudanych prób system tymczasowo zablokuje tego użytkownika, uniemożliwiając automatyczne zgadywanie haseł.

Niemniej jednak, przyjrzyjmy się, jak ograniczyć liczbę prób logowania w WordPressie.

Jak ograniczyć liczbę prób logowania w WordPress

Pierwszą rzeczą, którą musisz zrobić, jest zainstalowanie i aktywowanie wtyczki Limit Login Attempts Reloaded. Więcej szczegółów znajdziesz w naszym przewodniku krok po kroku, jak zainstalować wtyczkę WordPress.

Darmowa wersja to wszystko, czego potrzebujesz do tego tutorialu.

Po aktywacji powinieneś odwiedzić stronę Ustawienia » Limit Login Attempts, a następnie kliknąć zakładkę „Ustawienia” na górze.

Domyślne ustawienia będą działać dla większości witryn, ale pokażemy Ci, jak skonfigurować ustawienia wtyczki zabezpieczeń dla Twojej witryny.

Ustawienia Limit Login Attempts Reloaded

Aby być zgodnym z przepisami RODO, możesz zaznaczyć pole wyboru „Zgodność z RODO”, aby wyświetlić komunikat na stronie logowania. Więcej informacji o RODO znajdziesz w naszym przewodniku po WordPress i zgodności z RODO.

Następnie wybierzesz, czy chcesz być powiadamiany, gdy ktoś zostanie zablokowany. Możesz zmienić adres e-mail, na który wysyłane jest powiadomienie, jeśli chcesz. Domyślnie będziesz powiadamiany przy trzeciej próbie zablokowania użytkownika.

Następnie powinieneś przewinąć w dół do sekcji Aplikacja lokalna, gdzie możesz zdefiniować, ile prób logowania może zostać wykonanych i czas blokady, który użytkownik będzie musiał odczekać, zanim będzie mógł spróbować ponownie.

Ustawienia Limit Login Attempts Reloaded

Najpierw musisz zdefiniować, ile prób logowania można podjąć. Następnie wybierz, ile minut użytkownik będzie musiał czekać, jeśli przekroczy tę liczbę nieudanych prób. Domyślna wartość to 20 minut.

Możesz również zwiększyć czas oczekiwania po zablokowaniu użytkownika określoną liczbę razy. Na przykład, domyślne ustawienia nie pozwolą użytkownikowi próbować się zalogować przez 24 godziny po 4 próbach zablokowania.

W przypadku ustawienia „Zaufane pochodzenie adresów IP” większość użytkowników może pozostawić je bez zmian. Jednak jeśli korzystasz z CDN lub zapory sieciowej witryny, takiej jak Sucuri lub Cloudflare, być może będziesz musiał skonfigurować to ustawienie.

Zalecamy sprawdzenie dokumentacji swojej usługi, aby upewnić się, że wtyczka może poprawnie zidentyfikować prawdziwy adres IP odwiedzającego.

Nie zapomnij kliknąć przycisku „Zapisz ustawienia” na dole ekranu, aby zachować zmiany.

🔍 Powiązany post: Więcej szczegółów na temat tej wtyczki znajdziesz w naszej kompletnej recenzji Limit Login Attempts.

Profesjonalne wskazówki dotyczące ochrony Twojej witryny WordPress

Ograniczenie prób logowania to świetny pierwszy krok, ale prawdziwe bezpieczeństwo witryny obejmuje wiele warstw.

Oto kilka innych niezbędnych praktyk, których możesz przestrzegać, aby zapewnić bezpieczeństwo swoich witryn:

  • Używaj silnych haseł: To najbardziej podstawowa warstwa bezpieczeństwa. Zalecamy wymuszanie silnych haseł dla wszystkich użytkowników na Twoich witrynach i korzystanie z menedżera haseł do ich śledzenia.
  • Dodaj Google reCAPTCHA: Jeśli Twoja strona logowania nadal jest atakowana, dodanie reCAPTCHA zapewnia kolejną potężną warstwę obrony przed zautomatyzowanymi botami.
  • Wykonuj regularne kopie zapasowe: Żadna witryna nie jest w 100% odporna na zagrożenia, dlatego kopie zapasowe są niepodlegające negocjacjom. W przypadku wielu naszych własnych zasobów internetowych używamy Duplicator do obsługi kopii zapasowych i migracji naszych witryn.
  • Użyj zapory sieciowej dla witryn (WAF): Zapora sieciowa to jeden z najlepszych sposobów na zablokowanie złośliwego ruchu, zanim dotrze on do Twojej witryny. W przypadku kompleksowego rozwiązania, które obejmuje potężną WAF i usługi czyszczenia złośliwego oprogramowania, polecamy Sucuri.

