Jak zmienić adres logowania do WordPressa?

Dlaczego to ważne

Każda witryna WordPress na świecie odpowiada pod tymi samymi dwoma adresami: /wp-login.php i /wp-admin. Boty o tym wiedzą. Nie muszą szukać Twojej strony logowania — po prostu odpytują ją na każdej witrynie, do której dotrą, i zaczynają zgadywać hasła.

Przeniesienie logowania pod ścieżkę znaną tylko Tobie wyciąga Twoją witrynę z tego tłumu. Zautomatyzowane skrypty zgadujące trafiają na 404 i idą dalej. Twoje dzienniki cichną, serwer ma mniej pracy, a próby, które zostają, łatwiej przeanalizować.

Czego to nie robi. Ukrycie logowania to warstwa zaciemniająca. Usuwa łatwy cel, ale niczego nie zamyka na klucz. WordPress ma inne drzwi, przede wszystkim xmlrpc.php, który samodzielnie przyjmuje nazwy użytkowników i hasła. Ukryta strona logowania przy otwartym XML-RPC to jak ukryta brama frontowa obok niezamkniętej furtki z boku. Traktuj ten krok jako pierwszy z kilku:

• ogranicz nieudane próby logowania,
• dodaj uwierzytelnianie dwuskładnikowe dla administratorów,
• zamknij logowanie przez XML-RPC i wycieki nazw użytkowników,
• używaj silnych, unikalnych haseł i aktualizuj WordPressa.

Częste błędy

• Wylogowanie się przed testem. Zawsze testuj nową ścieżkę w oknie prywatnym, gdy w głównej karcie nadal jesteś zalogowany. Jeśli coś jest nie tak, wciąż możesz to naprawić.
• Niezapisanie adresu. „Zapamiętam” to najczęstsza przyczyna zablokowania się. Zapisz adres w menedżerze haseł.
• Oczywista ścieżka. /login, /admin i /secure to pierwsze, co sprawdzają boty. Wybierz coś, co nie jest samodzielnym popularnym słowem.
• Zapomnienie o innych drzwiach. Jeśli logowanie przez XML-RPC jest nadal otwarte, zgadywanie haseł po prostu przeniesie się tam. Zobacz, jak bezpiecznie wyłączyć XML-RPC.
• Buforowanie nowej ścieżki. Jeśli CDN lub pamięć podręczna stron zapisze stronę logowania, formularz może przestać działać. Wyłącz ścieżkę z buforowania, tak jak wp-login.php.

Bez wtyczki

WordPress nie ma ustawienia do zmiany adresu logowania. Metody ręczne to:

Zmiana nazwy wp-login.php. Niektóre poradniki sugerują skopiowanie wp-login.php pod nową nazwę i podmianę wszystkich odwołań w środku. To przestaje działać przy pierwszej aktualizacji WordPressa, bo aktualizacja przywraca oryginalny plik, a Twoja kopia się dezaktualizuje. Nie polecamy tego.

Ograniczenie dostępu do pliku na serwerze. Na Apache możesz w .htaccess ograniczyć wp-login.php do własnego adresu IP:

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

To solidne rozwiązanie, jeśli zawsze pracujesz z jednego stałego adresu. Zablokuje Cię jednak w dniu, w którym zmieni się Twój IP, i nie pomoże na Nginx ani LiteSpeed bez odpowiedniej reguły. Nie ukrywa też przekierowań z wp-admin.

Uwierzytelnianie HTTP Basic. Wielu hostingodawców pozwala zabezpieczyć wp-login.php hasłem z panelu. To działa, ale dodaje każdemu drugie okno logowania i może psuć wywołania admin-ajax.php z frontu witryny, jeśli zostanie zastosowane zbyt szeroko.

Uczciwie podsumowując: metody ręczne albo psują się przy aktualizacjach, albo zależą od stałego IP. Wtyczka przechwytująca żądanie jest prostsza i przetrwa aktualizacje.

Jeśli coś pójdzie nie tak

• Nowa ścieżka pokazuje 404. Sprawdź, czy w ścieżce nie ma literówki, a potem wyczyść pamięć podręczną stron i CDN i spróbuj ponownie w nowym oknie prywatnym.

• Zablokowałeś się. Dodaj tę linię do wp-config.php, nad „That's all, stop editing!”:

  define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
  

  Formularz logowania od razu otworzy się pod adresem yoursite.com/new-path.

• Nie masz dostępu do pliku wp-config.php? Usuń folder hushfort-security z /wp-content/plugins/ przez FTP lub menedżer plików hostingu. WordPress wróci do domyślnego logowania.

Pełny poradnik odzyskiwania dostępu znajdziesz w artykule Zablokowany dostęp po zmianie adresu logowania.

Z Hushfort

Ukrywanie logowania jest częścią Hushfort Security, darmowej wtyczki bezpieczeństwa WordPress.

Warstwa Ukrywanie logowania w Hushfort nic nie robi, dopóki nie wybierzesz ścieżki, więc samo jej włączenie nie może Cię przypadkiem zablokować. Gdy ustawisz ścieżkę:

• wp-login.php i wp-admin zwracają 404 (albo, jeśli wolisz, przekierowują na stronę główną lub wybrany przez Ciebie adres).
• admin-ajax.php, REST API, WP-Cron i XML-RPC działają dalej, więc motyw i wtyczki zachowują się tak jak wcześniej.
• Kokpit pokazuje kartę „Jeśli stracisz dostęp” z Twoim aktualnym adresem logowania i linią awaryjną.
• Wyłączenie wtyczki przywraca w WordPressie zwykłe logowanie.

Ukrywanie logowania jest w darmowej wtyczce. Hushfort Pro dodaje Limity logowania, uwierzytelnianie dwuskładnikowe i Blokadę tylnych drzwi dla XML-RPC, więc ukryte logowanie jest jednym z kilku murów, a nie jedynym.