GamletOrtikov, это блокирует всем логин в профиль и админку WP, кроме указанных IP. Устраивает ли это Вас только Вам известно, другие защиты тоже есть, способ с куками ранее был описан.
'[umka: ;12016142']Код не дружит с плагинами, устанавливающими собственные страницы для ошибки 403.
С ajax плагинами входа тоже, они посылают POST запрос на wp-login.php, исключения для callback в урле можно хотя бы добавить, если запрос через XMLHttpRequest.
Better WP Security нормально справляется, нагрузка проца стала не более 40%, а была под 100%. Поставил бан после 3-5 неудачных попыток на несколько суток, 180 айпишников пока набежало.
Если на сайте нет скриптов ajax входа с жёстко прописанным путём к wp-login.php или чего-то подобного, то можно вообще полностью избежать автоподбора, в плагине есть функция смены урла входа.
Да и есть плагины, которые банят посредствам htaccess наверно, там нагрузки совсем не будет.
Ламерский подбор так-то) Подбирают преимущественно пасс админа, а логин админа можно спокойно поменять.
GamletOrtikov, это блокирует всем логин в профиль и админку WP, кроме указанных IP. Устраивает ли это Вас только Вам известно, другие защиты тоже есть, способ с куками ранее был описан.
Не пускает
В этом и смысл 🤪
IP свой внешний прописать надо. Это конечно радикальная мера, если на сайтах никто не регается.
GamletOrtikov, если запретить для всех IP, кроме своих, то как-то так:
А то для каждого сайта редактировать свой .htaccess не вариант.
htaccess дополняют основной конфиг (httpd.conf), пропиши в него глобально правила для location какие надо
;12016242']Если сайт свой
Свой, но костыли) Я пока прописал
RewriteCond %{QUERY_STRING} !(callback|logout|lostpassword)Брут примитивный, без всяких параметров (да даже реферер одинаковый), а так AJAX логину защита мешать не будет.
;12016142']Код не дружит с плагинами, устанавливающими собственные страницы для ошибки 403.
С ajax плагинами входа тоже, они посылают POST запрос на wp-login.php, исключения для callback в урле можно хотя бы добавить, если запрос через XMLHttpRequest.
Есть целая куча способов избавиться от подобных атак nginx'ом и сразу для всех сайтов за ним.
Поделитесь?) При условии, что подбор идёт запросами ничем не отличающимися от реальных посетителей, а логины и профили на сайтах должны работать.
Better WP Security нормально справляется, нагрузка проца стала не более 40%, а была под 100%. Поставил бан после 3-5 неудачных попыток на несколько суток, 180 айпишников пока набежало.
Если на сайте нет скриптов ajax входа с жёстко прописанным путём к wp-login.php или чего-то подобного, то можно вообще полностью избежать автоподбора, в плагине есть функция смены урла входа.
Да и есть плагины, которые банят посредствам htaccess наверно, там нагрузки совсем не будет.
Ламерский подбор так-то) Подбирают преимущественно пасс админа, а логин админа можно спокойно поменять.