Aby uzyskać jeszcze więcej wskazówek dotyczących bezpieczeństwa witryn, koniecznie zapoznaj się z naszym kompletnym przewodnikiem po bezpieczeństwie WordPress.

Najczęściej zadawane pytania dotyczące ograniczania prób logowania

Oto kilka pytań, które nasi czytelnicy często zadają na temat ograniczania prób logowania:

Co mam zrobić, jeśli zostanę zablokowany z własnej witryny?

Możliwe jest zablokowanie się, jeśli zbyt wiele razy wprowadzisz błędne hasło. Jeśli tak się stanie, będziesz musiał ręcznie odblokować swój adres IP.

Możesz postępować zgodnie z prostymi krokami w naszym przewodniku jak odblokować Limit Login Attempts w WordPress.

Ile prób logowania powinienem zezwolić?

Dla większości stron internetowych domyślne ustawienie 4 prób logowania jest świetnym punktem wyjścia. Zapewnia to silną równowagę między bezpieczeństwem strony a pewnością, że legalni użytkownicy nie zostaną przypadkowo zablokowani.

Co jeszcze mogę zrobić, aby zabezpieczyć moją stronę logowania?

Oprócz ograniczania prób logowania, możesz dodać pytania zabezpieczające do ekranu logowania, aby uzyskać dodatkową warstwę ochrony. Możesz również dostosować swoją stronę logowania za pomocą WPForms, aby poprawić zarówno bezpieczeństwo, jak i doświadczenie użytkownika.

Samouczek wideo

Jeśli nie preferujesz pisemnych instrukcji, możesz obejrzeć nasz samouczek wideo:

Subskrybuj WPBeginner

Mamy nadzieję, że ten samouczek pomógł Ci dowiedzieć się, jak ograniczyć liczbę prób logowania w WordPress. Możesz również zapoznać się z naszym przewodnikiem na temat dodawania pytań zabezpieczających do ekranu logowania WordPress lub naszym wyborem ekspertów najlepszych wtyczek do strony logowania.

Jeśli podobał Ci się ten artykuł, zasubskrybuj nasz kanał YouTube po samouczki wideo WordPress. Możesz nas również znaleźć na Twitterze i Facebooku.

Ujawnienie: Nasze treści są wspierane przez czytelników. Oznacza to, że jeśli klikniesz w niektóre z naszych linków, możemy otrzymać prowizję. Zobacz jak finansowany jest WPBeginner, dlaczego to ważne i jak możesz nas wesprzeć. Oto nasz proces redakcyjny.

Ostateczny zestaw narzędzi WordPress

Uzyskaj BEZPŁATNY dostęp do naszego zestawu narzędzi – kolekcji produktów i zasobów związanych z WordPress, które powinien mieć każdy profesjonalista!

Interakcje czytelników

57 CommentsLeave a Reply

  1. Jedną dodatkową rzeczą, którą bym zasugerował, jest użycie uwierzytelniania dwuskładnikowego wraz z ograniczonymi próbami logowania. Ta kombinacja zapewnia dodatkową warstwę bezpieczeństwa, utrudniając potencjalnym hakerom uzyskanie nieautoryzowanego dostępu do Twojej strony WordPress.

  2. Czy jest inny sposób niż wtyczka? Np. za pomocą htaccess lub podobnego komponentu? Mam własny serwer i chciałbym mieć to ograniczenie na mojej stronie. Mam już stosunkowo dużo wtyczek i nie chciałbym dodawać więcej. Szukam więc sposobu, aby to zrobić bez wtyczki.

      • Dziękuję za Twoją odpowiedź. Szukałem fragmentu kodu gdzie indziej, ale masz rację – cały proces byłby dość skomplikowany, a praktycznie żaden ze znalezionych fragmentów nie działał. Ostatecznie użyłem Twojego rozwiązania i działa bez zarzutu. Więc dla mnie problem jest rozwiązany i doceniam Twoją świetną wskazówkę dotyczącą poprawy bezpieczeństwa strony internetowej.

  3. Dziękuję bardzo za ten bardzo pomocny artykuł o wtyczce, która zatrzyma ogromną liczbę ataków brute force, których nasza strona doświadczyła ostatnio. Właśnie ją zainstalowałem, korzystając z Twojego łatwego do śledzenia przewodnika krok po kroku po jej ustawieniach. Nie mogę się doczekać, aby zobaczyć, jak działa!

