De flesta tänker inte på att säkra sitt WordPress-adminområde förrän det är för sent. Vi har hjälpt användare att återhämta sig från attacker där WordPress-adminområdet lämnades helt öppet.
Det är därför vi rekommenderar att begränsa åtkomsten till adminområdet via IP. Det är en teknik vi har använt på kundwebbplatser som bara behöver en eller två personer som loggar in från kända nätverk.
I den här handledningen visar vi hur du blockerar åtkomst till WordPress-admin med en snabb redigering av .htaccess-filen. Det är ett enkelt men mycket effektivt sätt att skydda din WordPress-webbplats mot vanliga hot.
Varför begränsa åtkomsten till WordPress-administrationen via IP-adress?
Om du driver en WordPress-webbplats, då behöver du ta din webbplatsens säkerhet på allvar. Även om WordPress kärnprogramvara är mycket säker, finns det mer du kan göra för att skydda dig mot hackare och brute force-attacker.
Hackare kan slå ut din webbplats, samt skada din intäkt och ditt rykte. De kan stjäla data eller till och med distribuera skadlig kod till dina webbplatsbesökare och få din domän svartlistad av Google och andra.
Ett smart sätt att blockera hackare och förbättra WordPress-säkerheten är att skydda ditt WordPress-adminområde från obehörig åtkomst.
Om bara du eller några få betrodda användare behöver åtkomst till adminområdet, är ett bra sätt att göra det att begränsa åtkomsten till wp-admin och WordPress inloggningssida till ditt teams IP-adresser.
Varje teammedlem kommer att ansluta till din WordPress-webbplats med en specifik IP-adress för varje plats. Om du blockerar åtkomst till alla andra IP-adresser, kan en hacker inte komma åt din webbplats även om de har upptäckt ditt användarnamn och lösenord.
Istället kommer de att se felmeddelandet: 'Förbjudet. Du har inte behörighet att komma åt den här resursen.'
Låt oss titta på hur man begränsar åtkomsten till WordPress-admin via IP-adress.
Hur man begränsar WordPress adminåtkomst efter IP-adress
Det första du behöver göra är att skapa en lista över IP-adresserna som används av alla i ditt team som behöver åtkomst till WordPress-administrationsområdet.
Du behöver be dina teammedlemmar att skicka dig deras IP-adresser från de platser de vanligtvis arbetar ifrån. Om någon arbetar från flera platser, då behöver du samla in IP-adressen för var och en av dem.
Du måste också lägga till din IP-adress i listan.
Hur hittar jag min IP-adress?
Det enklaste sättet att hitta din IP-adress är att besöka en webbplats som SupportAlly eller WhatisMyIPAddress.com.
Dessa webbplatser visar din IP-adress, som du sedan kan lägga till i din lista. Du kan också be dina teammedlemmar att besöka dessa webbplatser för att hitta sin IP-adress och skicka den tillbaka till dig.
När du har gjort din lista kan du fortsätta med att begränsa åtkomst via IP-adresser. Vi visar dig två metoder så att du kan välja en som fungerar för dig.
🚨 Viktigt meddelande: I följande avsnitt visar vi hur du ändrar viktiga filer för att begränsa administratörsåtkomst. Detta kan vara riskabelt, även för avancerade användare, eftersom även det minsta fel kan krascha din webbplats eller påverka dess funktionalitet. Därför rekommenderar vi alltid att du skapar en säkerhetskopia först.
1. Begränsa åtkomst med IP-adress med hjälp av .htaccess-fil (rekommenderas)
För den här metoden kommer vi att använda .htaccess-filen. Det är en serverkonfigurationsfil som du kan redigera för att ställa in olika saker.
Den körs innan din WordPress-webbplats ens laddas, vilket är anledningen till att lägga till säkerhetsinstruktioner där ger dig mycket bättre skydd.
