Como limitar tentativas de login e proteger o wp-admin contra ataques de força bruta
Oi, tudo bem? Aqui é a Sensei da GeHost 🥋 Vamos falar de um assunto que é simples de resolver, mas que faz toda a diferença na segurança do seu site: os ataques de força bruta no login do WordPress.
Isso acontece quando robôs ficam tentando adivinhar seu usuário e senha, fazendo centenas (às vezes milhares) de tentativas de login na tela wp-admin. Além do risco de invasão, isso deixa seu site mais lento, porque consome recursos do servidor. A boa notícia é que dá pra bloquear isso em poucos minutos. Vamos juntos?
Passo 1 — Instale um plugin de limite de tentativas
O jeito mais simples e seguro é usar um plugin dedicado a isso. Existem opções gratuitas confiáveis no repositório oficial do WordPress, como o Limit Login Attempts Reloaded (um dos mais usados e bem avaliados). O passo a passo é assim:
- Acesse o painel do seu WordPress em
seudominio.com/wp-admin. - No menu lateral, vá em Plugins > Adicionar novo.
- Digite "Limit Login Attempts Reloaded" na busca.
- Clique em Instalar agora e depois em Ativar.
- Vá em Configurações do plugin (geralmente aparece no menu lateral após ativar) e deixe as opções padrão — elas já vêm configuradas para bloquear um IP após poucas tentativas erradas, liberando de novo depois de um tempo.
💡 Dica da Sensei: não precisa exagerar na configuração. O padrão da maioria desses plugins (bloquear após 3 a 5 tentativas erradas) já resolve 99% dos casos. Configuração agressiva demais pode acabar te trancando fora do seu próprio site.
Passo 2 — Reforce com uma senha forte e, se possível, 2FA
Limitar tentativas ajuda muito, mas a base de tudo continua sendo uma senha forte (letras maiúsculas, minúsculas, números e símbolos, sem dados óbvios como nome ou data de nascimento). Se o seu plugin de segurança oferecer autenticação em duas etapas (2FA), vale a pena ativar — assim, mesmo que alguém descubra sua senha, ainda precisa de um segundo código pra entrar.
Passo 3 (opcional, avançado) — Esconda a URL de login
Uma camada extra bem eficaz é trocar o endereço padrão /wp-admin por uma URL personalizada, que só você conhece. Isso reduz muito o volume de ataques automáticos, porque os robôs nem encontram a tela de login. Plugins como o WPS Hide Login fazem isso de forma segura, sem mexer em arquivos do site. Basta instalar, ativar e definir o novo endereço nas configurações do plugin — anote esse endereço em um lugar seguro, porque é ele que você vai usar para entrar dali em diante.
Passo 4 (opcional, para quem já usa .htaccess)
Se você já tem familiaridade com arquivos do site, também é possível reforçar a proteção da pasta wp-admin editando o arquivo .htaccess pelo Gerenciador de Arquivos do painel de hospedagem, restringindo o acesso por IP. Essa é uma opção mais técnica — se tiver qualquer dúvida na hora de mexer nesse arquivo, é melhor pedir ajuda ao nosso suporte antes, pra evitar erro que tire o site do ar.
Resumindo
- Instale um plugin de limite de tentativas (ex.: Limit Login Attempts Reloaded).
- Use senha forte e, se possível, ative 2FA.
- Opcionalmente, esconda a URL de login com um plugin como o WPS Hide Login.
- Para reforço avançado via
.htaccess, conte com o nosso suporte se tiver dúvida.
🙋 Ficou com alguma dúvida no meio do caminho? É só chamar o suporte da GeHost pelo painel.gehost.com.br que a gente te ajuda a deixar tudo redondinho.