WordPress'te giriş denemelerini nasıl sınırlarım?

Neden önemli

Kaba kuvvet saldırısı sabırdan ibarettir: bir parola dene, tutmazsa sonrakini dene. WordPress buna aldırmaz. Aynı adresten gelen bininci yanlış tahmine de ilki kadar kibarca cevap verir. Bir hesabın parolası zayıfsa ya da başka yerde de kullanılıyorsa iş yalnızca zaman meselesidir.

Bir giriş sınırı hesabı değiştirir. Bir IP on beş dakika beklemek zorunda kalmadan önce yalnızca birkaç deneme yapabiliyorsa, düzgün bir parolayı tahmin etmek saatler yerine yıllar sürer. Ayrıca sunucunu bir bot için giriş sayfasını tekrar tekrar oluşturmaktan kurtarır.

Tek başına kapsamadığı şey. Binlerce IP adresine sahip saldırganlar her birinden birkaç tahmin gönderebilir. Bu yüzden giriş sınırı en iyi, tahmin edilen bir parolayı kod olmadan işe yaramaz hale getiren iki adımlı girişle birlikte çalışır.

Sık yapılan hatalar

• Yalnızca giriş formunu saymak. Parolalar xmlrpc.php üzerinden, REST API uygulama parolaları üzerinden ve iki adımlı doğrulamanın kod adımında da denenebilir. Bunlar sınıra sayılmıyorsa saldırganlar doğrudan onları kullanır. XML-RPC girişini de kapat; XML-RPC'yi güvenle kapatma rehberine bak.
• Proxy arkasında yanlış IP'yi okumak. Siten Cloudflare arkasındaysa ve eklenti proxy'nin adresini okuyorsa tek bir bot tüm ziyaretçileri kilitleyebilir. Bunun yerine X-Forwarded-For başlığına körü körüne güveniyorsa bir bot her istekte yeni bir IP uydurabilir ve hiç sayılmaz. Güvenli kural, proxy başlıklarına yalnızca istek gerçekten proxy'den geliyorsa güvenmektir.
• Fazla uzun kilitler. Üç yazım hatası için 24 saatlik kilit kendi çalışanlarını cezalandırır. İlk kilidi kısa tut, tekrarlanan kilitleri uzat.
• İzin listesi olmaması. Unutulan bir parola seni asla dışarıda bırakmasın diye kendi sabit IP'ni ekle.

Eklentisiz

WordPress'te her başarısız girişten sonra tetiklenen bir kanca var: wp_login_failed. Başarısız denemeleri bir transient ile sayabilir ve sayı çok yükseldiğinde girişleri reddedebilirsin. Bir must-use eklentisi (wp-content/mu-plugins/login-limit.php) için en sade sürüm:

<?php
add_action( 'wp_login_failed', function () {
    $key = 'll_' . md5( $_SERVER['REMOTE_ADDR'] );
    $n   = (int) get_transient( $key );
    set_transient( $key, $n + 1, 15 * MINUTE_IN_SECONDS );
} );

add_filter( 'authenticate', function ( $user ) {
    $key = 'll_' . md5( $_SERVER['REMOTE_ADDR'] );
    if ( (int) get_transient( $key ) >= 8 ) {
        return new WP_Error( 'too_many', 'Too many failed attempts. Try again later.' );
    }
    return $user;
}, 30 );

İşe yarar ama neleri kaçırdığı konusunda dürüst olalım: yalnızca REMOTE_ADDR okur, yani proxy arkasında proxy'yi sayar; XML-RPC multicall tahminlerini ayrı denemeler olarak saymaz; izin listesi, uyarı e-postası ve kayıt yoktur. Bunların her biri yazılacak ve bakımı yapılacak daha fazla kod demektir.

Bazı barındırma firmaları erişim kaydını izleyen fail2ban gibi sunucu düzeyinde araçlar da sunar. Firman bunu senin için çalıştırıyorsa güçlü bir çözümdür; paylaşımlı hostingde genellikle kuramazsın.

Bir şeyler ters giderse

• Kendini dışarıda bıraktın. Kilidin bitmesini bekle, mobil veri gibi başka bir ağdan dene ya da başka bir yöneticiden IP'ni izin listesine eklemesini iste.
• Herkes aynı anda kilitleniyor. Siten büyük ihtimalle bir proxy arkasında ve eklenti proxy'nin IP'sini okuyor. IP kaynağı ayarını değiştir.
• Hiç kilit oluşmuyor. IP kaynağının botların sahteleyebileceği bir başlığa güvenip güvenmediğini kontrol et. Her deneme farklı bir "IP" gösteriyorsa sebep budur.

İçeri dönmenin tüm yolları için Giriş adresini değiştirdikten sonra dışarıda kaldıysan sayfasına bak.

Hushfort ile

Deneme Sınırı, ücretsiz WordPress güvenlik eklentisi Hushfort Security'nin üzerine kurulan ücretli eklenti Hushfort Pro'nun parçasıdır.

Hushfort'un Deneme Sınırı katmanı başarısız girişleri senin seçtiğin bir süre penceresi içinde IP başına (ya da IP ve kullanıcı adı başına) sayar ve IP'yi senin seçtiğin süre kadar kilitler. 24 saat içinde tekrarlanan kilitler daha uzun bir kilidi tetikleyebilir.

• Başarısız iki adımlı doğrulama kodları ve başarısız uygulama parolası girişleri de sayılır; tahmin için bir yan kapı kalmaz.
• Proxy başlıklarına yalnızca istek gerçekten Cloudflare'den ya da özel bir ağdan geliyorsa güvenilir.
• Uyarı e-postaları listelediğin tüm adreslere gider.
• Her başarısız ve engellenen deneme filtrelenebilir bir Geçmiş'te görünür.
• İzin listesi diğer tüm Hushfort katmanlarıyla ortaktır; kendini bir kez eklersin.

Hushfort'u devre dışı bırakmak mevcut tüm kilitleri kaldırır.