워드프레스 Wordpress 로그인 횟수 제한으로 접속 차단하는 플러그인 사용하기

워드프레스 Wordpress 로그인 횟수 제한으로 접속 차단하는 플러그인 사용하기

 

환경: Wordpress

 

사이트를 회원제로 운영한다면 보안을 위해 로그인 시도 횟수를 제한하는 것이 좋습니다. 대표적인 사이트가 은행입니다. 몇 회 이상 로그인을 시도하다가 실패하면 일정한 시간 동안 기다렸다가 다시 접속해야 합니다. 해커들이 시도하는 해킹 방법 중 하나가 무작위 아이디와 비밀번호를 대입해서 로그인을 시도하는 것입니다. 이런 시도들을 차단하기 위한 플러그인 설치와 세팅에 대해 알아 보도록 하겠습니다.

 

▼ 먼저 워드프레스 관리자 페이지로 접속합니다. 그리고 플러그인 설치를 위해 왼쪽 메뉴 중 [플러그인] > [플러그인 추가하기] 를 선택합니다. 

 

▼ 플러그인 검색창에서 Limit Login Attempts 라고 검색합니다. Johon Enfeldt 가 제작한 플러그인이 나타날 겁니다. 최근 업데이트 날짜가 4년전이지만 최신 워드프레스 버전에도 무리 없이 돌아가더군요.

▼ [Limit Login Attempts] 플러그인을 설치하고 완료되면 다시 [플러그인을 활성화] 를 눌러 워드프레스에 적용시킵니다.

 

▼ 활성화를 시켰다면 옵션에 대해 알아 봐야겠죠. 어떤 설정 값들이 있으며 얼마나 자유도가 높은지 알아보기 위해 [설정] > [Limit Login Attempts] 메뉴를 선택합니다. 이전에 없던 플러그인 설정 메뉴가 생긴 것입니다.

 

▼ 설정 화면은 크게 3가지 옵션 영역으로 나눌 수 있습니다.

 

1. Lockout

l  allowed retried : 재시도 허용 횟수, 기본 4번

l  minutes lockout : 재시도 횟수를 초과 했을 때 대기 시간, 단위는 분

l  lockouts increase lockout time to hours : 재시도 횟수가 4번을 초과했을 때 24시간 하루를 잠근다는 의미, 실패 횟수와 시간을 조절할 수 있음

l  hours until retries are reset : 12시간 이후 다시 초기화

 

2. 접속한 서버의 IP 주소를 나타낼 것인지? 아니면 프록시를 거쳐서 감출 것인지 결정하는 옵션입니다.

 

3. 첫 번째 Log IP 를 체크하게 되면 접속 차단 IP 들의 로그를 남기겠다는 것입니다. 두 번째 Email to admin after lockouts 은 차단된 횟수가 4회 이상이면 이메일로 알려 주는 기능입니다.

 

¤ 로그인 제한이 되는지 테스트 하기

 

▼ 옵션 설정이 끝났으면 제대로 되는지 테스트 해 봐야겠죠. 관리자 로그인 페이지로 가서 아무 아이디나 접속을 시도해 봅니다. 만약 접속 실패를 하게 되면 상단에 시도 횟수가 나오게 됩니다.

 

▼ 계속 시도하다가 기본 설정인 넘어가면 설정한 시간만큼 잠기게 되겠죠. 20분 동안 시도할 수 없다는 메시지가 뜹니다.

 

▼ 그럼 접속 제한 플러그인이 제대로 로그를 남겼는지 확인해 보겠습니다. 관리자로 접속한 후 Limit Login Attempts 설정 페이지로 갑니다. 그럼 화면 제일 하단에 접속 차단된 IP 와 아이디를 볼 수 있습니다. 주의할 것은 IP 기반 차단이기 때문에 같은 IP 에서 차단 테스트를 하다가 관리자로 로그인을 하지 못하는 경우가 발생할 수 있습니다. 만약 그와 같은 일이 발생한다면 스마트폰으로 로그인해서 설정을 해제하시기 바랍니다.