«Too many failed login attempts»

Meldingen kommer fra en sikkerhetsutvidelse som teller mislykkede innlogginger. Akkurat denne ordlyden er fra Limit Login Attempts Reloaded. WordPress selv begrenser ikke antall forsøk. Når noen har tastet feil passord for mange ganger, blokkerer utvidelsen IP-adressen forsøkene kom fra. Noen utvidelser låser i stedet selve brukerkontoen.

På et kontor deler alle på samme nett én IP-adresse ut mot internett. Når én kollega har glemt passordet og prøver fire eller fem forskjellige passord, blir derfor hele kontoret stengt ute.

Med standardinnstillingene er IP-adressen blokkert i 20 minutter, og deretter kan du logge inn igjen som vanlig. Hvis du ikke kan vente, eller hvis det skjer gang på gang, finner du løsningene under.

Se hvor lenge du må vente

Meldingen sier hvor lenge du må vente, for eksempel «ERROR: Too many failed login attempts. Please try again in 20 minutes.» På norsk står det «FEIL: For mange mislykkede innloggingsforsøk. Vennligst prøv igjen om 20 minutter.»

Med standardinnstillingene i Limit Login Attempts Reloaded gjelder dette:

• Etter fire mislykkede forsøk blir IP-adressen blokkert i 20 minutter.
• Har adressen blitt blokkert fire ganger, varer neste blokkering i 24 timer.

Den som satte opp utvidelsen, kan ha endret tallene.

Wordfence gjør det samme, men viser en egen side med overskriften «Your access to this site has been temporarily limited by the site owner». Med standardinnstillingene blir IP-adressen blokkert i fire timer etter 20 mislykkede forsøk.

Logg inn fra en annen IP-adresse

Er det IP-adressen som er blokkert, kan du logge inn fra et annet nett.

1. Skru av wifi på mobilen, og åpne innloggingssiden på mobilnettet.
2. Logg inn hvis du er sikker på passordet.
3. Usikker på passordet? Trykk «Mistet passordet ditt?» i stedet for å gjette. Hvert mislykket forsøk teller, og jo flere ganger du blir blokkert, jo lenger varer det.

Hvis utvidelsen har låst selve brukerkontoen, hjelper det ikke å bytte nett. Da må en annen administrator låse opp kontoen i innstillingene til sikkerhetsutvidelsen, eller du må skru av utvidelsen som beskrevet under.

Skru av utvidelsen via FTP

Hvis du ikke kan vente, skrur du av utvidelsen midlertidig.

1. Koble til med FTP eller filbehandleren i hostingpanelet, og åpne wp-content/plugins.
2. Gi mappen limit-login-attempts-reloaded et nytt navn, for eksempel limit-login-attempts-reloaded-av.
3. Logg inn i wp-admin.
4. Gi mappen navnet limit-login-attempts-reloaded igjen, og sjekk under Utvidelser at utvidelsen er aktiv.
5. Legg IP-adressen din i listen over tillatte adresser i innstillingene til utvidelsen. Du finner IP-adressen din på whatsmyip.org. Husk at IP-adressen hjemme eller på kontoret kan endre seg.

Bruker du Wordfence, kan administratorer skrive inn e-postadressen sin på blokkeringssiden og trykke «Send Unlock Email». E-posten inneholder en lenke som opphever blokkeringen. Kommer ikke e-posten, gir du mappen wordfence et nytt navn på samme måte.

Hvis det skjer ofte

Enten er det noen på kontoret som utløser blokkeringene, eller så er det roboter.

Blir du og kollegene dine stengt ute, er det noen som har glemt passordet og gjetter, eller en nettleser som fyller inn et gammelt passord. Legg kontorets IP-adresse i listen over tillatte adresser i sikkerhetsutvidelsen, så blir ikke hele kontoret stengt ute neste gang. Be alle trykke «Mistet passordet ditt?» i stedet for å gjette, og bruk gjerne en passordbehandler, så færre glemmer passordet.

Får du varsler om at mange ukjente IP-adresser blir blokkert, er det roboter. De samler inn e-postadresser fra kontaktsider og andre steder på nettet. WordPress godtar e-postadressen som brukernavn, så robotene prøver deretter tusenvis av passord med disse adressene på innloggingssiden. Det kalles et brute force-angrep.

1. Legg siden bak Cloudflare, og lag en egendefinert WAF-regel som sender alle forespørsler til wp-login.php gjennom Managed Challenge. Da stopper Cloudflare robotene før de når serveren.
2. Flytt innloggingssiden til en annen adresse, for eksempel med utvidelsen WPS Hide Login. Robotene leter etter wp-login.php og får bare en feilside.
3. Bruk sterke passord og slå på totrinnsbekreftelse, så er e-postadressen alene ikke nok til å logge inn.

Artikkelen om roboter som hamrer på innloggingen går grundigere gjennom dette.

Kommer du fortsatt ikke inn?

Hvis du verken har FTP-tilgang eller et annet nett å logge inn fra, må du vente til blokkeringen er over, eller be den som drifter siden, om å oppheve den.