Accesso a WordPress temporaneamente disabilitato: trova la causa, salta l'attesa

Inserisci la tua password di WordPress e premi invio. Invece della solita dashboard, vedi un errore: "Accesso temporaneamente disabilitato."

Mi è successo più di una volta testando siti per clienti. La prima volta, ho pensato a una violazione della sicurezza. Non lo era, e quasi in ogni caso, non lo è nemmeno per te.

WordPress, o qualcosa che lo protegge, ha notato tentativi di accesso falliti ripetuti e ha chiuso la porta per un po'. Questo è utile quando blocca un bot. È frustrante quando blocca te.

In questo post, ti mostrerò cosa causa il tuo blocco specifico, come identificarlo e cosa fare dopo.

Ecco i punti chiave:

• Non esiste un blocco nativo di WordPress. Il messaggio proviene sempre da qualcosa aggiunto al core: un plugin, il tuo host, una CDN o una regola del server manuale.
• Il blocco non distingue tra aggressori e errori. Un bot che indovina le password e un collega che prova una vecchia password appaiono identici a qualsiasi sistema stia monitorando.
• La maggior parte dei blocchi si risolve in 15-20 minuti. Aspettare è la soluzione più rapida se sei sicuro che i tentativi falliti siano stati tuoi.
• Riprovare durante un blocco lo estende. Ogni tentativo fallito mentre sei bloccato reimposta il timer, quindi premere ripetutamente "riprova" peggiora le cose.
• L'accesso al database rimuove il blocco istantaneamente. Plugin come Limit Login Attempts Reloaded memorizzano il blocco in wp_options, ed eliminare quella riga tramite phpMyAdmin o WP-CLI la rimuove subito.
• Saltare completamente la pagina di accesso è possibile con un backup di ripristino d'emergenza, ma solo se è stato impostato prima che si verificasse il blocco.
• Mettere in whitelist il tuo IP previene blocchi ripetuti una volta identificato quale livello, plugin, host o CDN sta effettuando il blocco.
• Il messaggio di blocco da solo non è prova di un hack. Significa che è stata rilevata un'attività sospetta, non che si è verificata una violazione.

Indice

Cosa significa "Accesso temporaneamente disabilitato"?

WordPress, da solo, non limita i tentativi di accesso. Installalo da zero e nulla impedisce a qualcuno di digitare password errate tutto il giorno. Non c'è alcun timer di blocco integrato nel core.

Quindi, quando vedi "Accesso temporaneamente disabilitato", quel messaggio non proviene da WordPress stesso. Proviene da qualcosa che tu o il tuo host avete aggiunto.

Una rapida precisazione: questo riguarda i siti WordPress.org self-hosted. Se sei su WordPress.com, il sistema di blocco funziona diversamente e nulla di tutto ciò si applica al tuo account.

I blocchi temporanei sono solitamente causati da una delle quattro cose:

• Un plugin di sicurezza che hai installato, che monitora i tentativi di accesso e blocca dopo un certo numero di fallimenti
• Il firewall della tua società di hosting, che funziona indipendentemente da qualsiasi cosa installata sul sito
• Una CDN o un firewall esterno posizionato interamente davanti al tuo server
• Una regola del server manuale configurata da qualcuno, spesso dimenticata finché non si attiva

Qualunque sia la fonte, il trigger è lo stesso. Troppi accessi falliti da un singolo indirizzo IP o contro un singolo nome utente, e quella fonte decide che assomigli a un attacco.

Blocca la pagina di accesso per chiunque vi acceda da quell'IP, almeno per un po'.

Ho visto questo blocco dopo che un cliente ha provato vecchie password. Il sistema di monitoraggio non sa distinguere una minaccia reale da qualcuno che ha dimenticato quale voce del gestore password è quella attuale. Entrambi vengono trattati allo stesso modo.

Da dove proviene il blocco?

Prima di toccare qualsiasi impostazione, scopri cosa ti ha bloccato. La soluzione è diversa per ciascuna, e sbagliare a indovinare spreca tempo che non hai.

Il tuo plugin di sicurezza

Se hai installato un plugin di sicurezza, è la causa più probabile.

Wordfence, Limit Login Attempts Reloaded e All In One WP Security includono tutti questo tipo di blocco brute-force per impostazione predefinita.

Ecco cosa fare:

• Verifica quale plugin è attivo collegandoti tramite FTP o il file manager del tuo host, dato che non puoi accedere a wp-admin per controllare.
• Se sospetti un plugin in particolare, rinomina la sua cartella all'interno di wp-content/plugins, il che lo disattiva senza bisogno di accedere.
• Una volta rientrato, cerca un'impostazione chiamata qualcosa come Durata del blocco o Tentativi di accesso massimi; è lì che il plugin controlla questo comportamento.
• Aggiungi il tuo indirizzo IP alla whitelist nelle impostazioni del plugin una volta che hai confermato che è la fonte, in modo che questo specifico blocco non ti accada di nuovo.

