Login do WordPress Temporariamente Desativado: Encontre a Causa, Pule a Espera

Você digita sua senha do WordPress e pressiona Enter. Em vez do seu painel usual, você vê um erro: "Login Temporariamente Desativado".

Eu já passei por isso mais de uma vez testando sites para clientes. Na primeira vez, assumi que era uma violação de segurança. Não era, e em quase todos os casos, não é isso que está acontecendo com você também.

O WordPress, ou algo que o protege, notou tentativas de login falhadas repetidas e fechou a porta por um tempo. Isso é útil quando está bloqueando um bot. É frustrante quando está bloqueando você.

Neste post, vou mostrar o que está causando seu bloqueio específico, como identificá-lo e o que fazer a seguir.

Aqui estão os principais pontos:

• Não existe um bloqueio nativo do WordPress. A mensagem sempre vem de algo adicionado ao núcleo: um plugin, seu host, um CDN ou uma regra manual do servidor.
• O bloqueio não distingue atacantes de erros. Um bot tentando senhas e um colega de equipe tentando uma antiga parecem idênticos para qualquer sistema que esteja observando.
• A maioria dos bloqueios é resolvida em 15 a 20 minutos. Esperar é a solução mais rápida se você tiver certeza de que as tentativas falhadas foram suas.
• Tentar novamente durante um bloqueio o estende. Cada tentativa falhada enquanto bloqueado reinicia o temporizador, então ficar clicando em "tentar novamente" piora as coisas.
• O acesso ao banco de dados remove o bloqueio instantaneamente. Plugins como Limit Login Attempts Reloaded armazenam o bloqueio em wp_options, e excluir essa linha via phpMyAdmin ou WP-CLI a remove imediatamente.
• É possível pular a página de login completamente com um backup de recuperação de desastres, mas apenas se ele foi configurado antes do bloqueio ocorrer.
• Colocar seu IP na lista de permissões evita bloqueios repetidos depois que você identificar qual camada, plugin, host ou CDN está fazendo o bloqueio.
• A mensagem de bloqueio sozinha não é prova de um hack. Significa que atividade suspeita foi detectada, não que uma violação ocorreu.

Sumário

O que significa "Login Temporariamente Desativado"?

O WordPress, por si só, não limita as tentativas de login. Instale-o do zero, e nada impede alguém de digitar senhas erradas o dia todo. Não há um temporizador de bloqueio embutido em nenhum lugar do núcleo.

Portanto, quando você vê "Login Temporariamente Desativado", essa mensagem não vem do próprio WordPress. Ela vem de algo que você ou seu host adicionaram.

Um rápido esclarecimento: isto é sobre sites WordPress.org auto-hospedados. Se você estiver no WordPress.com, o sistema de bloqueio funciona de forma diferente, e nada disso se aplica à sua conta.

Bloqueios temporários são geralmente causados por uma das quatro coisas:

• Um plugin de segurança que você instalou, observando as tentativas de login e bloqueando após um certo número de falhas
• O firewall da sua empresa de hospedagem, rodando independentemente de qualquer coisa instalada no site
• Um CDN ou firewall externo posicionado na frente do seu servidor
• Uma regra manual do servidor que alguém configurou, muitas vezes esquecida até que seja acionada

Qualquer que seja a origem, o gatilho é o mesmo. Muitas tentativas de login falhadas de um único endereço IP ou contra um único nome de usuário, e essa origem decide que você parece um ataque.

Ele desativa a página de login para todos que a acessam daquele IP, pelo menos por um tempo.

Eu já vi essa situação depois que um cliente tentou senhas antigas. O sistema de monitoramento não sabe a diferença entre uma ameaça real e alguém que esqueceu qual entrada do gerenciador de senhas está atual. Ambos são tratados da mesma forma.

De onde vem o bloqueio?

Antes de mexer em qualquer configuração, descubra o que te bloqueou. A correção é diferente para cada um, e errar no palpite desperdiça um tempo que você não tem.

Seu Plugin de Segurança

Se você instalou um plugin de segurança, ele é a causa mais provável.

Wordfence, Limit Login Attempts Reloaded e All In One WP Security incluem esse tipo de bloqueio de força bruta por padrão.

Veja o que fazer:

• Verifique qual plugin está ativo conectando via FTP ou o gerenciador de arquivos do seu host, já que você não consegue acessar o wp-admin para verificar.
• Se você suspeita de um plugin em particular, renomeie a pasta dele dentro de wp-content/plugins, o que o desativará sem precisar fazer login.
• Assim que você conseguir entrar novamente, procure por uma configuração chamada algo como Duração do Bloqueio ou Tentativas Máximas de Login; é aí que o plugin controla esse comportamento.
• Adicione seu endereço IP à lista de permissões nas configurações do plugin depois de confirmar que ele é a fonte, para que esse bloqueio específico não aconteça com você novamente.

