Popis
Login Guard řeší nejčastější typ útoku na WordPress vůbec: automatické hádání hesel na stránce /wp-login.php.
- Omezení rychlosti: po příliš velkém počtu neúspěšných pokusů zablokuje IP adresu na nastavitelnou dobu.
- Historie přihlášení (7 dní): každý pokus s pseudonymním otiskem namísto surové IP adresy, ať už byl úspěšný či neúspěšný, a zadané uživatelské jméno (zobrazitelné pouze v případě, že účet existuje).
- Obecné chybové hlášky: nikdy neupřesňují, zda uživatelské jméno existuje.
- Bezpečné chování seznamu povolených adres: IP adresa, ze které se nedávno úspěšně přihlásila osoba s administrátorskými právy, bude zablokována až po desetinásobku obvyklého počtu neúspěšných pokusů, takže pár překlepů vás nikdy nezablokuje.
- Zakázat XML-RPC: eliminuje známou možnost obejití omezení počtu volání pomocí nastavení `system.multicall`.
- Ochrana proti prohledávání uživatelských jmen (parametr ?author= a veřejný seznam uživatelů REST).
- Skryté pole s pastí v přihlašovacím formuláři: roboti, kteří vyplňují všechna pole, jsou odmítnuti, ať už je heslo jakékoli.
- Upozornění v případě, že se účet jmenuje „admin“, „administrator“ nebo „test“, protože útočníci tyto názvy zkoušejí jako první.
- Export a import všech nastavení ve formátu JSON, což umožňuje nastavit více webů stejným způsobem.
- WP-CLI: zkontrolujte stav a odblokujte IP adresy i v případě, že samotný wp-admin není dostupný.
Bezplatná verze vs. Pro
Bezplatná verze je sama o sobě plnohodnotná: omezení počtu požadavků, historie přihlášení, obecné chybové hlášky, ochrana proti XML-RPC a prohledávání, a export/import nastavení.
Login Guard Pro dodává:
- Dvoufaktorové ověřování (TOTP) pro jednotlivé účty nebo celé role, kompatibilní s běžnými aplikacemi pro ověřování.
- Vlastní adresa URL pro přihlášení namísto /wp-login.php, přičemž při zadání skutečné adresy se zobrazí chyba 404.
- Upozornění v případě, že se účet přihlásí z neznámého zařízení.
- Pevně daný seznam povolených a blokovaných IP adres.
- Automatická oznámení o aktualizacích přímo v administračním rozhraní WordPressu.
Login Guard Pro je samostatný plugin, který nabízí autor; pro používání bezplatné verze není nutný.
Snímky obrazovky
Instalace
- Nahrajte ZIP soubor s pluginem v sekci Pluginy Přidat nový Nahrát plugin nebo jej nainstalujte z adresáře pluginů.
- Aktivujte plugin.
- Otevřete nabídku Login Guard a zkontrolujte výchozí nastavení v části „Nastavení“ (pro většinu webů jsou již vhodné).
Nejčastější dotazy
-
Můžu se zamknout venku?
-
Právě proti takovému scénáři chrání bezpečnostní síť: IP adresa, ze které se osoba s administrátorskými právy nedávno úspěšně přihlásila, bude zablokována až po desetinásobku obvyklého počtu neúspěšných pokusů. Kromě toho lze každé zablokování zrušit jedním kliknutím v sekci „Status & Lockouts“ a v případě, že není wp-admin dostupný, prostřednictvím WP-CLI (
wp 360-orbit-login-guard unlock <ip>). -
Ukládají se nezpracované IP adresy?
-
Ne. V historii přihlášení se ukládá pouze pseudonymní otisk (hash IP adresy a tajná náhodná hodnota vygenerovaná pluginem). Plugin neodesílá žádná data do externích služeb.
-
Co se stane při deaktivaci?
-
Omezení rychlosti a veškerá další ochranná opatření se okamžitě zastaví a denní úklidová úloha cronu se zruší. Stávající historie přihlášení a všechna nastavení zůstanou zachována a po opětovné aktivaci se okamžitě obnoví. Trvale je lze odstranit pouze pomocí tlačítka „Odstranit“ v seznamu pluginů.
-
Jaké jazyky podporuje administrátorské rozhraní?
-
Administrátorské rozhraní se řídí jazykem nastaveným ve WordPressu. Překlady jsou poskytovány jako jazykové balíčky WordPress.org (translate.wordpress.org, textová doména
360-orbit-login-guard); německou verzi spravuje autor. Můžete tam rádi přispět dalšími jazyky.
Recenze
Pro tento plugin nejsou žádné recenze.
Autoři
360 Orbit Login Guard je otevřený software. Následující lidé přispěli k vývoji tohoto pluginu.
Spolupracovníci
Plugin „360 Orbit Login Guard“ byl přeložen do 1 jazyku. Děkujeme všem překladatelům za jejich pomoc.
Přeložte “360 Orbit Login Guard” do svého jazyka.
Zajímá vás vývoj?
Prohledejte kód, podívejte se do SVN repozitáře, nebo se přihlaste k odběru protokolu vývoje pomocí RSS.
Přehled změn
1.0.18
- Novinka: skryté kontrolní pole v přihlašovacím formuláři (ve výchozím nastavení zapnuto, lze vypnout v nastavení). Roboti, kteří vyplní všechna pole, jsou odmítnuti bez ohledu na zadané heslo; takový pokus se počítá jako neúspěšné přihlášení.
- Novinka: upozornění na záložce „Stav“, pokud se účet jmenuje „admin“, „administrator“ nebo „test“.