| Parâmetro | Valor recomendado | Efeito na defesa |
|---|---|---|
| Tentativas permitidas | 3 a 5 por IP | Corta o ataque automatizado sem punir erro humano de digitação |
| Tempo de lockout | 20 minutos | Torna a força bruta lenta demais para valer a pena |
| Lockouts até bloqueio longo | 4 lockouts em 24h igual a 24 horas | Bane reincidentes sem esforço manual do admin |
Legenda: o teto de tentativas e o tempo de lockout são os dois campos que definem a força do bloqueio.
## Pré-requisitos: O que checar antes de configurar Antes de limitar o login, confirme três coisas para não se trancar para fora do próprio site. Garanta acesso ao painel por uma conta administrador ativa, anote o IP fixo do seu escritório e tenha um backup automático do site recente, porque qualquer mexida em autenticação merece ponto de retorno. A terceira checagem é a mais esquecida: saiba como o seu site recebe tráfego. Se ele está atrás de um CDN como o Cloudflare, o WordPress pode enxergar o IP do CDN em vez do visitante real, e aí o bloqueio por IP erra o alvo. Em de 2026 esse foi o motivo mais comum de lockout falho que chegou ao suporte. Resolver o IP real exige que o plugin leia o cabeçalho correto, opção que plugins sérios oferecem de forma explícita e que é obrigatória em qualquer site por trás de proxy. ## Passo a passo: Configurar o limit login attempts reloaded O Limit Login Attempts Reloaded é o caminho mais direto: instalação em menos de 2 minutos e teto de tentativas já ativo no padrão. Ele é o plugin de limite de login mais instalado do repositório oficial e mantém o foco em uma função só, o que reduz a superfície de ataque. Os três passos abaixo cobrem do zero ao bloqueio ativo, com o ajuste de IP real que a maioria dos tutoriais ignora. Cada passo leva menos de um minuto em um site WordPress padrão na versão 6.x. ### Passo 1: Instale e ative o plugin Vá em Plugins, Adicionar novo, busque por "Limit Login Attempts Reloaded" e clique em instalar e ativar. O plugin começa a contar falhas de login imediatamente, sem configuração extra, usando 4 tentativas e 20 minutos de lockout como padrão. Confirme na lista de plugins ativos que a versão instalada é a 2.25.27 ou superior, faixa que já corrige as falhas históricas do plugin discutidas mais adiante. ### Passo 2: Ajuste o teto de tentativas e o lockout Abra Configurações, Limit Login Attempts e reduza "tentativas permitidas" para 3 e "minutos de lockout" para 20. Defina 4 lockouts em 24 horas para acionar o bloqueio longo de um dia. Esses valores cortam força bruta sem punir o usuário que errou a senha duas vezes. Salve e teste digitando uma senha errada de propósito para ver o contador descer. ### Passo 3: Ative o IP real atrás de proxy Na aba de configurações de confiança de IP, selecione a opção que lê o IP do visitante real quando o site está atrás de Cloudflare ou outro proxy reverso. Sem esse ajuste, todos os visitantes parecem vir do mesmo IP do CDN e um único bot bloqueado derruba o login para todo mundo. Essa é a causa número um de bloqueio em massa acidental que chega ao suporte da FULL. ## Erros comuns que travam o admin legítimo O erro mais frequente é o lockout cego: sem ler o IP real atrás de um CDN, o plugin bloqueia o IP compartilhado do Cloudflare e tranca usuários legítimos junto com o bot. O segundo é confiar só no limite de login e esquecer que ele não cobre o XML-RPC nem a REST API, que aceitam autenticação por caminhos próprios. O Limit Login Attempts Reloaded com proteção de IP desativada, em servidor atrás de Cloudflare, gera bloqueio de administradores reais sem mensagem de erro clara, o que costuma ser diagnosticado