Los sitios de WordPress son muy deseados por los ciberdelincuentes. Les resulta muy fácil atacarlos con herramientas automatizadas, y a veces un simple descuido permite a los cibercriminales tomar el control de un sitio web y utilizarlo para otros delitos en internet. En nuestro caso, en la red de la UPV bloqueamos cerca de mil direcciones IP diariamente que realizan ataques automatizados sobre los sitios de WordPress que tenemos alojados.

Una manera sencilla y fácil que aporta una buena protección para los sitios de WordPress es el uso del plugin "Limit Login Attemps Reloaded"

¿Para qué sirve el plugin?

Este plugin evita los ataques de fuerza bruta. Esto es, el intento de los atacantes de probar una y otra vez diferentes contraseñas para conseguir el acceso al panel de control. Los atacantes utilizan herramientas automáticas, lo que les permite probar cientos de contraseñas diferentes por minuto. Este plugin establece un bloqueo cuando se ha puesto mal la contraseña al menos 4 veces.

¿Cómo se instala?

El procedimiento de instalación es el mismo que cualquier otro plugin de WordPress.

Si lo hacemos desde el panel de Plesk > Websites & Domains > (sitio web de wordpress) > Plugins > Install > (cuadro de búsqueda) "Limit Login Attempts Reloaded"

¿Cómo ver las IPs bloqueadas?

Una vez instalado en la página de administración de WordPress aparecerá una opción de menú para el plugin Limit Login Attempts Reloaded. 

En el menú del plugin Limit Login Attempts Reloaded > Registros podemos ver el registro de las IPs que han sido bloqueadas y desbloquear las que sean legítimas, esto es, las que correspondan a personas que realmente se han equivocado más de 4 veces.

¿Cómo cambiar el email donde recibir las notificaciones?

En el menú de Worpress > Limit Login Attempts Reloaded > Ajustes > Notify on Lockout

Recuérdese pulsar el botón "Guardar cambios" al final de la página;

¿Cómo mejorar aún más la eficacia del plugin?

La configuración por defecto del plugin es poco efectiva, ya que el primer bloqueo sobre los 4 intentos fallidos dura únicamente 20 minutos, y el segundo intento 24 horas.

Recomendamos aumentar estos valores de manera que el primer bloqueo con 4 intentos fallidos sea de 24 horas, y el segundo bloqueo si se vuelve a repetir, de 30 días.

Esta es la configuración que recomendamos establecer;

Recuérdese pulsar el botón "Guardar cambios" al final de la página;