Anmeldeversuche ohne Plugin begrenzen?

English version: Limit login attempts without a plugin?

Im Internet finden Sie zahlreiche Kommentare und Ratschläge dazu. Aber stimmt das auch?

Standardmäßig erlaubt WordPress unbegrenzte Anmeldeversuche über das Anmeldeformular, sendet spezielle Cookies, verwendet XML-RPC-Aufrufe und REST-API-Aufrufe. Dadurch können Passwörter relativ einfach per Brute-Force-Angriff geknackt werden. Heutzutage versuchen Hacker und Bots ständig, sich bei Ihrer WordPress-Site anzumelden, indem sie Ihr Administratorkennwort und die Kennwörter anderer auf der Site registrierter Benutzer erraten. Wenn Sie Ihre Site also ohne Plugin schützen möchten, benötigen Sie:

1. Kennen Sie PHP gut.
2. Wissen Sie genug über Authentifizierungsfilter und -aktionen (in WordPress integriert), um sie einzubinden. Ich empfehle, mit Hooks wie „authenticate“ und „wp_login_failed“ zu beginnen.
3. Verfolgen Sie Autorisierungsanforderungen per Post-Login-Formular, XML RPC und REST-API, und vergessen Sie nicht die Autorisierungs-Cookies (sind sie gültig?).
4. Speichern Sie irgendwo alle Versuche mit allen Anmeldeversuchen und allen IP-Adressen, um zu berechnen, wann und welche IP Sie blockieren müssen. Ich empfehle die Verwendung der Transient API. Im Ernst. Das ist der einfachste Weg. Natürlich können Sie es nicht kontrollieren, aber wenn Sie es verwenden, können Sie etwas tun, ohne SQL-Kenntnisse zu haben.
5. Berechnen Sie die Zeit zwischen erfolglosen Anmeldeversuchen für eine bestimmte IP.
6. Besitzen Sie ein Tool oder einen PHP-Code, um diese Zähler und blockierten Kunden-IPs zurückzusetzen. Was passiert, wenn ein legitimer Kunde zufällig blockiert wird?

Sieht verrückt aus? Sie haben eine zweite Möglichkeit. Sie können googeln und sich einige Code-Schnipsel aus irgendeinem Blog im Internet holen, ohne jegliche Garantie und Support.

Fazit: Im Internet finden Sie zahlreiche Ratschläge, wie Sie Anmeldeversuche ohne Plugin einschränken können. Aber alle Ratschläge werden von Personen gegeben, die nicht einmal genau wissen, wie der WordPress-Authentifizierungsalgorithmus funktioniert, einschließlich der netten Leute von Stackoverflow. Aber Sie können das trotzdem tun, wenn Sie sich wirklich keine Sorgen um die Sicherheit Ihrer Site machen, denn ohne PHP-Codierungskenntnisse und Kenntnisse des WordPress-Authentifizierungsmechanismus gibt es keine Möglichkeit, es richtig zu machen.

Wen rufen Sie an, wenn auf Ihrer Site etwas Seltsames passiert?