¿Cómo limito los intentos de login (inicio de sesión) en WordPress?

Por qué importa

Un ataque de fuerza bruta no es más que paciencia: probar una contraseña, fallar, probar la siguiente. A WordPress le da igual. Responderá a mil intentos fallidos desde la misma dirección con la misma cortesía que al primero. Si una cuenta tiene una contraseña débil o reutilizada, es solo cuestión de tiempo.

Un límite de accesos cambia las cuentas. Si una IP solo puede hacer unos pocos intentos antes de tener que esperar quince minutos, adivinar una contraseña decente lleva años en lugar de horas. Además, evita que tu servidor genere una y otra vez la página de acceso para un bot.

Lo que no cubre por sí solo. Los atacantes que controlan miles de direcciones IP pueden enviar unos pocos intentos desde cada una. Por eso un límite de accesos funciona mejor junto a la autenticación de dos factores, que hace inútil una contraseña adivinada si no se tiene el código.

Errores habituales

• Contar solo el formulario de acceso. También se pueden probar contraseñas a través de xmlrpc.php, de las contraseñas de aplicación de la API REST y en el paso del código de dos factores. Si eso no cuenta para el límite, los atacantes simplemente lo usan. Cierra también el acceso por XML-RPC; consulta cómo desactivar XML-RPC de forma segura.
• Leer la IP equivocada detrás de un proxy. Si tu sitio está detrás de Cloudflare y el plugin lee la dirección del proxy, un solo bot puede bloquear a todos los visitantes. Si, en cambio, confía a ciegas en la cabecera X-Forwarded-For, un bot puede inventarse una IP nueva en cada petición y no ser contado nunca. La regla segura es confiar en las cabeceras del proxy solo cuando la petición viene de verdad del proxy.
• Bloqueos demasiado largos. Un bloqueo de 24 horas por tres erratas castiga a tu propio equipo. Mantén corto el primer bloqueo y alarga los bloqueos repetidos.
• Sin lista de permitidas. Añade tu propia IP fija para que una contraseña olvidada no te deje nunca fuera.

Sin plugin

WordPress tiene un hook, wp_login_failed, que se dispara tras cada acceso fallido. Puedes contar los fallos con un transient y rechazar los accesos cuando la cuenta sea demasiado alta. Una versión mínima para un plugin de uso obligatorio (wp-content/mu-plugins/login-limit.php):

<?php
add_action( 'wp_login_failed', function () {
    $key = 'll_' . md5( $_SERVER['REMOTE_ADDR'] );
    $n   = (int) get_transient( $key );
    set_transient( $key, $n + 1, 15 * MINUTE_IN_SECONDS );
} );

add_filter( 'authenticate', function ( $user ) {
    $key = 'll_' . md5( $_SERVER['REMOTE_ADDR'] );
    if ( (int) get_transient( $key ) >= 8 ) {
        return new WP_Error( 'too_many', 'Too many failed attempts. Try again later.' );
    }
    return $user;
}, 30 );

Funciona, pero sé honesto sobre lo que se le escapa: solo lee REMOTE_ADDR, así que detrás de un proxy cuenta el proxy; no cuenta como intentos separados las contraseñas probadas con multicall de XML-RPC; y no tiene lista de permitidas, ni correo de alerta, ni registro. Cada una de esas cosas es más código que escribir y mantener.

Algunos hostings también ofrecen herramientas a nivel de servidor, como fail2ban vigilando el registro de accesos. Es sólido si tu hosting lo gestiona por ti; en un hosting compartido normalmente no puedes configurarlo.

Si algo sale mal

• Te has bloqueado a ti mismo. Espera a que termine el bloqueo, prueba desde otra red, como los datos móviles, o pide a otro administrador que añada tu IP a la lista de permitidas.
• Todo el mundo queda bloqueado a la vez. Seguramente tu sitio está detrás de un proxy y el plugin está leyendo la IP del proxy. Cambia el ajuste del origen de la IP.
• Nunca se produce ningún bloqueo. Comprueba si el origen de la IP confía en una cabecera que los bots pueden falsificar. Si cada intento muestra una «IP» distinta, esa es la causa.

Para conocer todas las formas de volver a entrar, consulta Sin acceso después de cambiar la URL de acceso.

Con Hushfort

Los Límites de acceso forman parte de Hushfort Pro, el complemento de pago que se instala sobre Hushfort Security, el plugin de seguridad gratuito para WordPress.

La capa de Límites de acceso de Hushfort cuenta los accesos fallidos por IP (o por IP y nombre de usuario) dentro de un intervalo de tiempo que tú eliges, y bloquea la IP durante el tiempo que tú decidas. Los bloqueos repetidos en 24 horas pueden activar un bloqueo prolongado, más largo.

• Los códigos de dos factores fallidos y los accesos fallidos con contraseñas de aplicación también cuentan, así que no queda ninguna puerta lateral para adivinar.
• Solo se confía en las cabeceras del proxy cuando la petición viene de verdad de Cloudflare o de una red privada.
• Los correos de alerta llegan a tantas direcciones como indiques.
• Cada intento fallido y bloqueado aparece en un Historial filtrable.
• La lista de permitidas se comparte con todas las demás capas de Hushfort, así que te añades una sola vez.

Al desactivar Hushfort se levantan todos los bloqueos existentes.