Várias fontes importantes confirmaram que ataques massivos de força bruta estão sendo direcionados a sites WordPress e Joomla neste exato momento. HostGator, InMotion Hosting, LiquidWeb e muitos outros informaram seus clientes sobre este problema. A botnet dos hackers contém mais de 90.000 IPs diferentes e eles estão explorando iniciantes em WordPress que estão cometendo erros muito comuns. Sim, tudo isso parece assustador, então aqui está o que você precisa fazer para diminuir suas chances de ser hackeado.
1. Pare de usar o nome de usuário admin
Frequentemente, iniciantes usam nomes de usuário muito comuns como admin, administrator, test, root, etc. Nossos amigos da Sucuri relataram que esses nomes de usuário estão sendo intensamente visados agora. Se você tem um nome de usuário genérico no WordPress como admin, então você deve mudá-lo imediatamente.
Temos um tutorial fácil de seguir que mostrará a você como mudar seu nome de usuário no WordPress.
2. Use uma senha forte
Por favor, por favor, por favor, use uma senha muito forte. Essas tentativas de ataque de força bruta visam as senhas mais comuns que as pessoas usam. Uma senha forte contém letras maiúsculas e minúsculas, números e símbolos. Não use a mesma senha em mais de um local. Nunca é tarde demais para começar a usar uma solução de gerenciamento de senhas como 1Password ou LastPass.
3. Mantenha Bons Backups
A melhor segurança que você pode ter para o seu site é uma ótima solução de backup. Estamos usando VaultPress, que é um serviço mensal. No entanto, se você não gosta de pagar mensalmente, recomendamos que você obtenha BackupBuddy.
Por favor, mantenha bons backups do seu site porque a maioria das empresas de hospedagem não o faz.
4. Use Autenticação de Dois Fatores
Comece a usar autenticação de dois fatores. Dessa forma, mesmo que alguém adivinhe sua senha, eles não poderão acessar seu site porque não terão o código de segurança. Recomendamos fortemente que você faça isso agora mesmo.
5. Proteja por Senha o WP-Admin e Limite as Tentativas de Login
Sempre recomendamos que nossos usuários limitem as tentativas de login. No entanto, isso sozinho não pode proteger contra todos os ataques, pois essa botnet contém 90.000 IPs. Outra coisa que você pode fazer é proteger por senha seu diretório WP-admin. Você também pode limitar seu arquivo wp-login.php a um IP específico.
6. Comece a usar o Sucuri
Se você não está usando o Sucuri, recomendamos fortemente que comece a usá-lo. Eles estão sempre por dentro de tudo, e não confiamos em mais ninguém quando se trata da segurança do nosso WordPress. Veja 5 motivos pelos quais usamos o Sucuri.
Não temos certeza qual é o objetivo final desses ataques, mas seja qual for, odiaríamos ver nossos usuários se tornarem vítimas disso. Mantenha seus sites atualizados e siga todas as dicas acima.
Jiří Vaněk
Pessoalmente, eu recomendaria outra dica. Eu uso um plugin GEO-IP para proteger a área de administração, onde para alguns sites, o acesso é restrito a apenas certos países, e para outros, é limitado a endereços IP específicos. Isso oferece uma proteção muito boa porque, quando o acesso administrativo é restrito a endereços IP específicos, um invasor está relativamente sem sorte.
Para aqueles que não querem usar um plugin, você pode restringir o acesso administrativo a certos IPs usando o arquivo .htaccess. É bem simples, mas uma solução muito eficaz.
Janet
Estou trabalhando na segurança de sites para meus clientes e preciso proteger com senha a pasta wp-admin deles. Estou tendo um problema e espero que alguém possa ajudar. Quando vou ao cPanel para proteger com senha essa pasta, recebo um erro sobre as Extensões Frontpage estarem instaladas, o que impede a proteção com senha. Quando tento desinstalar as extensões, recebo esta mensagem:
Aviso: Instalar ou desinstalar as extensões FrontPage resultará na perda de todos os arquivos ".htaccess". Quaisquer alterações que você tenha feito em seus arquivos ".htaccess" serão perdidas.
Se eu fizesse um backup do .htaccess conforme instruído nesta página https://www.wpbeginner.com/wp-tutorials/how-to-password-protect-your-wordpress-admin-wp-admin-directory/ , isso seria suficiente?
Obrigado pela sua ajuda e por todas as suas informações MUITO úteis!
Equipe Editorial
Contanto que você tenha backups, então você estará pronto para ir.
Admin
Janet
Obrigado! Acabei tendo alguns problemas com o .htaccess, mas nosso provedor de hospedagem consertou tudo para nós. Muito obrigado pela ajuda!
Sarah B R
Olá,
Segui suas diretrizes para autenticação de dois fatores e funcionou bem na primeira vez, alguns dias atrás.
Eu queria fazer login hoje e fui ao aplicativo no meu celular e a conta do WordPress que eu tinha adicionado não está em lugar nenhum. Então, agora não consigo fazer login.
Obrigado pela ajuda.
Equipe Editorial
That’s weird. Well the easiest thing would be to delete that plugin via FTP and login again. Set it up again once you are logged in
Admin
Edwin Lynch
I use WP Better Security. It’s free, does nearly everything Sucuri does except promote affiliate marketing spam
Ratnesh
O bloqueio de login é o melhor plugin para proteger o blog Wordpress contra ataques de força bruta
Robert Connor
Bons conselhos, meu painel de administração do site está sendo bombardeado diariamente com tentativas de login!
Jane
Como você sabe quando foi atacado por força bruta? Meu cliente tem tido problemas com o site dele em WP recentemente, então estou me perguntando se isso tem a ver com isso.
Jennifer
Tenho um site que está sendo atacado por força bruta. É RELENTLESS. O site usa SUCURI (graças a Deus!) e eles já fizeram uma limpeza para nós.
Obrigado, Syed & equipe, por todas as ótimas informações. Acabei de adicionar a autenticação de dois fatores e colocarei o restante de suas sugestões em prática o mais rápido possível.
Esther
Obrigado pelo link para o vídeo gratuito, comecei meu site WP ontem, depois de ter um site Blogger, e está me dando muito trabalho! Sou bastante experiente em tecnologia, então não tenho ideia de qual é o meu problema, apenas que tenho um! lol
Keith Davis
Oi pessoal
Leia o artigo no site da Sucuri – eu estou com essa galera e uso algumas outras medidas de segurança.
Acabei de te mencionar no #WordPress
Scott Hack
Gostaria de ver um limite de logins adicionado ao core para 3.6