    Również przeszedłem do menedżerów haseł. Dzięki Waszym komentarzom spróbuję ponownie LastPass. Używamy Dashlane (wersja darmowa) od kilku lat, ale jesteśmy sfrustrowani niektórymi jego zasadami. Płatna wersja LastPass brzmi jak znacznie lepsza oferta. Teraz trzeba tylko ustalić, jak łatwo dokonać przełączenia...

    Jeszcze raz dziękuję!

    Linda

  4. Wybitny artykuł o bezpieczeństwie stron internetowych. Używałem tego wtyczki na wielu naszych stronach internetowych.

  5. Dzień dobry! To trochę odbiega od tematu, ale potrzebuję rady od uznanego bloga. Czy trudno jest założyć własnego bloga? Nie jestem zbyt techniczny, ale potrafię szybko rozwiązywać problemy. Myślę o założeniu własnego, ale nie wiem, od czego zacząć. Czy masz jakieś wskazówki lub sugestie? Z góry dziękuję.

  6. Mam Limit Login Attempts (tak, muszę zaktualizować do czegoś nowszego) i jestem atakowany cały czas. Dodałem nowego użytkownika jako administratora, próbując uzyskać dostęp do mojej własnej strony internetowej bez czekania. Ale nawet wtedy zostałem wyrzucony, zanim zdążyłem utworzyć jakiekolwiek posty.

    Czy ktoś ma jakieś rady, proszę?

    • Tak, masz rację. Przez cały ten czas używałem wtyczki Limit Login Attempts i ostatnio zaczęła ona blokować wszystkich użytkowników zamiast blokować atakującego na podstawie jego adresu IP.

      Więc chyba muszę pożegnać się z tą wtyczką i użyć czegoś innego.

  7. Niedawno zainstalowałem WordFence, aby monitorować bezpieczeństwo mojej strony internetowej. Oferuje funkcję ograniczania prób logowania. W związku z tym dezaktywowałem i usunąłem Limit Login Attempts Reloaded.

    Jednak w WP Admin> Ustawienia, nadal istnieje Limit prób logowania. Czy wiesz, czy jest on zainstalowany domyślnie z WP i niezależnie od tego, jak mogę się go pozbyć.?

    Wierzę, że to nadpisuje ustawienia w WordFence.

    Dziękuję za Twój czas,
    Miguel

  8. Cześć, to trochę odbiega od tematu, ale chciałem zapytać, czy blogi używają edytorów WYSIWYG, czy trzeba ręcznie kodować w HTML. Niedługo zaczynam blogowanie, ale nie mam żadnej wiedzy o kodowaniu, więc chciałem zasięgnąć rady kogoś z doświadczeniem. Każda pomoc byłaby bardzo cenna!

  9. Dzisiaj otrzymałem komunikat „przekroczono maksymalną liczbę prób” – ale z absolutnie poprawnym hasłem!
    Jak to możliwe?
    Dopiero dwa dni temu zacząłem konfigurować tę stronę WP, nie ma ona żadnej treści poza darmowym motywem i tytułem. Zainstalowałem wtyczkę Login Lockdown, ale NIE jest ona aktywowana.
    Zastanawia mnie, dlaczego miałby nastąpić atak siłowy na niepozorną nazwę witryny z zawartością ledwie 90 MB…

  10. Witaj Zespole WPBginner,

    Wielkie dzięki za stworzenie tak obszernej i użytecznej treści dla użytkowników WordPress, takich jak my. Zawsze szukam rozwiązań na Waszej stronie i zawsze znajduję rozwiązanie od 2-3 lat.

    Dziś po raz pierwszy publikuję komentarz w sprawie powyższego problemu. Używam wtyczki Limit Login Attempts i naprawdę pomaga mi to w utrzymaniu bezpieczeństwa mojej witryny, ponieważ dziennie widzę 10-15 nieudanych prób logowania, ale czasami jest ona blokowana na 24 godziny, co również nas ogranicza. Czy można również użyć Login LockDown i blokować błędne próby według adresu IP, aby nasi legalni użytkownicy nie byli blokowani.

    Czy można jednocześnie używać wtyczki Limit Login Attempts i wtyczki Login LockDown na tej samej stronie internetowej?

    Dziękuję
    Alam Khan
    Założyciel

  11. Hmm, wygląda na to, że twoja strona zjadła mój pierwszy komentarz (był super długi), więc chyba po prostu podsumuję to, co napisałem i powiem, że bardzo podoba mi się twój blog. Ja również jestem początkującym blogerem, ale wciąż jestem nowy w tym wszystkim. Czy masz jakieś wskazówki dla początkujących blogerów? Na pewno bym to docenił.

