增强的暴力登录保护

在假期期间，我们的系统管理员忙于在幕后启动一个名为 WordPress Protect 的新应用程序，该应用程序为 WordPress 网站提供更强大的保护。 WordPress Protect 加入了我们不断发展的安全套件，该套件是我们新托管平台的一部分。

问题

由于 WordPress 占互联网网站总数的 30% 以上，它已成为恶意活动的重要目标。 事实上，早在 2013 年，我们的行业就面临着 针对 WordPress 的最大且组织严密的针对性攻击 使用称为蛮力的尝试进行安装。

不幸的是，WordPress 没有针对这些类型攻击的内置保护，因此我们致力于开发自定义 ModSecurity 规则，并在 2016 年开发了一个基本的基于 CAPTCHA 的系统来帮助减缓这些恶意攻击。

此过程使我们的系统管理员能够采取措施限制对我们客户及其合法流量的影响，同时保护他们的网站。 不幸的是，由于引入了我们的客户不关心的第二个登录提示，副作用导致了混乱。 这迫使我们在幕后积极致力于更清洁的解决方案。

解决方案：WordPress 保护

正是通过这种努力，我们的系统管理员与我们的一些第三方供应商一起成功地创建了我们认为是卓越的解决方案，它不仅更好地保护了我们的客户，而且还帮助减少了整体服务器负载，从而实现更快、更多为所有客户提供稳定的托管体验。

2017 年期间，我们在网络的一小部分积极测试了新解决方案，发现我们的 WordPress Protect 套件每天过滤掉超过 180,000 次尝试（每月略多于 5400 万次尝试），同时将页面加载时间减少了多达 13%，原因是过滤发生在连接到客户网站之前。

我们的发现在得到客户的好评后得到进一步验证：

“看到我们的网站受到积极保护免受暴力攻击，这令人欣慰，特别是因为它不会妨碍我们的日常工作。”

“过去，每当发生攻击时，我都必须使用烦人的验证码来登录我的 WordPress 网站。 现在，封锁正在发生，我什至都不知道。”

“我已经使用插件来阻止这些类型的攻击，但由于你们都激活了 WordPress Protect，我发现通过插件统计的尝试减少了，页面加载速度也降低了。 双赢。”

那么它是怎样工作的？

WordPress Protect 会自动为我们平台上的每个托管帐户启用，并且不需要客户操作来启用/禁用保护。

我们的系统将使用基于配额的系统跟踪以下页面在指定时间范围内的失败登录尝试：xmlrpc.php 和 wp-login.php。 如果一个连接登录失败 10 次（在我们的整个网络中），我们将开始限制该连接，页面加载将需要 30 秒。 那些没有失败的连接将不会受到限制。

因此，通俗地说，如果我们网络上的任何地方发生暴力尝试，我们的系统将自动关闭它们，而您合法用户将继续毫无问题地使用您的网站。

接下来会发生什么

在我们努力改进 WordPress Protect 的过程中，我们将带来额外的功能，让客户能够更好地控制如何为他们的托管帐户过滤连接。

随着我们继续增强和扩展我们的安全套件选项，我们期待听到来自客户的更多积极反馈。 请随时在下面发表评论。