como "site fora do ar" por engano. A correção é dupla: ative a leitura de IP real e desabilite o XML-RPC se você não usa o app móvel. Vale ainda separar o bloqueio por aplicação, feito pelo plugin no PHP, do bloqueio no servidor, feito por ferramentas como o fail2ban lendo logs do Nginx, que para o ataque antes de o PHP carregar. ## Camada gerenciada: Limite de login sem manutenção manual No plano PRO da FULL, por R$849 ao ano, o limite de tentativas de login vem dentro da camada de segurança gerenciada junto com o Wordfence e o All in One Security, sem você precisar instalar e calibrar plugin por plugin. Esse plano cobre 10 sites, o que dá R$85 por site ao ano para ter firewall, regras de login e monitoramento de CVE rodando de fábrica. A gente vê no suporte que a maioria dos sites invadidos tinha o limite desativado ou mal configurado, e centralizar a defesa numa camada única elimina esse erro humano de configuração. O bloqueio de login já chega calibrado com leitura de IP real e bane reincidentes sem você tocar em nada. Conheça os planos em FULL.services/planos ou veja a página do All in One Security incluído no bundle. ## Vulnerabilidades reais: O que os cves mostram Os próprios plugins de segurança já tiveram falhas sérias, e por isso manter a versão atualizada importa tanto quanto ativar o limite. O caso mais grave foi o CVE-2020-35590, com CVSS 9.8 (crítico), no Limit Login Attempts Reloaded: uma falha que permitia ignorar o próprio limite de tentativas, corrigida na versão 2.17.4.| CVE | CVSS e tipo | Versão afetada e patch |
|---|---|---|
| CVE-2020-35590 | 9.8 crítico, bypass do limite de login | Afeta abaixo da 2.17.4, corrigido na 2.17.4 |
| CVE-2023-6934 | 5.4 médio, Cross-Site Scripting | Afeta abaixo da 2.25.27, corrigido na 2.25.27 |
Sim. Você pode limitar tentativas de login sem plugin usando o fail2ban no servidor, que lê os logs do Nginx ou Apache e bane o IP no firewall após X falhas. Essa via para o ataque antes de o PHP carregar e suporta volumes maiores, mas exige acesso SSH e configuração manual de regras. Para a maioria dos sites em hospedagem compartilhada, um plugin como o Limit Login Attempts Reloaded é mais prático e igualmente eficaz.
Porque o core do WordPress prioriza compatibilidade e não assume o papel de plugin de segurança. O wp-login.PHP aceita tentativas infinitas de fábrica desde sempre, deixando a defesa a cargo do administrador. É essa lacuna que torna o login o vetor de força bruta mais explorado, segundo a WPScan. Ativar um limite de 3 a 5 tentativas fecha a brecha em menos de 5 minutos.
O intervalo de 3 a 5 tentativas é o equilíbrio recomendado. Abaixo de 3, um usuário legítimo que erra a senha duas vezes já fica trancado; acima de 5, o bot ganha margem para testar mais senhas por ciclo. Combine 3 tentativas com 20 minutos de lockout e bloqueio de 24 horas após 4 lockouts no dia para cortar reincidentes sem atrito humano.
Atrás do Cloudflare, o WordPress vê o IP do CDN, não o do visitante, então o plugin precisa ler o IP real pelo cabeçalho correto. Sem esse ajuste, um único bot bloqueado derruba o login para todos os visitantes que passam pelo mesmo IP do CDN. Ative a opção de confiança de IP no Limit Login Attempts Reloaded e teste pelos logs se o IP registrado é o real.
Não por padrão. O limite de login cobre o wp-login.PHP, mas o XML-RPC e a REST API têm caminhos de autenticação próprios que bots usam para contornar o bloqueio. Desabilite o XML-RPC se você não usa o app móvel do WordPress e combine o limite com um firewall como o Wordfence, que filtra esses endpoints. Essa camada dupla é o que cobre o acesso por inteiro.