  12. Cześć, oczywiście ten artykuł jest naprawdę dobry i nauczyłem się z niego wiele rzeczy na temat blogowania. dzięki.

  13. Mając tak dużo treści i artykułów, czy kiedykolwiek napotykasz problemy z plagiatem lub naruszeniem praw autorskich? Mój blog ma wiele unikalnych treści, które sam stworzyłem lub zleciłem, ale wydaje się, że wiele z nich pojawia się w całym internecie bez mojej zgody. Czy znasz jakieś metody, które pomogą zapobiec kradzieży treści? Byłbym wdzięczny.

  14. Cześć

    Dzięki za artykuł. Informacyjny.

    Czy istnieje opcja ograniczenia prób logowania bez używania wtyczek?

  15. Cześć,

    Dzięki pakietowi zaufanych wtyczek (które jednocześnie oferują wiele innych funkcji bezpieczeństwa), ochrona witryn WordPress przed atakami takimi jak próby logowania nie jest już tak trudna.

    Ci, którzy narzekają na brak wbudowanej funkcji, powinni zrozumieć, do czego służą rozszerzenia funkcjonalności. Ekosystem WordPress jest po prostu skalowalny, naprawdę mi się podoba. Ale potrzebne jest większe partnerstwo z potężnym dostawcą CDN. W krajach takich jak Chiny, dobry plugin jak JetPack staje się bezużyteczny, ponieważ wszystkie adresy IP, z którymi się łączy, są złośliwe dla Wielkiego Firewalla.

    Ten blog jest bardzo przydatny, zwłaszcza podczas promowania udanych projektów WordPress typu open source.

  16. Jedna z moich witryn odnotowuje prawie 100 prób logowania miesięcznie. Jak wielu z was, uważam to za dziwne, ponieważ nie jest to witryna e-commerce i nie zbieramy żadnych informacji o użytkownikach. Zainstalowałem wtyczkę Wordfence Security, która oferuje opcje blokowania nieprawidłowych nazw użytkowników, a także według adresu IP, a nawet całych krajów.

    Posiada również kilka innych zabezpieczeń, które okazały się nieocenione. Internet nie jest bezpieczny bez jakiejś formy ochrony. Jeśli ktoś z Was zna lepsze rozwiązanie, proszę podzielcie się.

    Bezpiecznego programowania!
    Brad

  17. Nikt nie wspomniał o Jetpack, który ma moduł o nazwie Brute Protect. Automatycznie blokuje użytkowników z podejrzanych adresów IP. Opiera się na globalnej sieci, która może śledzić spamerów z całego internetu.

  18. Dziękuję za kolejną wskazówkę. Używam BackupBuddy i uwielbiam to, że automatycznie wykonuje moje kopie zapasowe, ale pozwala również użytkownikom łatwo migrować strony na inne serwery. Szczególnie przy przejściu z lokalnego hosta na serwer na żywo.

  19. To zabawne, że dostaję tego e-maila, ponieważ mam do 27 prób logowania na mojej stronie w nocy z całego świata... Naprawdę, czego oni chcą? Mam blog o szyciu i modzie? Co oni próbują zyskać, przejmując moją stronę i płacąc im?? Zmieniłem ustawienia kilka dni temu, przed tym artykułem, ponieważ miałem sporo prób włamań. Teraz rano mam ponad 27, co jest największą liczbą, jaką kiedykolwiek widziałem.

  20. Czy to pytanie, na które naprawdę potrzebna jest odpowiedź? Ponieważ zapobiega to atakom typu brute force (lub przynajmniej znacznie je spowalnia).

    Dlaczego WP nie ma domyślnie ograniczenia prób logowania, to jest pytanie, na które chciałbym zobaczyć wpis na blogu.

  21. Używam wtyczki Limit Login Attempts w połączeniu z inną świetną wtyczką bezpieczeństwa o nazwie WP-Ban. Wtyczka Limit Login Attempts wysyła mi e-mail po drugiej, jak sądzę, nieudanej próbie logowania z adresem IP użytkownika. Wklejam tego użytkownika do wtyczki Ban i następnym razem użytkownik w ogóle nie będzie mógł próbować się zalogować. Po prostu kolejna warstwa bezpieczeństwa przed trollami.

    • Limit Login Attempts nie był aktualizowany od ponad 3 lat. Jest przestarzały. Login LockDown ma słabą funkcjonalność i nie wiem, dlaczego jest tutaj polecany.
      Kilka tygodni temu zainstalowałem zamiast tego WP Cerber.
      Wygląda na solidne rozwiązanie. Robi wszystko zgodnie z oczekiwaniami.