Du måste använda en FTP-klient eller din webbhotells filhanterare. Om du inte har använt FTP tidigare, kanske du vill se vår guide om hur man använder FTP för att ladda upp filer till WordPress.
Du behöver använda programvaran för att navigera till din webbplats mapp /wp-admin/. När du är där bör du leta efter filen .htaccess. Detta är en dold fil, så om du inte kan se den kan du behöva aktivera alternativet visa dolda filer i din programvara.
Om den filen inte finns i mappen, bör du skapa en ny fil och spara den med namnet .htaccess i din /wp-admin/-mapp.
Varning ⚠️: Redigera inte din root .htaccess-fil, annars kommer du att låsa besökare ute från din webbplats framsida! Se till att du redigerar /wp-admin/.htaccess.
Du bör först ladda ner en kopia av filen till din dator som en säkerhetskopia.
När du har gjort det måste du redigera .htaccess och klistra in följande kod i filen:
AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "WordPress Admin Access Control"
AuthType Basic
<Limit GET>
order deny,allow
deny from all
# whitelist Syed's IP address
allow from xx.xx.xx.xxx
# whitelist David's IP address
allow from xx.xx.xx.xxx
# whitelist Amanda's IP address
allow from xx.xx.xx.xxx
# whitelist Muhammad's IP address
allow from xx.xx.xx.xxx
# whitelist Work IP address
allow from xx.xx.xx.xxx
</LIMIT>
Fortsätt och redigera filen så att den matchar namnen på dina egna teammedlemmar, och klistra sedan in IP-adresserna du samlade tidigare för att ersätta där det står xx.xx.xx.xxx.
När du har sparat filen kommer endast de IP-adresserna att kunna komma åt WordPress-administratören.
Kom ihåg att om din IP-adress ändras eller om du försöker komma åt din webbplats från en ny plats, kommer du att låsas ute från ditt WordPress-adminområde. Du måste lägga till din nya IP-adress i filen /wp-admin/.htaccess .
2. Begränsa åtkomst med wp-config.php (alternativ metod)
Om din server inte stöder .htaccess-regler eller om du kör WordPress på en annan server än Apache, som NGINX eller LiteSpeed, då är användningen av filen wp-config.php ett bra alternativ.
Att redigera wp-config.php kan vara säkrare än att modifiera .htaccess eftersom det är mindre troligt att det orsakar serverfel och är lätt att återställa vid behov. Med det sagt, du måste fortfarande göra ändringar noggrant eftersom även mindre fel kan krascha din webbplats.
wp-config.php-filen laddas tidigt under WordPress startprocess, vilket gör den till en säker plats att tillämpa begränsningar. Den är särskilt användbar för utvecklare eller avancerade användare som hanterar webbplatser i olika servermiljöer.
För att använda den här metoden, öppna din wp-config.php-fil med en FTP-klient eller din värdkontrollpanels filhanterare. Lägg sedan till följande kod precis ovanför raden som säger /* Det var allt, sluta redigera! Lycka till med bloggandet. */:
if (strpos($_SERVER['REQUEST_URI'], '/wp-admin') !== false ||
strpos($_SERVER['REQUEST_URI'], '/wp-login.php') !== false) {
if ($_SERVER['REMOTE_ADDR'] !== '123.456.78.90') {
header('HTTP/1.0 403 Forbidden');
exit;
}
}
Ersätt 123.456.78.90 med din nuvarande IP-adress. Den här koden blockerar all åtkomst till dina WordPress-administrations- och inloggningssidor förutom från din tillåtna IP.
Lägga till flera IP-adresser:
För att lägga till andra teammedlemmar behöver du använda en annan kod istället. I den här koden använder du en array av IP-adresser för olika teammedlemmar separerade med kommatecken. Som detta:
$allowed_ips = array('123.456.789.000', '987.654.321.000', '200.200.255.168'); // Add more IPs as necessary
if ( !in_array($_SERVER['REMOTE_ADDR'], $allowed_ips) ) {
wp_die('Unauthorized access. Your IP address is not permitted.');
}
Varning⚠️: Om din IP-adress ändras ofta eller om du arbetar från flera nätverk kan den här metoden låsa dig ute. Gör alltid en säkerhetskopia innan du gör ändringar i wp-config.php.
