محدود کردن تلاش ورود به وردپرس سرعت حدس‌زدن رمز را کاهش می‌دهد؛ بااین‌حال جای رمز یکتا، احراز هویت دومرحله‌ای و به‌روزرسانی را نمی‌گیرد. تنظیم نامناسب هم ممکن است مدیر یا کاربران واقعی را قفل کند. ابتدا مشخص کنید محدودیت ورود در افزونهٔ فعلی یا سرویس میزبانی وجود دارد یا نه.
انتخاب ابزار برای محدود کردن تلاش ورود به وردپرس
برای نمونه می‌توانید از Limit Login Attempts Reloaded استفاده کنید. آن را از مخزن رسمی وردپرس نصب کنید و تنظیماتش را از منوی افزونه باز کنید. اگر افزونهٔ امنیتی دیگری همین قابلیت را دارد، فعال‌کردن چند محدودکنندهٔ مشابه را بدون بررسی تداخل انجام ندهید.
Login Lockdown & Protection نیز ابزار جداگانه‌ای برای محدودیت ورود است. رابط نسخه‌های قدیمی آن با نسخهٔ فعلی فرق دارد. در تصاویر قدیمی، Max Login Retries تعداد خطا، Retry Time Period Restriction بازهٔ شمارش و Lockout Length مدت قفل را بیان می‌کرد؛ بازهٔ شمارش را با زمان قفل یکسان نگیرید.
تنظیم تعداد تلاش و مدت قفل
- در Limit Login Attempts Reloaded، تب Settings را باز کنید.
- بخش App Settings و برای حالت رایگان، Local App را پیدا کنید.
- در تنظیم Lockout، تعداد allowed retries و زمان‌های قفل را بررسی کنید.
- با تنظیمات پیش‌فرض شروع و فقط بر اساس رفتار واقعی سایت تغییر دهید.
- نتیجه را با حساب آزمایشی و در حالی که نشست مدیریتی دیگری باز است بررسی کنید.
طبق مستند سازنده، تعداد تلاش مجاز پیش‌فرض چهار بار است. کاهش بیش‌ازحد می‌تواند خطای تایپی کاربران را به قفل تبدیل کند. زمان قفل طولانی نیز برای فروشگاه یا سایتی با کاربران مشترک لزوماً مناسب نیست؛ عدد ثابت برای همهٔ سایت‌ها وجود ندارد.
Trusted IP Origins فهرست IP مجاز نیست
این فیلد نام متغیری را مشخص می‌کند که افزونه IP مراجعه‌کننده را از آن می‌خواند؛ قرار نیست IP شخصی مدیر را داخل آن بنویسید. راهنمای رسمی تشخیص IP استفادهٔ معمول از REMOTE_ADDR را توصیه می‌کند، چون هدرهای دیگر بدون پیکربندی قابل‌اعتماد سرور می‌توانند جعل شوند.
اگر سایت پشت پروکسی یا CDN است و همهٔ کاربران با یک IP ثبت می‌شوند، مدیر سرور باید زنجیرهٔ پروکسی مورد اعتماد و انتقال IP واقعی را اصلاح کند. افزودن کورکورانهٔ HTTP_X_FORWARDED_FOR راه‌حل عمومی نیست. قفل‌شدن هم‌زمان همهٔ کاربران می‌تواند نشانهٔ همین خطای تشخیص باشد.
فهرست مجاز، مسدود و گزارش ورود
در رابط رایگان، تب Logs بخش‌های Safelist و Denylist را دارد؛ بعضی نسخه‌ها عبارت Blocklist را نشان می‌دهند. مستند فهرست‌ها محل درج IP، بازه و نام کاربری را توضیح می‌دهد. استثناها را محدود و مستند نگه دارید؛ افزودن همهٔ مدیران یا یک بازهٔ بزرگ بدون دلیل می‌تواند دامنهٔ حفاظت را کاهش دهد.
گزارش تلاش ناموفق، به‌تنهایی اثبات نفوذ موفق نیست. زمان، حساب هدف و الگوی درخواست‌ها را بررسی کنید. IP مشترک شرکت یا اپراتور هم ممکن است متعلق به چند کاربر باشد؛ مسدودسازی گسترده می‌تواند افراد بی‌ارتباط را تحت تأثیر قرار دهد.
رفع قفل اشتباه و تکمیل حفاظت
اگر نشست مدیریتی معتبر دیگری دارید، قفل همان IP را از بخش مربوط آزاد و علت را اصلاح کنید. در صورت نبود دسترسی، از میزبان یا مدیر مجاز کمک بگیرید و افزونه‌های امنیتی را به‌صورت دائمی کنار نگذارید. پس از اصلاح، ورود معمول و فرم‌های سفارشی سایت را نیز آزمایش کنید.
گزینهٔ مربوط به حریم خصوصی یا GDPR در افزونه، به‌تنهایی تضمین انطباق کل سایت نیست. ثبت IP و ارسال اعلان را با سیاست نگهداری داده هماهنگ کنید. در نهایت، رمز یکتا و ورود دومرحله‌ای را همراه با اصول امنیت وردپرس به کار ببرید؛ محدودیت تلاش فقط یکی از این لایه‌هاست.
مطالعهٔ مرتبط
بازبینی فنی: ۱۳ آبان ۱۴۰۵. تاریخ انتشار اولیه و نشانی قبلی حفظ شده‌اند.
