Использование плагина Stealth Login
Stealth Login – действенный и простой плагин. Установив его, прежде чем попасть на сайт администратор должен будет ввести два кода: свой и дополнительный пароль (как показано на рисунке ниже).
Возможно такой барьер остановит не всех, но очень многих. Подобрать не один, а сразу два кода, намного труднее (хакеру понадобиться большое количество ресурсов). Загрузив и установив Stealth Login, необходимо проделать четыре простых шага, перейдя в Параметры -> Stealth Login Page:
- Включаем установленное дополнение, поставив галочку около «Enable Stealth Mode».
- В самом первом поле вводим желаемый код авторизации. Его необходимо запомнить или записать, так как попасть в админку без него будет попросту невозможно.
- Второе поле – адрес страницы, куда перекинет пользователя или робота после неудачной авторизации (самый простой способ – сделать перенаправление на стартовую страницу любого поисковика, чтобы машина нашла себе иную жертву).
- Можно установить галочку о рассылке уведомлений в случае неудачной попытки авторизации на электронную почту.
Вот как все будет выглядеть:
Все проделанные действия очень просты, но они позволят создать дополнительный барьер для злоумышленников, при чем очень эффективный.
Использование плагина Limit Login Attempts
Limit Login Attempts – еще один крайне простой, но полезный плагин. Его основное предназначение – принимать меры в случае атак, связанных с перебором паролей. Ранее уже описывалось решение, связанное с ограничением количества попыток паролей. Здесь предусмотрен точно такой же принцип работы.
После установки данного дополнения в меню «Параметры» появится дополнительный пункт Limit Login Attempts. Можно оставить все настройки по умолчанию (количество попыток ввода — 4). IP-адрес, с которого поступил запрос, будет храниться в журнале учета. После первых 4-х попыток доступ к админке блокируется на 15 минут, после повторных ошибок – на пол суток.
HTTP-авторизация
Установка HTTP-авторизации позволит легко отсеивать ботов, так как с их стороны доступ к сайту производится не через веб-браузер.
Шаг первый – создание файла htpasswd
Необходимо создать файл «.htpasswd» и расположить в корне сайта. Сгенерировать его можно здесь http:/www.htaccesstools.com/htpasswd-generator/. В предложенной форме вводятся имя и пароль (с реальным доступом на сайт данные никак не связаны).
Нажав «Получить содержимое» сгенерируется код, который вписывается в ранее созданный файл.
Шаг второй
В корневой папке есть стандартный файл «.htaccess», в который следует прописать еще несколько строк:
AuthName «Access Denied»
AuthType Basic
AuthUserFile полный_путь_до_корня_сайта/.htpasswd
require valid-user
Путь к корню, как правило, следующий: www + название домена или /public_html. Теперь, когда кто-то попробует войти на сайт, вначале будет предложено ввести сгенерированные ранее пароль и имя. Если они совпали, значит произойдет перенаправление к авторизации админки.
Одно замечание: пароль стоит запомнить, так как он будет храниться в зашифрованном виде и посмотреть его нигде нельзя. Забыв, придется заново подключаться по FTP к серверу и вновь все генерировать.
Заключение
Вот несколько простых, но эффективных способов, как защитить свой сайт от злоумышленников. В 90% случаев они работают безотказно!