Lidar tentativas de login no WordPress significa controlar quantas vezes um visitante pode errar usuário e senha antes de ser bloqueado, e esconder a porta de entrada de robôs. A instalação padrão do WordPress aceita tentativas infinitas em wp-login.php, o que abre espaço para ataques de força bruta automatizados. Esses ataques raramente acertam a senha, mas consomem CPU e podem deixar o site lento ou fora do ar. Neste tutorial você vê o diagnóstico, o passo a passo para impor um limite e as camadas extras de proteção. Se o seu site já apresenta lentidão ou erros de acesso, o hub de erros comuns do WordPress reúne os diagnósticos relacionados.

Diagnóstico rápido para lidar tentativas de login no WordPress

Uma enxurrada de tentativas de login quase sempre é ataque, não erro de digitação. Quando o log mostra dezenas de IPs testando o usuário admin em poucos minutos, o site está sob força bruta distribuída por botnet. O WordPress padrão aceita tentativas infinitas e nunca trava o IP sozinho.

Ferramentas como Wordfence e All in One Security registram cada falha com IP, horário e usuário-alvo. O sinal de alerta é o pico em wp-login.php sem visitas reais no Google Analytics. A tabela abaixo separa o sintoma da causa raiz e da ação corretiva.

Por que aparecem tantas tentativas de login no WordPress

O WordPress responde por boa parte da web, e essa popularidade o torna o alvo número um de scripts de força bruta. A porta wp-login.php é idêntica em quase todo site, então robôs varrem a internet testando milhares de combinações de listas vazadas, sem mirar você em específico.

Segundo o manual de administração avançada do WordPress, mesmo tentativas que falham conseguem sobrecarregar o site com requisições. A maioria dos ataques aplica credential stuffing, reutilizando pares de usuário e senha roubados em outros vazamentos. Por isso, senha forte resolve metade do problema; a outra metade é não deixar o robô insistir na porta milhares de vezes por hora. No suporte da FULL, a gente vê que sites sem limite de tentativas recebem picos de tráfego falso que mascaram a métrica real de visitas e ainda disparam a fatura de CPU da hospedagem.

Como limitar tentativas de login: Passo a passo em 4 etapas

Limitar tentativas de login leva menos de 10 minutos e bloqueia o IP após 3 a 5 erros de senha. Depois de poucas falhas seguidas, o WordPress trava aquele IP por um período crescente, de 20 minutos a 24 horas, sem precisar editar código.

As etapas abaixo usam o All in One Security (AIOS), gratuito e com mais de 1 milhão de instalações ativas no diretório oficial; o Limit Login Attempts Reloaded é uma alternativa equivalente. Antes de começar, garanta um backup do site para reverter qualquer bloqueio acidental.

Passo 1: Instale e ative o plugin de segurança

Acesse Plugins, clique em Adicionar novo e pesquise por All in One Security. Instale e ative a versão gratuita, que já traz o módulo de bloqueio de login. O plugin adiciona o menu “WP Security” no painel lateral em até 2 segundos após a ativação. Confira se o seu tema ou outro plugin de segurança, como o Wordfence, já não está controlando o login, para evitar regras duplicadas que travam o acesso legítimo.

Passo 2: Defina o limite de tentativas e o tempo de bloqueio

Vá em WP Security, depois Brute Force e abra a aba Login Lockout. Marque “Enable login lockout” e defina o máximo de tentativas em 3 e o tempo de bloqueio inicial em 60 minutos. Esse intervalo barra robôs sem punir o usuário que erra a senha duas vezes. Ative também o registro de IP bloqueado, que alimenta o log usado no diagnóstico da primeira seção deste guia.

Passo 3: Adicione CAPTCHA ao formulário de login

Ainda em WP Security, abra Brute Force e a aba Login Captcha. Ative o CAPTCHA simples ou o Google reCAPTCHA na tela de login. O desafio derruba scripts automatizados que não resolvem o teste, sem atrapalhar quem digita a senha manualmente. Em sites com muitos autores, prefira o reCAPTCHA invisível para não criar atrito no acesso diário da equipe editorial.

Passo 4: Oculte a página de login com URL secreta

A aba Brute Force Prevention do AIOS usa um mecanismo baseado em cookie: você cria uma palavra secreta que gera uma URL oculta. Quem visita essa URL recebe um cookie que libera o acesso a wp-login.php; quem não tem o cookie é redirecionado para 127.0.0.1. Guarde a palavra secreta em local seguro, porque sem ela nem você entra no painel.

Lidar tentativas de login com camadas extras: 2FA, firewall e edge

Limitar tentativas é a base, mas três camadas extras reduzem o risco a quase zero. A primeira é a autenticação de dois fatores: a análise da Microsoft citada pela OWASP indica que o MFA teria barrado 99,9% dos comprometimentos de conta. Plugins como Google Authenticator e o módulo 2FA do Wordfence cobrem isso em minutos.

A segunda camada é um firewall de aplicação, que filtra o IP malicioso antes mesmo de chegar ao PHP, poupando o servidor. A terceira é o bloqueio no edge, via Cloudflare ou regra de servidor, que para o ataque na borda da rede. Para quem já sofreu invasão, o guia de como evitar ataques de força bruta no login detalha o endurecimento completo. Vale lembrar: a regra antiga de proteger wp-admin por .htaccess hoje é considerada frágil para plugins que usam AJAX.

Acelere a proteção do seu WordPress com a FULL

Montar essas camadas plugin a plugin custa tempo e licenças avulsas. O plano PRO da FULL custa R$849 e inclui os 17 plugins premium que a gente usa para blindar login, como o All in One Security e o Wordfence, junto com o ativador de um clique. Distribuído pelos sites que você gerencia, isso sai por cerca de R$85 por site.

Comprado isolado, cada plugin premium consumiria sozinho boa parte desse valor por ano. No suporte da FULL, a gente vê que padronizar a stack de segurança em vários sites reduz o retrabalho a cada novo cliente e evita configuração inconsistente. Conheça os planos da FULL e veja qual cabe na sua operação. Quer um diagnóstico antes de assinar? Use o FULL Scan para descobrir se algum plugin do seu site está vulnerável agora mesmo.

Perguntas frequentes sobre tentativas de login no WordPress

Próximos passos para blindar o acesso ao painel

Lidar tentativas de login é a primeira barreira contra força bruta, e ela se monta em poucos minutos com um limite de 3 a 5 erros por IP, CAPTCHA e ocultação da página de acesso. Some a isso a autenticação de dois fatores e um firewall, e o ataque automatizado deixa de ser uma ameaça real ao seu servidor. Revise os logs no primeiro mês para ajustar o tempo de bloqueio ao seu tráfego. Para continuar endurecendo o site, o guia de correção de erros comuns do WordPress reúne os diagnósticos relacionados, e o FULL Academy concentra os tutoriais de segurança em um só lugar.

Legenda: a aba Login Lockout do AIOS mostra onde definir o máximo de tentativas e o tempo de bloqueio.