Как предотвратить атаки на страницу WordPress wp-login.php

плохое поведение может заблокировать некоторые известные вредоносные IP-адреса. он работает вместе с ProjectHoneyPot и предотвращает попадание плохих IP-адресов на вашу веб-страницу еще до ее полной загрузки...

также есть способ скрыть страницу входа с помощью .htaccess
заблокировать всех, кто пытается войти более нескольких раз, как уже указал Джимми

кроме того, вам, вероятно, следует применять следующие методы:

• не используйте учетную запись администратора (создайте другую учетную запись с правами администратора, но с именем пользователя, отличным от admin, а затем удалите учетную запись администратора по умолчанию)
• принудительное использование SSL
• используйте надежные пароли

Как мне добавить пароль к одному файлу?

Добавьте это к текущему .htaccess WP:

<FilesMatch "wp-login.php">
    AuthName "WordPress Admin"
    AuthType Basic
    AuthUserFile /path/to/.htpasswd
    require valid-user
</FilesMatch>

создайте правило .htaccess для каталога wp-admin и задайте для него либо заданный список IP-адресов, либо комбинацию пользователя/пароля. Вы не хотите начинать взламывать WordPress, если можете избежать этого, так как следующее обновление просто отменит ваши изменения, и установка его на уровне Apache .htaccess будет намного эффективнее, чем попытка исправить WordPress.

В чем проблема просто ограничить количество попыток входа в систему по IP-адресу? http://wordpress.org/extend/plugins/limit-login-attempts/

Чтобы обновить epaps выше, ИЗМЕНИТЬ и ответить на аналогичный вопрос Есть ли способ переименовать или скрыть wp-login.php?, я тоже нашел правила .htaccess, сгенерированные (теперь уже давно заброшенным) плагином скрытого входа быть наименее сложным, но наиболее эффективным средством предотвращения прямого доступа к wp-login.php/wp-admin и защиты от различных атак (в частности, перебора).

Другие «решения», которые я прочитал, требуют функций php, изменений в wp-config.php и перезаписи .htaccess. Или установка еще одного (громоздкого) плагина! Многие из них либо блокируют только URI /wp-admin/ (это легко разрушить, перейдя прямо к wp-login.php), либо прерывают логин комментаторов/клиентов.

Последняя версия плагина скрытого входа была v1.3 и была совместима с версиями WordPress от 2.3 до 2.7.1. Последний снимок Интернет-архива от 15 октября 2011 г. можно найти здесь, где можно скачать Stealth-Login.1.3.zip. Совместимую версию WordPress можно загрузить из архива релизов — https://wordpress.org/download/release-archive/. Выполните знаменитую 5-минутную установку, разархивируйте плагин скрытого входа в /wp-content/plugins, и теперь вы можете создать набор правил для собственного использования.

Мой, как показано ниже, отлично работает на WordPress 4.7.4 с WooCommerce 3.0.5. Единственное изменение, которое я сделал, — это добавление условия перезаписи в строке 12. Это было необходимо для предотвращения поломки WooCommerce /my-account/customer-logout (это было перенаправление 302 без URI /wp-login.php — это означает, что строка запроса на его собственный не будет выполнять выход из системы, поэтому ничего не произошло.Обратите внимание, что строка была оставлена ​​​​открытой для получения переменной wpnonce.

Итак, как отмечалось ранее, это лучшее решение, которое я нашел, и его даже можно заставить работать с WooCommerce. Так просто, но так эффективно — спасибо epaps за указание на это.

RewriteRule ^signout wp-login.php?action=logout&_wpnonce=a3d57642ab&stealth_out_key=ow4hzd5lxudcetbgbfreaox6c1 [L]
RewriteRule ^signin wp-login.php?stealth_in_key=05gvov4wuuruahpuchpohavitl&redirect_to=https://yourwebsite.com/wp-admin/ [R,L]
RewriteRule ^admin wp-admin/?stealth_admin_key=f4ji1q6tpwr55s5a0h65clg0qk [R,L]
RewriteCond %{HTTP_REFERER} !^https://yourwebsite.com/wp-admin 
RewriteCond %{HTTP_REFERER} !^https://yourwebsite.com/wp-login\.php 
RewriteCond %{HTTP_REFERER} !^https://yourwebsite.com/signin 
RewriteCond %{HTTP_REFERER} !^https://yourwebsite.com/admin 
RewriteCond %{QUERY_STRING} !^stealth_in_key=05gvov4wuuruahpuchpohavitl 
RewriteCond %{QUERY_STRING} !^stealth_out_key=ow4hzd5lxudcetbgbfreaox6c1 
RewriteCond %{QUERY_STRING} !^stealth_reg_key=rue2bekyask21pwtegavqbbp5n 
RewriteCond %{QUERY_STRING} !^stealth_admin_key=f4ji1q6tpwr55s5a0h65clg0qk 
RewriteCond %{QUERY_STRING} !^action=logout&redirect_to=https%3A%2F%2Fyourwebsite.com%2Fmy-account%2F&_wpnonce= 
RewriteRule ^wp-login\.php https://yourwebsite.com [L] 
RewriteCond %{QUERY_STRING} ^loggedout=true 
RewriteRule ^wp-login\.php https://yourwebsite.com [L] 

В качестве предложения, если вы находитесь на статическом IP-адресе, вы можете использовать файл .htaccess .passwd, чтобы ограничить доступ к каталогу администратора известным списком IP-адресов. Хотя это не предотвратит попытки доступа, это, по крайней мере, снизит использование ресурсов.

В качестве дополнения к вашей безопасности вы можете попробовать этот простой плагин WordPress:

http://themext.com/protected-wp-login/