Hantera dynamiska IP-adresser eller flera teammedlemmar
Om din IP-adress ändras ofta eller om ditt team arbetar från olika nätverk, kanske IP-baserade begränsningar i .htaccess eller wp-config.php inte är praktiska. Dessa metoder fungerar bäst när åtkomsten är begränsad till en fast IP eller plats.
För mer flexibel säkerhet kan du använda alternativa metoder som listas nedan:
1. Lägg till tvåfaktorsautentisering (2FA)
Att lägga till tvåfaktorsautentisering innebär att användare måste ange både sitt lösenord och en engångskod från sin telefon för att logga in. Detta förhindrar angripare från att komma åt din webbplats även om de känner till ditt lösenord.
För att lära dig mer, se vår steg-för-steg-guide om hur man lägger till tvåfaktorsautentisering i WordPress.
2. Lösenordsskydda din adminmapp
Detta tillvägagångssätt lägger till ytterligare ett säkerhetslager innan användare ens kan nå WordPress inloggningsskärm. När någon försöker besöka /wp-admin/ måste de först ange ett användarnamn och lösenord på servernivå som du har ställt in.
Detta hjälper till att blockera bots och angripare från att försöka gissa dina WordPress-inloggningsuppgifter. För detaljer, se vår handledning om hur man lösenordsskyddar din WordPress adminmapp.
Vanliga frågor
Vad händer om min IP-adress ändras?
Om du använder IP-begränsningar i .htaccess eller wp-config.php och din IP ändras, kommer du att bli utelåst från ditt adminområde. För att återfå åtkomst måste du uppdatera den tillåtna IP-adressen via FTP eller din värdkontrollpanel.
Kan jag tillåta åtkomst från flera IP-adresser?
Ja. Du kan lista flera IP-adresser i dina .htaccess- eller wp-config.php-regler. Var och en bör läggas till som en separat Allow from-rad eller if-villkor, beroende på vilken metod du använder.
Vad händer om jag använder en mobil hotspot eller VPN?
Mobila hotspots och VPN använder ofta dynamiska IP-adresser, som kan ändras ofta. I det här fallet rekommenderar vi att du aktiverar tvåfaktorsautentisering eller lösenordsskyddar din adminmapp för mer flexibelt skydd.
Fler säkerhetstips för WordPress
Att begränsa åtkomsten till ditt adminområde är ett smart drag, men det är bara en del av pusslet. Här är fler användbara handledningar för att stärka din webbplats säkerhet och lära dig mer om .htaccess-funktioner.
- Hur och varför du bör begränsa inloggningsförsök i WordPress
- Säkerhetstips för e-handel: Hur du säkrar din WordPress-butik
- Mest användbara .htaccess-knep för WordPress
- Tips för att skydda ditt WordPress adminområde (uppdaterad)
- Hur man utför en WordPress-säkerhetsrevision (komplett checklista)
Vi hoppas att den här handledningen hjälpte dig att lära dig hur du begränsar WordPress adminåtkomst efter IP-adress. Du kanske också vill se vår WordPress-handledning om hur man begränsar författare till sina egna inlägg i WordPress admin, eller vad man ska göra när man är utelåst från WordPress admin.
Om du gillade den här artikeln, prenumerera då på vår YouTube-kanal för WordPress-videoguider. Du kan också hitta oss på Twitter och Facebook.
Kzain
detta är användbart men jag vill bara veta om dynamisk IP-adress och statisk IP-adress för en WordPress-webbplats, vad är det föredragna sättet att ställa in IP-adressen om WordPress hanteras i ett hemnätverk mestadels? Och om och när jag använder ett säkerhetsplugin ser jag att IP-adressen ändras?
