Rate Limiting

Warum es für WordPress wichtig ist

Ohne Limits können Bots tausende Passwörter pro Stunde gegen wp-login.php und xmlrpc.php probieren. Das verbrennt Serverressourcen und erhöht die Chance, dass ein schwaches Passwort irgendwann stimmt. Weiche Limits machen aus dem Spray einen langsamen, lauten Vorgang, den Sie sehen und blockieren können.

Rate Limiting ist nicht dasselbe wie eine dauerhafte Sperrliste. Gute Limits bremsen Angreifer und lassen echte Benutzer trotzdem einen Tippfehler korrigieren.

So zeigt es sich in der Praxis

• Kurzzeitige Sperren nach N fehlgeschlagenen Anmeldungen von einer IP
• HTTP-429-Antworten von CDN, Host oder Anwendungsfirewall
• Firewall-Regeln, die einen Pfad drosseln (Anmeldung, XML-RPC, Suche, Checkout)
• Mitarbeitende treffen Limits von einer geteilten Büro-IP, wenn die Schwelle zu streng ist

Was Sie tun sollten

1. Begrenzen Sie WordPress-Anmeldung und XML-RPC, wenn Sie sie noch offenlegen.
2. Bevorzugen Sie gestufte Verzögerungen oder kurze Sperren vor dauerhaften Sperren, mit denen Angreifer echte Benutzer per DoS treffen können.
3. Nehmen Sie vertrauenswürdige Büro- oder Monitoring-IPs vorsichtig in eine Freigabe, wenn Mitarbeitende eine gemeinsame Ausgangsadresse teilen.
4. Kombinieren Sie Limits mit Zwei-Faktor-Authentifizierung, damit ein Treffer trotzdem einen zweiten Faktor braucht.
5. Beobachten Sie das Volumen fehlgeschlagener Anmeldungen im Ereignisprotokoll, nachdem Sie Schwellen enger stellen.

In WP Security Ninja

Der Pro-Anmeldeschutz enthält einstellbare Limits für Fehlversuche: nach zu vielen schlechten Versuchen werden weitere Versuche für diesen Besucher blockiert, statt PHP endlos zu hämmern. Kombinieren Sie das mit 2FA für Admin-Rollen, wenn gestohlene oder gestopfte Passwörter scheitern sollen, auch wenn sie „stimmen“.