Firewall do seu Host ou Regra do Servidor

Às vezes, o bloqueio nem chega ao WordPress. Ele acontece no nível do servidor, antes mesmo do WordPress carregar.

Muitos hosts WordPress gerenciados executam sua própria proteção de login independente de qualquer plugin, então desativar plugins não resolverá nada.

Um caso de suporte de host documentou uma regra de firewall personalizada bloqueando solicitações de login diretamente, sem nenhuma configuração no lado do WordPress para alterar. O número exato da regra varia por host, já que isso geralmente vem de um add-on WAF proprietário, não de uma regra padrão e universal.

Verifique os logs de segurança ou firewall do painel de controle da sua hospedagem, ou entre em contato com o suporte e pergunte diretamente se eles bloquearam seu IP. Se isso continuar acontecendo, peça ao seu host para adicionar seu endereço IP à lista de permissões, especialmente se você trabalha de um local consistente.

Uma CDN ou Firewall Externo

Se o site usa Cloudflare, Sucuri ou um serviço similar, o bloqueio pode acontecer antes que a solicitação chegue ao seu servidor.

Esses serviços monitoram o tráfego para /wp-login.php e /wp-admin e podem bloquear solicitações que parecem automatizadas, mesmo de uma pessoa real digitando muito rápido ou tentando várias vezes.

Se você suspeita que seu CDN ou firewall é a causa:

• Verifique o firewall do CDN ou o log de eventos de segurança para solicitações bloqueadas correspondentes ao seu endereço IP.
• Adicione seu IP à lista de permissões nas regras de firewall do CDN depois de confirmar que esta é a origem.

Quanto tempo dura o bloqueio de login do WordPress?

A maioria dos bloqueios iniciais do WordPress duram de 15 a 20 minutos. Espere esse tempo, e a página de login voltará a funcionar sozinha.

Se alguém continuar tentando fazer login durante essa janela, o relógio é reiniciado. Cada tentativa falha durante um bloqueio ativo o estende, e é por isso que ficar apertando "tentar novamente" piora as coisas.

Se você tem certeza de que foi seu próprio erro (por uma senha errada, um login salvo desatualizado ou um colega de equipe testando algo), esperar é a solução mais rápida. Defina um cronômetro e volte mais tarde.

Se o bloqueio continuar retornando toda vez que você tentar, mesmo após esperar, esse é um problema diferente. Algo ainda está atacando ativamente a página de login, ou o limite está tão apertado que o uso normal o aciona.

De qualquer forma, esperar não resolverá. Você precisa localizar a origem usando as etapas acima e resolvê-la diretamente.

Limpe o Bloqueio Você Mesmo via phpMyAdmin ou WP-CLI

Se você tem acesso ao banco de dados, não precisa esperar. A maioria dos plugins de bloqueio armazena o bloqueio como uma linha no banco de dados do seu site, e excluir essa linha o remove imediatamente.

O Limit Login Attempts Reloaded salva o bloqueio ativo como uma opção ou transient dentro da tabela wp_options. Encontre essa linha, remova-a, e o plugin esquecerá que você já esteve bloqueado.

Aqui está o caminho do phpMyAdmin:

• Faça login no phpMyAdmin através do seu painel de controle de hospedagem e abra o banco de dados do seu site
• Abra a tabela wp_options
• Pesquise na coluna option_name por algo que corresponda ao nome do plugin, como limit_login_lockouts ou um transient que comece com _transient_limit_login
• Exclua essa linha, então tente fazer login novamente

Se você se sente confortável na linha de comando, o WP-CLI leva você até lá mais rápido:

• Desative o plugin em questão diretamente com um comando como wp plugin deactivate limit-login-attempts-reloaded
• Ou exclua o transient específico que contém o bloqueio com wp transient delete assim que souber o nome dele

Isso remove o bloqueio; não corrige o motivo pelo qual ele ocorreu. Se um ataque real o acionou, excluir a linha apenas lhe dá acesso de volta a um site ainda sob ataque. Combine isso com a identificação da origem acima e a lista de permissões do seu IP, ou você voltará aqui em vinte minutos.

O Que Fazer Se Você Não Pode Esperar?

Às vezes, esperar vinte minutos não é uma opção. Você está no meio de um lançamento, um cliente está observando, ou algo mais no site precisa de atenção agora, e o painel do WordPress é a única maneira de acessá-lo.