WPBeginner Support
Om du menar att du hanterar din webbplats från ett hemnätverk, skulle du använda en av de många webbplatserna för att hitta din publika IP-adress för att hitta den IP som din webbplats ska se dig komma åt från.
Vi har mer om IP-adresser på vår sida nedan!
https://www.wpbeginner.com/glossary/ip-address/
Admin
Kzain
tack för svaret, jag kommer definitivt att läsa den artikeln.
Jiří Vaněk
Är det möjligt att tillåta åtkomst till administrationsområdet från ett helt nätverksområde med hjälp av htaccess-filen? Jag menar, inte bara från enskilda IP-adresser utan från hela intervallet av ett nätverk. Det skulle vara komplicerat för mig att lista alla IP-adresser, och det skulle vara mycket enklare för mig att konfigurera hela nätverket, men jag är inte säker på om detta är möjligt med htaccess.
WPBeginner Support
Om alla IP-adresser finns på ett nätverk kan du använda en delvis IP-adress, men vi skulle ändå rekommendera en fullständig IP-adress för varje användare.
Admin
Jiří Vaněk
Tack för bekräftelsen och för rådet. Det kommer att vara flera IP-adresser inblandade, så jag är inte säker på om underhållet blir komplicerat, men ändå uppskattar jag din rekommendation och kommer att överväga den seriöst eftersom jag tror att ditt råd är motiverat. Som du kan se är det ibland bra att konsultera proffs.
John
Min wp-admin-mapp innehåller ingen .htaccess-fil. Vad missar jag?
WPBeginner Support
Du skulle behöva ha din FTP eller filhanterare inställd på att visa dolda filer om du inte ser den.
Admin
Mukund
Hur hittar jag min IP-adress för att dölja wp-admin-mappen?
WPBeginner Support
Det finns flera metoder för att hitta din IP-adress, en av de enklaste skulle vara att använda en webbplats som supportally.com
Admin
Chris
Du måste aktivera
modulen authz_groupfile
"sudo a2enmod authz_groupfile"
och starta om apache
Rajat Shankhdhar
Fungerar inte för mig. Koden begränsar admin att få åtkomst även om jag lägger till IP:n i en vitlista.
Rostyslav
Efter denna rad måste du infoga ett villkor för tillstånd att tillåta php-filer för att förhindra konflikter:
tillåt från alla
Solace
Jag provade metoden med .htaccess-lösenordsskydd.
Det fungerar, men jag provade det på en webbplats med Woocommerce, men då kunde mina kunder inte logga in.
Säger bara det eftersom det verkar som att ingen har nämnt att det inte fungerar med webbplatser som kräver att kunder loggar in!
Miguel
Hej, tack för handledningen. Tyvärr har jag inte kunnat få den här .htaccess-filen att fungera korrekt eftersom den nekar åtkomst till den enda IP-adress jag inkluderade, min egen… Jag är säker på att jag kopierade din kod exakt och jag skrev min IP korrekt. .htaccess-filen sparades under: /wp-admin/.htaccess
Missar jag något? Tack
Miguel
Jag måste tillägga att jag arbetar med en lokal installation.
WPBeginner Support
Hej Miguel,
Försök att lägga till 127.0.0.1 istället för din IP-adress
Det är din lokala IP-adress. Om det inte räcker att lägga till IP-adressen ensam, lägg då till följande rad före ovanstående kod:
Kräver lokalAdmin
Pankaj Murthalia
hur blockerar man åtkomsten till wp admin???
Emaan Ali
Hej alla,
Jag har blockerat wp-admin med .htaccess som nämnts i den här artikeln. Men jag har ett problem att min admin-ajax-fil också begränsas på den publika webbplatsen.
Mitt WordPress-tema använder mycket av admin ajax-funktionaliteten och jag har lagt IP-begränsningen på wp-admin-mappen så att den inte är tillgänglig för alla IP-adresser.