Firewall del tuo host o regola del server

A volte il blocco non tocca affatto WordPress. Avviene a livello di server, prima ancora che WordPress venga caricato.

Molti host WordPress gestiti eseguono la propria protezione degli accessi indipendentemente da qualsiasi plugin, quindi disattivare i plugin non risolverà nulla.

Un caso di supporto di un host ha documentato una regola firewall personalizzata che bloccava le richieste di accesso direttamente, senza alcuna impostazione lato WordPress da modificare. Il numero esatto della regola varia a seconda dell'host, poiché questo di solito proviene da un add-on WAF proprietario, non da una regola standard e universale.

Controlla i log di sicurezza o del firewall del pannello di controllo del tuo hosting, o contatta il supporto e chiedi direttamente se hanno bloccato il tuo IP. Se questo continua a succedere, chiedi al tuo host di aggiungere il tuo indirizzo IP alla whitelist, specialmente se lavori da una postazione fissa.

Una CDN o un firewall esterno

Se il sito utilizza Cloudflare, Sucuri o un servizio simile, il blocco può avvenire prima ancora che la richiesta raggiunga il tuo server.

Questi servizi monitorano il traffico verso /wp-login.php e /wp-admin e possono bloccare richieste che sembrano automatizzate, anche da una persona reale che digita troppo velocemente o riprova troppe volte.

Se sospetti che la tua CDN o il tuo firewall siano la causa:

• Controlla il firewall della CDN o il log degli eventi di sicurezza per richieste bloccate corrispondenti al tuo indirizzo IP.
• Aggiungi il tuo IP alla whitelist nelle regole del firewall della CDN una volta che hai confermato che questa è la fonte.

Quanto dura il blocco dell'accesso a WordPress?

La maggior parte dei blocchi iniziali di WordPress dura dai 15 ai 20 minuti. Aspetta che passi e la pagina di accesso tornerà disponibile da sola.

Se qualcuno continua a tentare di accedere durante quella finestra, l'orologio si resetta. Ogni tentativo fallito durante un blocco attivo lo estende, motivo per cui premere ripetutamente "riprova" peggiora le cose.

Se sei sicuro che sia stato un tuo errore (password errata, login salvato non aggiornato o un collega che stava testando qualcosa), aspettare è la soluzione più rapida. Imposta un timer e torna più tardi.

Se il blocco si ripresenta ogni volta che provi, anche dopo aver aspettato, è un problema diverso. Qualcosa sta ancora attaccando attivamente la pagina di accesso, oppure la soglia è impostata così stretta che l'uso normale la attiva.

In entrambi i casi, aspettare non lo risolverà. Devi individuare la fonte usando i passaggi precedenti e affrontarla direttamente.

Rimuovi il blocco da solo tramite phpMyAdmin o WP-CLI

Se hai accesso al database, non devi aspettare. La maggior parte dei plugin di blocco memorizza il blocco come una riga nel database del tuo sito, e l'eliminazione di quella riga lo cancella immediatamente.

Limit Login Attempts Reloaded salva il blocco attivo come opzione o transient all'interno della tabella wp_options. Trova quella riga, rimuovila e il plugin dimenticherà che sei mai stato bloccato.

Ecco il percorso di phpMyAdmin:

• Accedi a phpMyAdmin tramite il tuo pannello di controllo di hosting e apri il database del tuo sito
• Apri la tabella wp_options
• Cerca nella colonna option_name qualcosa che corrisponda al nome del plugin, come limit_login_lockouts o un transient che inizia con _transient_limit_login
• Elimina quella riga, quindi prova ad accedere di nuovo

Se ti trovi a tuo agio con la riga di comando, WP-CLI ti porta lì più velocemente:

• Disattiva il plugin incriminato direttamente con un comando come wp plugin deactivate limit-login-attempts-reloaded
• Oppure elimina il transient specifico che contiene il blocco con wp transient delete una volta che ne conosci il nome

Questo cancella il blocco; non risolve il motivo per cui è successo. Se un vero attacco lo ha innescato, eliminare la riga ti concede solo l'accesso a un sito ancora sotto attacco. Abbina questo all'identificazione della fonte sopra e all'aggiunta del tuo IP alla whitelist, altrimenti tornerai qui tra venti minuti.

Cosa fare se non puoi aspettare?

A volte aspettare venti minuti non è un'opzione. Sei nel bel mezzo di un lancio, un cliente sta guardando, o qualcos'altro sul sito richiede attenzione in questo momento, e la bacheca di WordPress è l'unico modo per accedervi.

Se hai un backup recente con il ripristino di emergenza configurato, c'è un modo per entrare che salta completamente la pagina di accesso.