Se você tem um backup recente com recuperação de desastres configurada, há uma maneira de entrar que pula a página de login completamente.

A URL de recuperação de desastres do Duplicator restaura seu site diretamente de um ponto de recuperação salvo. Você cola a URL no seu navegador, e ele entra em ação sem o wp-admin.

Esta é sua rede de segurança quando esperar ou solucionar problemas não é rápido o suficiente.

No entanto, só funciona se você a configurou antes que o bloqueio ocorresse. A recuperação de desastres requer um backup existente com essa opção ativada; ela não pode criar um depois do fato.

Se você não tinha isso configurado previamente, volte a identificar a origem do bloqueio temporário.

Como evitar que bloqueios temporários do WordPress aconteçam novamente?

Assim que você estiver de volta, vale a pena gastar dez minutos garantindo que você não acabe aqui novamente.

Aqui está o que eu faria:

• Defina o limite de tentativas de login para corresponder à forma como sua equipe realmente trabalha. Três tentativas bloqueiam qualquer um que erre uma senha; dez ou mais tentativas dão aos atacantes reais muito espaço para adivinhar.
• Adicione autenticação de dois fatores para que uma tentativa de login bloqueada não seja a única coisa entre um atacante e seu painel.
• Se as tentativas de força bruta forem frequentes, considere ocultar seu URL de login para que os bots não encontrem /wp-login.php
• Mantenha um backup recente e testado com recuperação de desastres ativada, configurado antes que você precise dele, e não montado às pressas depois que um bloqueio o pegar de surpresa

Isso é o mesmo que ser hackeado ou banido?

Não, e vale a pena dizer isso claramente, porque a redação faz as pessoas assumirem o pior.

Com bloqueios temporários do WordPress, você não precisa se preocupar com esses problemas:

• Não é um banimento permanente. O bloqueio é temporário por design, e o acesso normal retorna assim que a janela de bloqueio passar ou você mesmo a limpar
• Não é prova de que seu site foi hackeado. Significa que algo detectou atividade de login suspeita, o que é diferente de confirmar uma invasão.
• Não é algo que o WordPress faz sozinho nativamente. O core não tem um recurso de bloqueio nativo, então isso sempre vem de algo que você ou seu provedor adicionaram
• Para confirmar que nada mais aconteceu durante o bloqueio, o Registro de Atividades oferece um registro completo de cada ação realizada em seu site, para que você não fique adivinhando.

Perguntas Frequentes (FAQs)

A Mensagem Está Fazendo Seu Trabalho: Veja Como Trabalhar Com Ela

O WordPress não quebrou quando você viu esta mensagem. Algo que o protegeu funcionou exatamente como projetado, fechando a porta após muitas tentativas falhadas. Essa é a parte que vale a pena lembrar na próxima vez que acontecer.

O problema real não é o bloqueio em si. É que a maioria dos sites usa esses limites com as configurações padrão que o plugin ou host trouxeram, nunca ajustadas para como a equipe realmente faz login. Essa incompatibilidade é o que transforma um recurso de segurança em um incômodo diário.

Uma coisa que vale a pena fazer assim que você voltar: abra o log de bloqueio do seu plugin de segurança. Ele registra o endereço IP e o nome de usuário por trás de cada tentativa bloqueada.

Um log cheio de um IP tentando nomes de usuário aleatórios é um ataque real. Um único IP correspondendo ao seu, vinculado ao seu nome de usuário, é apenas você. Esse log diz com o que você está lidando e se é hora de trocar uma senha ou apenas ajustar um limite.

Antes de ser bloqueado permanentemente, certifique-se de que pode voltar a entrar

Ser bloqueado uma vez é inconveniente. Ser bloqueado sem poder voltar (porque não há backup e nenhuma opção de recuperação configurada) é um dia muito pior.

A URL de recuperação de desastres do Duplicator Pro te leva diretamente ao seu painel a partir de um backup salvo, mas apenas se já estiver configurada. Mais de 1,5 milhão de profissionais do WordPress usam o Duplicator para manter seus sites com backup e recuperáveis, incluindo bloqueios.

Configure a recuperação de desastres antes que você precise dela!

Se este post te fez pensar sobre bloqueios e acesso ao site de forma mais ampla, estes guias valem a pena ser lidos a seguir.

• Bloqueado fora do WordPress? 16 maneiras de voltar (rápido)
• Houve um erro crítico neste site: como corrigi-lo rapidamente
• Como Restaurar Manualmente Seu Site WordPress
• Como atualizar seu banco de dados do WordPress
• Como Corrigir o Erro "Cookies Estão Bloqueados ou Não Suportados Pelo Seu Navegador"