Een plugin voor brute force-bescherming in WordPress moet robots afremmen die duizenden wachtwoorden uitproberen, zonder je gebruikers buiten te sluiten. Met WP Masquerade Pro komt het beperken van inlogpogingen bovenop de verplaatste inlogpagina, het blokkeren van XML-RPC en tweestapsverificatie: robots vinden minder deuren, en de deuren die overblijven gaan na een paar pogingen dicht.
Voor de definitie, zie brute-force-aanval. Hoe je zulke aanvallen in je logbestanden herkent, lees je in zo herken en stop je een brute-force-aanval op WordPress; drempels en duur zelf instellen doe je met zo beperk je inlogpogingen in WordPress.
Wat de beperking doet
Na een aantal mislukte inlogpogingen dat je zelf kiest, wordt het betreffende netwerkadres een bepaalde tijd geblokkeerd. De foutmeldingen worden neutraal (‘Inloggen niet mogelijk. Controleer je gegevens of probeer het later opnieuw.’): een robot weet niet meer of de gebruikersnaam bestaat.
Waarom dit nuttig is
Brute-force-aanvallen proberen duizenden combinaties van gebruikersnaam en wachtwoord. De beperking remt ze sterk af en laat toch ruimte voor een mens die zich vergist.
Instellingen Pro-functie
| Instelling | Waarden |
|---|---|
| Toegestane mislukte pogingen | 3 tot 30 |
| Blokkeringsduur | 1 tot 60 minuten |
De beperking wordt ingeschakeld op niveau 4 van de module Beveiliging of van de module Inlogpagina: beide gebruiken hetzelfde mechanisme en tellen niet dubbel. Onjuiste codes voor tweestapsverificatie tellen ook mee.
Per ongeluk geblokkeerd? De knop Mij deblokkeren in het tabblad Probleemoplossing geeft je huidige IP-adres weer vrij.
Respect voor privacy
De tellers gebruiken een hash (HMAC) van het adres, nooit het IP-adres zelf. Ze verlopen na de gekozen duur en worden opgeruimd door een WordPress-taak die elk uur draait.
Beperkingen en voorzorgen
- Meerdere gebruikers achter hetzelfde netwerk (kantoor, school) delen één adres: pas de drempel daarop aan.
- X-Forwarded-For-headers die de client stuurt, worden genegeerd. Zit je achter een proxy of CDN, laat je hostingprovider dan het echte adres herstellen, anders delen alle bezoekers de teller van de proxy.
- Is WP-Cron uitgeschakeld, laat het dan uitvoeren door de taakplanner van je hosting.
- De beperking geldt voor inlogpogingen die via de standaardmechanismen van WordPress lopen. Het is geen beperking van het netwerkverkeer en geen afdoende verdediging tegen een gedistribueerde aanval.
Achter Cloudflare lijken alle verzoeken van de servers van Cloudflare te komen. Pro gebruikt dan het echte IP-adres van bezoekers, doorgegeven in de header CF-Connecting-IP en alleen geaccepteerd vanaf de officiële adressen van Cloudflare, voor het beperken van inlogpogingen en blokkades. Lees meer over ondersteuning voor Cloudflare.
Veelgestelde vragen over brute force-bescherming
Beschermt de gratis versie tegen brute force?
Gedeeltelijk. Ze verplaatst de inlogpagina (wp-login.php antwoordt met 404) en blokkeert XML-RPC, de twee doelen waar robots het vaakst op mikken. Het beperken van inlogpogingen en tweestapsverificatie zijn voorbehouden aan Pro.
Heb ik daarnaast een plugin zoals Limit Login Attempts Reloaded nodig?
Nee. Twee beperkingen die dezelfde mislukte pogingen tellen, voegen niets toe en maken het deblokkeren lastiger. Beperkt een andere plugin je inlogpogingen al, laat die functie dan aan één van de twee over.
Houdt de beperking een gedistribueerde aanval tegen?
Niet helemaal: een aanval verspreid over duizenden IP-adressen blijft per adres onder de drempel. Tweestapsverificatie en unieke wachtwoorden zijn de echte verdediging; een firewall bij je hostingprovider of bij Cloudflare filtert al vooraf. Onze vergelijking van WordPress-beveiligingsplugins zet de mogelijkheden op een rij.
Begin gratis, stap over op Pro wanneer je eraan toe bent
De gratis versie verbergt WordPress al, verplaatst de inlogpagina, blokkeert XML-RPC en telt robots. Pro schermt het inloggen af, hernoemt bestandsadressen en bewaakt je sites voor je: bekende kwetsbaarheden, integriteit van de kern, activiteitenlogboek, e-mailwaarschuwingen en de updatestatus van al je sites in je accountomgeving. Vanaf € 59 per jaar excl. btw, veel minder dan de opschoondiensten waarvan we de prijzen hebben opgezocht. Vergelijk de kosten.
