Comment limiter les tentatives de connexion sur WordPress ?

Pourquoi c’est important

Une attaque par force brute n’est qu’une affaire de patience : essayer un mot de passe, se tromper, essayer le suivant. WordPress ne s’en formalise pas. Il répondra à mille mauvaises tentatives venant de la même adresse aussi poliment qu’à la première. Si un compte a un mot de passe faible ou réutilisé, ce n’est qu’une question de temps.

Une limite de connexion change l’équation. Si une IP ne peut faire qu’une poignée de tentatives avant de devoir attendre quinze minutes, deviner un mot de passe correct prend des années au lieu de quelques heures. Cela évite aussi à votre serveur d’afficher la page de connexion encore et encore pour un robot.

Ce qu’elle ne couvre pas à elle seule. Les attaquants qui disposent de milliers d’adresses IP peuvent envoyer quelques tentatives depuis chacune. C’est pourquoi une limite de connexion fonctionne mieux associée à la double authentification, qui rend un mot de passe deviné inutile sans le code.

Erreurs courantes

• Ne compter que le formulaire de connexion. Les mots de passe peuvent aussi être testés via xmlrpc.php, via les mots de passe d’application de l’API REST, et à l’étape du code de double authentification. Si ces tentatives ne comptent pas dans la limite, les attaquants les utilisent tout simplement. Fermez aussi la connexion par XML-RPC ; voir comment désactiver XML-RPC sans risque.
• Lire la mauvaise IP derrière un proxy. Si votre site est derrière Cloudflare et que l’extension lit l’adresse du proxy, un seul robot peut bloquer tous les visiteurs. Si elle fait au contraire aveuglément confiance à l’en-tête X-Forwarded-For, un robot peut inventer une nouvelle IP à chaque requête et n’être jamais compté. La règle sûre consiste à ne faire confiance aux en-têtes de proxy que lorsque la requête provient réellement du proxy.
• Des blocages trop longs. Un blocage de 24 heures pour trois fautes de frappe pénalise votre propre équipe. Gardez un premier blocage court et allongez les blocages répétés.
• Pas de liste d’autorisation. Ajoutez votre propre IP fixe pour qu’un mot de passe oublié ne vous bloque jamais.

Sans extension

WordPress dispose d’un hook, wp_login_failed, qui se déclenche après chaque connexion échouée. Vous pouvez compter les échecs avec un transient et refuser les connexions lorsque le compteur est trop élevé. Une version minimale pour une extension indispensable (must-use) (wp-content/mu-plugins/login-limit.php) :

<?php
add_action( 'wp_login_failed', function () {
    $key = 'll_' . md5( $_SERVER['REMOTE_ADDR'] );
    $n   = (int) get_transient( $key );
    set_transient( $key, $n + 1, 15 * MINUTE_IN_SECONDS );
} );

add_filter( 'authenticate', function ( $user ) {
    $key = 'll_' . md5( $_SERVER['REMOTE_ADDR'] );
    if ( (int) get_transient( $key ) >= 8 ) {
        return new WP_Error( 'too_many', 'Too many failed attempts. Try again later.' );
    }
    return $user;
}, 30 );

Cela fonctionne, mais soyons honnêtes sur ce qui manque : le code ne lit que REMOTE_ADDR, donc derrière un proxy il compte le proxy ; il ne compte pas les tentatives XML-RPC multicall comme des tentatives séparées ; il n’a ni liste d’autorisation, ni e-mail d’alerte, ni journal. Chacun de ces éléments représente du code supplémentaire à écrire et à maintenir.

Certains hébergeurs proposent aussi des outils au niveau du serveur, comme fail2ban qui surveille le journal d’accès. C’est solide si votre hébergeur s’en charge pour vous ; sur un hébergement mutualisé, vous ne pouvez généralement pas le mettre en place.

En cas de problème

• Vous vous êtes bloqué vous-même. Attendez la fin du blocage, essayez depuis un autre réseau comme les données mobiles, ou demandez à un autre administrateur d’ajouter votre IP à la liste d’autorisation.
• Tout le monde est bloqué en même temps. Votre site est probablement derrière un proxy et l’extension lit l’IP du proxy. Modifiez le réglage Source de l’IP.
• Aucun blocage ne se produit jamais. Vérifiez si la source de l’IP fait confiance à un en-tête que les robots peuvent falsifier. Si chaque tentative affiche une « IP » différente, c’est la cause.

Pour tous les moyens de retrouver l’accès, consultez Bloqué après avoir changé l’URL de connexion.

Avec Hushfort

Les Limites de connexion font partie de Hushfort Pro, le module complémentaire qui s’installe par-dessus Hushfort Security, l’extension de sécurité WordPress gratuite.

La couche Limites de connexion de Hushfort compte les connexions échouées par IP (ou par IP et identifiant) sur une fenêtre de temps de votre choix, et bloque l’IP pendant une durée de votre choix. Des blocages répétés en 24 heures peuvent déclencher un blocage prolongé.

• Les codes de double authentification erronés et les connexions échouées par mot de passe d’application comptent aussi : il n’existe donc pas de porte dérobée pour deviner.
• Les en-têtes de proxy ne sont pris en compte que lorsque la requête provient réellement de Cloudflare ou d’un réseau privé.
• Les e-mails d’alerte partent vers autant d’adresses que vous en indiquez.
• Chaque tentative échouée ou bloquée apparaît dans un Historique filtrable.
• La liste d’autorisation est partagée avec toutes les autres couches de Hushfort : vous ne vous ajoutez qu’une fois.

Désactiver Hushfort lève tous les blocages en cours.