L'URL di ripristino di emergenza di Duplicator ripristina il tuo sito direttamente da un punto di ripristino salvato. Incolli l'URL nel tuo browser e lui si mette al lavoro senza wp-admin.

Questa è la tua rete di sicurezza quando aspettare o risolvere problemi non è abbastanza veloce.

Tuttavia, funziona solo se l'hai impostato prima che si verificasse il blocco. Il ripristino di emergenza richiede un backup esistente con quell'opzione attivata; non può crearne uno dopo il fatto.

Se non avevi questa funzionalità attiva, torna all'identificazione della fonte del blocco temporaneo.

Come evitare che i blocchi temporanei di WordPress si ripetano?

Una volta rientrato, vale la pena dedicare dieci minuti per assicurarsi di non finire di nuovo qui.

Ecco cosa farei:

• Imposta la soglia dei tentativi di accesso in base a come lavora effettivamente il tuo team. Tre tentativi bloccano chiunque commetta un errore con la password; dieci o più tentativi lasciano troppo spazio ai veri aggressori per indovinare.
• Aggiungi l'autenticazione a due fattori in modo che un tentativo di accesso bloccato non sia l'unica cosa che separa un aggressore dalla tua dashboard.
• Se i tentativi di forza bruta sono frequenti, considera di nascondere l'URL di accesso in modo che i bot non possano trovare /wp-login.php.
• Mantieni un backup recente e testato con ripristino di emergenza attivo, impostato prima che ti serva, non messo insieme frettolosamente dopo che un blocco ti ha colto alla sprovvista.

È la stessa cosa di essere hackerato o bannato?

No, e vale la pena dirlo chiaramente, perché la formulazione fa presumere il peggio.

Con i blocchi temporanei di WordPress, non devi preoccuparti di questi problemi:

• Non è un ban permanente. Il blocco è temporaneo per progettazione e l'accesso normale ritorna una volta trascorso il periodo di blocco o una volta che lo hai rimosso tu stesso.
• Non è una prova che il tuo sito è stato hackerato. Significa che qualcosa ha rilevato attività di accesso sospette, il che è diverso dal confermare una violazione.
• Non è qualcosa che WordPress fa da solo, pronto all'uso. Il core non ha una funzione di blocco nativa, quindi proviene sempre da qualcosa che hai aggiunto tu o il tuo host.
• Per confermare che non sia successo altro durante il blocco, il Registro attività ti fornisce un resoconto completo di ogni azione intrapresa sul tuo sito, così non devi tirare a indovinare.

Domande frequenti (FAQ)

Il Messaggio Sta Facendo il Suo Lavoro: Ecco Come Lavorarci Insieme

WordPress non si è bloccato quando hai visto questo messaggio. Qualcosa che lo proteggeva ha funzionato esattamente come previsto, chiudendo la porta dopo troppi tentativi falliti. Questa è la parte che vale la pena ricordare la prossima volta che succede.

Il vero problema non è il blocco in sé. È che la maggior parte dei siti esegue queste soglie su qualsiasi impostazione predefinita fornita dal plugin o dall'host, mai adattata a come accede effettivamente il team. Questa discrepanza è ciò che trasforma una funzione di sicurezza in un fastidio quotidiano.

Una cosa che vale la pena fare una volta rientrati: aprire il registro dei blocchi del tuo plugin di sicurezza. Registra l'indirizzo IP e il nome utente dietro ogni tentativo bloccato.

Un registro pieno di un IP che prova nomi utente casuali è un vero attacco. Un singolo IP corrispondente al tuo, associato al tuo nome utente, sei solo tu. Quel registro ti dice con cosa hai a che fare e se è ora di cambiare una password o semplicemente regolare una soglia.

Prima di essere bloccato definitivamente, assicurati di poter rientrare

Essere bloccati una volta è scomodo. Essere bloccati senza possibilità di rientrare (perché non c'è un backup e nessuna opzione di recupero impostata) è un giorno molto peggiore.

L'URL di disaster recovery di Duplicator Pro ti permette di accedere alla tua bacheca direttamente da un backup salvato, ma solo se è già stato configurato. Oltre 1,5 milioni di professionisti WordPress utilizzano Duplicator per mantenere i loro siti sottoposti a backup e recuperabili, blocchi inclusi.

Imposta il disaster recovery prima che ti serva!

Se questo post ti ha fatto riflettere sui blocchi e sull'accesso al sito in senso più ampio, queste guide valgono la pena di essere lette successivamente.

• Bloccato fuori da WordPress? 16 modi per rientrare (velocemente)
• Si è verificato un errore critico su questo sito web: come risolverlo rapidamente
• Come ripristinare manualmente il tuo sito WordPress
• Come aggiornare il tuo database di WordPress
• Come correggere l'errore "I cookie sono bloccati o non supportati dal tuo browser"