วิธีจำกัดจำนวนครั้งในการเข้าสู่ระบบ WordPress

WordPress ที่ติดตั้งเองอาจเปิดให้ลองเข้าสู่ระบบซ้ำได้ การจำกัดจำนวนครั้งที่กรอกรหัสผ่านผิดจึงช่วยชะลอการเดารหัสผ่านจากบอทได้ โดยตั้งค่าได้ผ่านปลั๊กอินความปลอดภัยหรือระบบ WAF/CDN ของโฮสติ้ง

❶ เลือกว่าจะจำกัดจากปลั๊กอินหรือ WAF

หากโฮสติ้งหรือ CDN มีระบบจำกัดคำขอเข้าสู่ระบบอยู่แล้ว ให้ตรวจและใช้ระบบนั้นก่อน เพราะสามารถกรองคำขอก่อนจะมาถึง WordPress ได้ หากไม่มี จึงเลือกปลั๊กอินที่ทำหน้าที่จำกัดการเข้าสู่ระบบ

ติดตั้งปลั๊กอินจากแหล่งที่เชื่อถือได้ ตรวจประวัติการอัปเดตและความเข้ากันได้กับเว็บไซต์ อย่าเปิดใช้ปลั๊กอินหลายตัวที่จำกัดการเข้าสู่ระบบพร้อมกัน เพราะอาจทำให้การบล็อกซ้อนกันและแก้ปัญหายากขึ้น

❷ ตั้งจำนวนครั้งและระยะเวลาบล็อก

① กำหนดจำนวนครั้งที่อนุญาต

เปิดหน้าตั้งค่าความปลอดภัยหรือ Login Security ของปลั๊กอิน แล้วกำหนดจำนวนครั้งที่กรอกรหัสผ่านผิดได้ก่อนบล็อก ไม่จำเป็นต้องตั้งค่าตายตัวเหมือนทุกเว็บไซต์ ควรเริ่มจากค่าที่ปลั๊กอินแนะนำ แล้วปรับตามจำนวนผู้ใช้และรูปแบบการเข้าใช้งานจริง

② กำหนดระยะเวลาบล็อกและการเพิ่มระดับ

ตั้งระยะเวลาบล็อกให้เหมาะสม หากระบบรองรับการเพิ่มเวลาบล็อกเมื่อเกิดความผิดซ้ำ ให้เปิดใช้โดยพิจารณาไม่ให้ผู้ใช้จริงถูกล็อกนานเกินไป

③ เปิดการแจ้งเตือนและบันทึกเหตุการณ์

เปิดบันทึกความพยายามเข้าสู่ระบบและการแจ้งเตือนเมื่อพบจำนวนครั้งผิดปกติ ตรวจว่าแสดงเวลาและข้อมูลที่ช่วยให้ตรวจสอบได้ โดยไม่เก็บข้อมูลส่วนตัวเกินความจำเป็น

❸ ทดสอบการตั้งค่าก่อนใช้งานจริง

หลังบันทึกค่า ให้ลองเข้าสู่ระบบด้วยรหัสผ่านผิดจากหน้าต่างส่วนตัวตามจำนวนครั้งที่กำหนด ตรวจว่าระบบแจ้งเตือนและปลดบล็อกได้ตามที่ตั้งไว้ จากนั้นลองเข้าสู่ระบบด้วยข้อมูลที่ถูกต้อง

ควรตรวจขั้นตอนกู้คืนบัญชีและวิธีปลดล็อกด้วย โดยเฉพาะเว็บไซต์ที่มีผู้ดูแลหลายคน เพื่อให้ยังเข้าไปแก้การตั้งค่าได้หากบัญชีถูกบล็อกโดยไม่ตั้งใจ

❹ ระวังผู้ใช้หลายคนใช้เครือข่ายเดียวกัน

ระบบบางชนิดจำกัดตาม IP address หากผู้ใช้หลายคนเข้าเว็บจากสำนักงาน โรงเรียน หรือเครือข่ายที่ใช้ IP ร่วมกัน การกรอกรหัสผิดของคนหนึ่งอาจทำให้คนอื่นถูกบล็อกด้วย

หากเกิดปัญหานี้ ให้ตรวจรูปแบบการจำกัดในปลั๊กอินหรือ WAF และปรับค่าตามการใช้งานจริง อย่าอนุญาต IP จำนวนมากแบบถาวรโดยไม่จำเป็น เพราะอาจเปิดช่องให้การป้องกันอ่อนลง

❺ ตรวจช่องทางเข้าสู่ระบบอื่นด้วย

การจำกัดหน้าเข้าสู่ระบบหลักอาจไม่ครอบคลุมทุกช่องทาง หากเว็บไซต์ใช้ XML-RPC, แอปมือถือ, Jetpack หรือระบบ SSO ให้ตรวจว่าช่องทางเหล่านี้ต้องใช้หรือไม่ และตั้งมาตรการจำกัดคำขอให้เหมาะสม หากไม่ใช้ช่องทางใด ค่อยพิจารณาปิดตามคำแนะนำของผู้ให้บริการ

ComSiam แนะนำให้ตรวจการแจ้งเตือนและบันทึกการเข้าสู่ระบบหลังเปิดใช้ เพื่อดูว่าการตั้งค่าช่วยลดคำขอผิดปกติหรือรบกวนผู้ใช้จริงมากเกินไปหรือไม่

❻ ใช้การจำกัดการเข้าสู่ระบบร่วมกับมาตรการอื่น

การจำกัดจำนวนครั้งช่วยชะลอการเดารหัสผ่าน แต่ไม่ควรใช้แทนมาตรการอื่น ควรใช้รหัสผ่านผู้ดูแลที่ยาวและไม่ซ้ำ เปิด Two-Factor Authentication (2FA) อัปเดต WordPress และปลั๊กอิน และลบบัญชีผู้ใช้ที่ไม่จำเป็น

หากมีคำขอจำนวนมากจนเว็บไซต์ช้าหรือใช้งานไม่ได้ ให้ติดต่อผู้ให้บริการโฮสติ้งเพื่อช่วยตรวจและกรองคำขอที่ระดับเซิร์ฟเวอร์หรือ WAF

❼ เช็กลิสต์การตั้งค่าจำกัดการเข้าสู่ระบบ

• ใช้ระบบจากปลั๊กอินหรือ WAF ที่เชื่อถือได้
• ตั้งจำนวนครั้งและระยะเวลาบล็อกให้เหมาะกับผู้ใช้จริง
• เปิดบันทึกเหตุการณ์และการแจ้งเตือน
• ทดสอบทั้งการล็อก การปลดบล็อก และการเข้าสู่ระบบปกติ
• ตรวจผลกระทบเมื่อผู้ใช้แชร์ IP address
• ตรวจช่องทางอื่น เช่น XML-RPC หรือระบบ SSO
• เปิด 2FA และใช้รหัสผ่านที่ไม่ซ้ำควบคู่กัน

เมื่อปรับค่าจำกัดการเข้าสู่ระบบแล้ว ควรทบทวนหลังมีการเปลี่ยนจำนวนผู้ใช้หรือระบบสมาชิกของเว็บไซต์ สำหรับเว็บไซต์ของ ComSiam ให้ตรวจว่าผู้ดูแลยังเข้าใช้งานได้ และมีวิธีกู้คืนบัญชีหากถูกบล็อก