Hittar någon lösningen på detta? Om så är fallet, dela gärna med dig.
Tack på förhand
Emaan
Len
Hej, det här verkar verkligen vara till hjälp. Kanske du kan hjälpa mig. Istället för att vitlista en IP-adress, kan vi tillåta åtkomst för specifika länder i .htaccess-filen? Jag hoppas du kan hjälpa mig. Tack så mycket.
Bridget
Thanks! This was the only solution that worked for me after trying so many
Scotty
Hej, Detta fungerar. Jag kontrollerade och är "förbjuden" att logga in på någon annan dator. Jag kan inte ens se inloggningspanelen. Jag får dock fortfarande cirka 24 misslyckade inloggningsförsök per dag från olika IP-adresser. Några idéer om hur de kringgår detta? Är det någon form av brute force-attack? Tack, Scott.
WPBeginner Support
Ja, ganska möjligt. Se till att ditt .htaccess-lösenord är svårt.
Admin
Scotty
Tack. Din webbplats har varit mycket hjälpsam. Om du har en stund kanske du kan svara på en fråga till. Jag följde dina handledningar – och de fungerade. Jag blockerade åtkomst till min adminmapp med htaccess och lade till ett lösenord ovanpå det. Jag testade och även om folk skulle bryta lösenordet, vilket de inte har gjort, skulle de inte ha tillgång till mappen från någon IP-adress utom min. Dock får jag fortfarande cirka 12 misslyckade inloggningar per dag. Några idéer om vad som händer och vart jag ska vända mig för att fixa det? Jag blev hackad en gång, men rensade filerna ur min uppladdningsmapp.
Scotty
Glöm det: Den här sidan besvarade min fråga för tillfället. Bra information
https://www.wpbeginner.com/wp-tutorials/11-vital-tips-and-hacks-to-protect-your-wordpress-admin-area/
Sehrish
Och hur tillåter man åtkomst endast till WordPress-administratören? Vilken kod ska jag skriva utan någon IP? Jag behöver bara veta en generell funktion som hämtar adminrelaterad information. Eftersom jag måste begränsa mina plugin-uppladdningar från andra användare. Och vem som än använder detta plugin måste jag hämta dess admininformation för att begränsa innehåll från andra och endast tillåta webbplatsens administratör.
Praveen
Många många tack sir, jag har testat detta på mitt lokala system, det fungerar mycket bra.
Kim
Jag provade detta (efter att tidigare ha lösenordsskyddat min wp-admin-katalog och åtgärdat omdirigeringsfelet enligt din andra artikel), men då får jag en popup som frågar efter ett användarnamn och lösenord för "WordPress Admin Access Control". Vilket användarnamn och lösenord ska jag använda för denna nya popup? Varken wordpress admin-inloggningen eller wp-admin-kataloginloggningen fungerar för den.
Tack!
Kim
Åh, jag tror jag löste problemet; det verkar fungera så länge jag ser till att den tillagda koden är allra först.
Jordyn
I have a big problem
I did what you said about creating the .htaccess and putting in the code snippet. It didn’t work so I deleted the .htaccess file and now I can’t login to my dashboard! It’s just a white screen
Please help!!!
Tack
Redaktionell personal
Det är ett ganska osannolikt utfall. Du raderade .htaccess-filen i din /wp-admin/-mapp, eller hur?
Admin
Jordyn
Allt jag gjorde var att skapa filen i min wp-admin-mapp och när det inte fungerade tog jag bort den från wp-admin-mappen. Jag är inte säker på vad som hände men, efter en galen kaninhåla och många chansningar, kunde jag korrigera problemet genom att lägga till i början av min login.php-fil. Jag vet fortfarande inte vad som gick fel eller varför det jag gjorde löste det... men åtminstone är det löst. Jag kanske försöker igen när jag känner mig modig.
