Como alterar a URL de login do WordPress e esconder o wp-admin?

Por que isso importa

Todos os sites WordPress do mundo respondem nos mesmos dois endereços: /wp-login.php e /wp-admin. Os bots sabem disso. Eles não precisam encontrar sua página de login; simplesmente a solicitam em todos os sites que conseguem alcançar e começam a adivinhar senhas.

Mover o login para um caminho que só você conhece tira o seu site dessa multidão. Os scripts automatizados de adivinhação dão de cara com um 404 e seguem em frente. Seus registros ficam mais silenciosos, seu servidor trabalha menos e as tentativas que restam ficam mais fáceis de analisar.

O que isso não faz. Ocultar o login é uma camada de ocultação. Ela remove o alvo fácil, mas não tranca nada. O WordPress tem outras portas, principalmente o xmlrpc.php, que aceita nomes de usuário e senhas por conta própria. Uma página de login oculta com a porta do XML-RPC aberta é como um portão da frente escondido ao lado de um portão lateral destrancado. Trate este passo como o primeiro de vários:

• limite as tentativas de login com falha,
• adicione login em dois fatores para administradores,
• feche o login via XML-RPC e os vazamentos de nomes de usuário,
• use senhas fortes e únicas e mantenha o WordPress atualizado.

Erros comuns

• Sair antes de testar. Sempre teste o novo caminho em uma janela anônima enquanto sua aba principal ainda está conectada. Se algo estiver errado, você ainda consegue corrigir.
• Não guardar a URL. "Vou lembrar" é a causa mais comum de ficar sem acesso. Coloque-a no seu gerenciador de senhas.
• Escolher um caminho óbvio. /login, /admin e /secure são as primeiras coisas que os bots tentam. Use algo que não seja uma palavra comum sozinha.
• Esquecer as outras portas. Se o login via XML-RPC continuar aberto, a adivinhação de senhas simplesmente se muda para lá. Veja como desativar o XML-RPC com segurança.
• Colocar o novo caminho em cache. Se uma CDN ou um cache de página guardar a página de login, o formulário pode quebrar. Exclua o caminho do cache, como faria com o wp-login.php.

Sem plugin

Não existe uma configuração no WordPress para mudar a URL de login. Os métodos manuais são:

Renomear o wp-login.php. Alguns guias sugerem copiar o wp-login.php para um novo nome de arquivo e substituir todas as referências dentro dele. Isso quebra assim que o WordPress é atualizado, porque a atualização restaura o arquivo original e sua cópia fica desatualizada. Não recomendamos.

Restringir o arquivo no servidor. No Apache, você pode limitar o wp-login.php ao seu próprio endereço IP no .htaccess:

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

Isso é sólido se você sempre trabalha a partir de um endereço fixo. Mas tranca você do lado de fora no dia em que seu IP mudar, e não ajuda em servidores Nginx ou LiteSpeed sem uma regra equivalente. Também não esconde os redirecionamentos do wp-admin.

Usar autenticação HTTP básica. Muitas hospedagens permitem colocar uma senha no wp-login.php pelo painel de controle. Funciona, mas acrescenta uma segunda caixa de login para todo mundo e pode quebrar chamadas ao admin-ajax.php feitas pelo front-end se for aplicada de forma ampla demais.

O resumo honesto: os caminhos manuais ou quebram nas atualizações ou dependem de um IP fixo. Um plugin que intercepta a requisição é mais simples e sobrevive às atualizações.

Se algo der errado

• O novo caminho mostra um 404. Confira se há erros de digitação no caminho, depois limpe o cache de página e o cache da CDN e tente de novo em uma nova janela anônima.

• Você ficou sem acesso. Adicione esta linha ao wp-config.php, acima de "That's all, stop editing!":

  define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
  

  O formulário de login abre em seusite.com/new-path na mesma hora.

• Sem acesso ao arquivo wp-config.php? Exclua a pasta hushfort-security de /wp-content/plugins/ por FTP ou pelo gerenciador de arquivos da hospedagem. O WordPress volta ao login padrão.

O guia completo de recuperação está em Sem acesso depois de mudar a URL de login.

Com o Hushfort

A camada Ocultar Login do Hushfort Security, o plugin de segurança gratuito para WordPress, não faz nada até você escolher um caminho, então ativá-la não tranca você do lado de fora por acidente. Depois que você define um caminho:

• wp-login.php e wp-admin retornam 404 (ou, se preferir, redirecionam para a página inicial ou para uma URL que você escolher).
• admin-ajax.php, a API REST, o WP-Cron e o XML-RPC continuam funcionando, então seu tema e seus plugins se comportam como antes.
• O painel mantém um cartão "Se você perder o acesso" com sua URL de login atual e a linha de emergência.
• Desativar o plugin devolve o WordPress ao login normal.

O Ocultar Login está no plugin gratuito. O Hushfort Pro acrescenta Limites de Login, Dois Fatores e a Trava de Backdoor para o XML-RPC, para que o login oculto seja uma muralha entre várias, e não a única.