Dans certains cas, les attaquants peuvent tenter d'inonder votre fichier wp-login.php de requêtes répétées afin de deviner votre nom d'utilisateur et votre mot de passe. Ces tentatives de force brute peuvent non seulement compromettre vos identifiants, mais aussi surcharger les ressources de votre serveur.
Pour prévenir ces attaques par force brute, vous pouvez installer un plugin de sécurité tel que iThemes Security.
Une fois le plugin installé, vous verrez qu'il offre de nombreuses options de sécurité. Dans notre cas, la section pertinente est "Lockouts". Assurez-vous que les protections "Local Brute Force" et "Network Brute Force" sont activées (elles le sont par défaut).
Cliquez sur "Suivant" et vous serez guidé à travers des options de configuration supplémentaires. Continuez à cliquer sur "Suivant" jusqu'à ce que la configuration soit terminée, puis cliquez sur "Terminer" pour sécuriser votre site.
Ensuite, rendez-vous dans la section Sécurité du menu de gauche de WordPress. Cliquez sur "Paramètres", puis sur "Lockouts", et ouvrez les paramètres (icône d'engrenage) de "Network Brute Force". Il devrait apparaître comme ci-dessous :
Dans ce menu, allez dans la section "Local Brute Force" et activez l'option "Automatically ban the user 'admin'". Si WordPress a été installé à l'aide de notre installateur, le nom d'utilisateur par défaut ne sera pas admin. Cependant, si vous avez configuré WordPress manuellement, nous vous recommandons vivement de ne pas utiliser admin comme nom d'utilisateur administrateur.
Avec ces paramètres appliqués, votre installation WordPress sera protégée contre les attaques par force brute ciblant la page de connexion.