Como limitar tentativas de login no WordPress e afastar os ataques automatizados
Se você já reparou seu site WordPress mais lento sem motivo aparente, ou recebeu avisos estranhos de acesso, pode ser coisa de um tipo de ataque bem comum: o brute force. São robôs tentando adivinhar seu usuário e senha, milhares de vezes seguidas, na tela de login (wp-login.php). Vamos aprender juntos, passo a passo, como colocar um freio nisso. 🥋
Por que isso importa
Cada tentativa de login consome recursos do seu site — mesmo quando falha. Em grande volume, isso pode deixar seu site mais lento e, no pior dos casos, um robô insistente pode acabar acertando uma senha fraca. Limitar as tentativas de login é uma das defesas mais simples e eficazes que existem.
Dica da Sensei: pense nisso como trancar a porta depois de um número de tentativas erradas — assim como um caixa eletrônico bloqueia o cartão após 3 senhas erradas.
Passo 1: instale um plugin de limitação de tentativas
A forma mais simples e segura para quem não é técnico é usar um plugin dedicado. Siga estes passos:
- Acesse o painel do seu WordPress em seudominio.com.br/wp-admin e faça login normalmente.
- No menu lateral, clique em Plugins → Adicionar Novo.
- Na busca, digite algo como "Limit Login Attempts" (existem opções gratuitas e bem avaliadas).
- Clique em Instalar Agora e, em seguida, em Ativar.
- Entre nas configurações do plugin (geralmente em Configurações ou em um novo item de menu que ele cria) e ajuste:
- Número máximo de tentativas antes do bloqueio (um valor baixo, como 3 a 5, já ajuda bastante);
- Tempo de bloqueio — quanto tempo o IP fica impedido de tentar de novo;
- Se disponível, ative o aviso por e-mail para saber quando alguém for bloqueado.
Dica da Sensei: prefira plugins bem avaliados e atualizados recentemente — isso você confere na própria tela de busca do WordPress, no número de instalações ativas e na data da última atualização.
Passo 2: reforce com boas práticas de senha
Limitar tentativas ajuda muito, mas uma senha forte é a base de tudo:
- Use senhas longas, com letras, números e símbolos — evite nomes, datas ou "123456".
- Nunca reutilize a mesma senha de outros sites.
- Sempre que possível, ative a autenticação em dois fatores (2FA) — muitos plugins de segurança já oferecem essa opção junto com o bloqueio de tentativas.
Passo 3: considere trocar a URL de login
Outra camada simples é mudar o endereço padrão de login (o famoso /wp-admin ou /wp-login.php) para algo personalizado, usando um plugin próprio para isso. Assim, os robôs nem encontram a porta para tentar bater.
Passo 4: mantenha tudo atualizado
Boa parte dos ataques automatizados explora falhas conhecidas em versões antigas. Verifique regularmente:
- O núcleo do WordPress (core);
- Todos os plugins instalados;
- O tema em uso.
Sempre que aparecer uma atualização disponível no painel, é sinal de que vale a pena aplicá-la assim que possível (de preferência com um backup recente à mão).
Dica da Sensei: antes de qualquer atualização importante, tire um backup. Assim você atualiza com tranquilidade, sabendo que pode voltar atrás se algo não sair como esperado.
Precisa de uma mão?
Se você tiver dúvidas na hora de configurar o plugin, ou quiser uma orientação mais técnica (como regras adicionais no servidor), nosso suporte está disponível gratuitamente nos 30 dias após a entrega da sua hospedagem. Depois desse período, consulte as condições do seu plano diretamente no painel.gehost.com.br.
Com essas camadas combinadas — limite de tentativas, senha forte, 2FA e tudo sempre atualizado — seu WordPress fica muito mais resistente aos ataques automatizados. Um passo de cada vez, e seu site fica cada vez mais seguro. 🛡️