  22. Myślę, że nadszedł czas, aby WordPress miał konfigurowalne ścieżki, abyśmy w końcu mogli pozbyć się example.com/wp-admin. Widziałem prośby o to 8 lat temu.

  23. Używałem tego kilka razy. Zwykły napływ 50 e-maili na godzinę o powiadomieniach o blokadzie został zredukowany do 0.

    Recaptcha to kolejna dobra opcja, ale znacznie trudniejsza do wdrożenia.

  24. Przeszedłem z LLA do Wordfence ze względu na wszystkie dodatkowe funkcje bezpieczeństwa, które oferuje.

    Każdy system operacyjny ma funkcję ograniczającą liczbę prób logowania. Wiem, że WordPress to CMS, a nie system operacyjny, ale jest to dojrzały CMS, a społeczność WordPress skorzystałaby na wbudowanym ograniczeniu logowania, które byłoby domyślnie włączone. Wiele stron WordPress jest „podatnych” na nieograniczone próby logowania, ponieważ nie są odpowiednio chronione, a właściciele nie są świadomi bezpieczeństwa.

    Czy nie byłoby trudno wbudować ograniczenie logowania i włączyć je domyślnie w jednej z przyszłych wersji WordPress?

  25. Limit Login Attempts nie był aktualizowany od kilku lat i ma w sobie pewne "dziury". Odkryłem to w moich logach, gdzie znalazłem prawie 100 "blokad" w ciągu 10 minut z tego samego IP. Blokady zostały aktywowane po 2 nieudanych próbach i miały trwać 72 godziny. Napływały tak szybko, że stanowiło to skuteczne DoS i wymagało pewnego wysiłku, aby je zatrzymać. Jest dość oczywiste, że script kiddie ominął blokadę. Ataki z tego adresu IP ustały, gdy w końcu udało mi się dodać go do listy blokowanych w .htaccess.
    .
    Nadal używam LLA ze względu na ograniczone, ale przydatne informacje i powiadomienia, ale nie polegam na nim, aby zapewnić bezpieczeństwo mojej witryny.

  26. Zauważyłem tę funkcjonalność na niektórych moich stronach, mimo że nie mają zainstalowanego wtyczki. Czy jest ona zawarta w niektórych motywach? Może Genesis?

    • Nie wiemy o żadnych motywach zawierających tę funkcjonalność. Pamiętaj, że motywy nie powinny dodawać funkcjonalności do twojej strony WordPress. Funkcjonalność należy do wtyczek. Może to coś dodanego przez twojego hosta internetowego?

  27. Wydaje się, że istnieją pewne problemy z kompatybilnością tej wtyczki z WP 4.0, ponieważ nie była aktualizowana od ponad 2 lat. Może zablokować dostęp do panelu administracyjnego. Jeśli tak się stanie, musisz wyłączyć wtyczkę w zwykły sposób, używając czegoś takiego jak dostęp cPanel.

  28. Brzmi jak dobra i prosta wtyczka, ale dlaczego nie użyć zamiast niej Better WP Security? BWS ma całą sekcję dotyczącą Limit Login Attempts ORAZ wielu innych problemów z bezpieczeństwem w jednej wtyczce! Dodatkowo BWS był ostatnio aktualizowany 24-08-2013. Limit Login Attempts nie był aktualizowany od 2012-06-1!

    • Torben, istnieje wiele wtyczek oferujących tę funkcjonalność. Limit Login Attempts to prosta wtyczka, która robi jedną rzecz i robi to naprawdę dobrze. To nie znaczy, że BWS jest złym rozwiązaniem. To bardzo dobre rozwiązanie (ponad milion pobrań tej wtyczki już to udowadnia).

      Admin

  29. a co z wtyczką blokującą logowanie? czy jest przydatna? czy powinienem ją zastąpić tą wtyczką?

  30. Doskonała wskazówka! Ponieważ WordPress jest obecnie najczęściej używaną platformą, bezpieczeństwo witryny powinno być czymś, co wszyscy użytkownicy traktują poważnie, a ten wtyczka jest wielką pomocą. Dziękuję za udostępnienie!

Zostaw odpowiedź

Dziękujemy za pozostawienie komentarza. Pamiętaj, że wszystkie komentarze są moderowane zgodnie z naszą polityką komentowania, a Twój adres e-mail NIE zostanie opublikowany. Prosimy NIE używać słów kluczowych w polu nazwy. Prowadźmy osobistą i znaczącą rozmowę.