Jordyn
it erased the code snippet
it was supposed to say “…by adding “” to the top…”
Jordyn
mindre än tecken ? ob_start(); ? större än tecken
Peter
Först lyckades jag inte få ditt lösenordsskydd att fungera
https://www.wpbeginner.com/wp-tutorials/how-to-password-protect-your-wordpress-admin-wp-admin-directory
åtminstone den här fungerar.
Det är intressant att wp-admin-sidan hamnar i en oändlig omdirigering när jag anger en felaktig IP-adress, inte min.
Den oändliga omdirigeringen verkar därför vara ett auktoriseringsproblem.
Raheem Khan
Hej WPB, jag tror inte att det kommer att fungera i Pakistan eftersom varje gång vi återställer eller stänger av vår DSL-modem så ändras IP-adressen automatiskt. Om du har några andra tips, vänligen svara mig.
Tack
Redaktionell personal
Du bör titta på vårt tips för att lösenordsskydda wp-admin-katalogen.
Admin
awan
ja det kan göras på https, det är bara .htaccess
wpbeginnerfan
Kan detta göras på https-sidor? Jag får det inte att fungera.
andrew
hej, hur man gör .htaccess med dynamisk IP (icke-statisk IP)
min IP ändras alltid xxx.xxx.xxx.12 xxx.xxx.xxx.453 xxx.xxx.xxx.076
snälla hjälp...
Redaktionell personal
Då är den här lösningen inte för dig.
Admin
Joe
Du kan härda din WordPress-installation via .htaccess vitlistning även om du har en dynamisk IP-adress. Du kan vitlista ett intervall av IP-adresser med ett /24 eller /16 intervall. Även om detta tillåter mer åtkomst än om du alltid kände till IP-adressen du ville tillåta, förhindrar det fortfarande åtkomst från nästan hela internet.
Lägg bara till /24 i slutet av tillåt-raden för att tillåta hela klass C-undernätet (256 IP-adresser), eller lägg till /16 för att tillåta hela intervallet på 65 536. Dvs.
tillåt från xxx.xxx.xxx.0/24
kommer att tillåta åtkomst till IP-adresser från xxx.xxx.xxx.0 – xxx.xxx.xxx.255. och
tillåt från xxx.xxx.0.0/16
kommer att tillåta åtkomst från IP-adresser från xxx.xxx.0.0 – xxx.xxx.255.255
Kyle
Du säger att jag inte ska göra webbplatsens .htaccess-fil... varför är det så? För att du bara vill begränsa åtkomsten till /wp-admin-mappen?
Så... om jag ville ha en WordPress-webbplats som hostas externt men används som en intern företagsresurs så att endast personer som använder IP-adresser från vårt företag kunde komma åt den... om jag skulle redigera .htaccess-filen i rotmappen för att endast tillåta IP-adresser från vår domän... skulle det fungera på samma sätt som din /wp-admin-fix, men för hela webbplatsen, korrekt?
Redaktionell personal
Ja Kyle, anledningen till att vi sa att du inte skulle lägga den här koden i rotfilen är att den då också skulle begränsa din webbplatsåtkomst till endast dessa IP-adresser. Men om du försöker skapa en webbplats som bara ditt företags personal kan komma åt, endast från jobbet, då vill du placera .htaccess-filen i rotmappen.
Admin
Kyle
Fantastic…thank you for the quick reply!
Bill
Varför bara begränsa GETs? Du kanske vill begränsa POSTs också!
Darrin
Bra tips. Jag kommer att göra detta.
Alim Bolar
Kan jag begränsa åtkomst baserat på andra kriterier? Som att jag bara behöver min bärbara dator för att komma åt en viss mapp.. Jag kunde komma åt den var som helst så det skulle vara svårt att specificera en IP eftersom min internetåtkomst skulle baseras på DHCP. Finns det en unik identifierare för varje maskin eller något liknande som kan användas som kriterium?