# WordPress Login-Versuche begrenzen ## Ausgangspunkt ### Ein Login braucht klare Grenzen. #### Wiederholte Passwortversuche sollen nicht unbegrenzt weiterlaufen. LU Limit Login Attempts setzt dafür ein konfigurierbares Limit pro [IP-Adresse] (https://de.wikipedia.org/wiki/IP-Adresse) . Nach zu vielen Fehlversuchen weist das Plugin Anmeldungen von dieser IP für die festgelegte Zeit zurück. Die zugehörigen Zähler lassen sich direkt im WordPress-Backend einsehen. Das ist relevant für Betreiber von Unternehmenswebsites und Teams, die WordPress betreuen und Login-Regeln nachvollziehbar verwalten möchten. ## Funktionen ### WordPress Login-Versuche begrenzen. Und gezielt ergänzen. Die Kernfunktion arbeitet automatisch. Zusätzliche Regeln aktivieren Sie nach Bedarf. #### Versuche zählen. Logins sperren. Maximale Fehlversuche, Sperrdauer in Minuten und Reset-Intervall in Stunden sind einstellbar. Während einer aktiven IP-Sperre werden weitere Login-Versuche zurückgewiesen. #### Eine eigene Login-Adresse. Ein eigener URL-Slug ersetzt den üblichen Login-Pfad. Die Standardadresse zeigt dann ein Scheinformular, das normale Anmeldeversuche ablehnt. Diese Versuche werden dort nicht mitgezählt. #### Protokolle lesen. Als CSV mitnehmen. Die Übersicht zeigt IP-Adresse, letzte Login-URL, Zeitpunkt und Versuchszähler. Einträge lassen sich sortieren, einzeln oder gesammelt löschen und als [CSV exportieren] (https://de.wikipedia.org/wiki/CSV _ (Dateiformat) ) . #### Zulässige Länder festlegen. Eine Liste von [Ländercodes] (https://www.sodah.de/geo-agentur/) steuert den optionalen Länderfilter. Die IP-Zuordnung erfolgt über einen Geo-Webservice und benötigt Account-ID und Lizenzschlüssel. #### Browsersprachen berücksichtigen. Eine eigene Liste erlaubt bestimmte Sprachcodes. Geprüft wird die erste im [Browser-Header] (https://de.wikipedia.org/wiki/Header) gemeldete Sprache. Dieser veränderbare Wert ist kein Identitätsnachweis. #### Kontodaten direkt anpassen. Berechtigte Benutzer können im Profil Benutzernamen und E-Mail-Adresse ändern. Bereits vergebene Werte werden geprüft; die E-Mail-Änderung erfolgt ohne Bestätigungsnachricht. ## So funktioniert’s ### Regeln festlegen. WordPress prüft mit. 01 ### Einrichten und abstimmen Nach der Aktivierung stehen die Einstellungen unter „Luna Universe → Limit Login Attempts“ bereit. Versuchslimit, Sperrzeit und Reset-Intervall werden passend zum Login-Betrieb festgelegt. 02 ### Fehlversuche erfassen Das Plugin nutzt die WordPress-Anmeldeprüfung. Eine fehlgeschlagene Anmeldung erhöht den Zähler der ermittelten IP-Adresse, sofern diese noch nicht aktiv gesperrt ist. 03 ### Für eine begrenzte Zeit sperren Ab dem eingestellten Limit greift die Sperre bis zum Ablauf der Sperrdauer. Weitere Versuche während dieser Sperre verlängern sie nicht. Der Zähler beginnt bei einem späteren Fehlversuch nach ausreichend langer Inaktivität wieder bei eins. 04 ### Prüfen und bei Bedarf freigeben Im Protokoll lassen sich gespeicherte Zähler prüfen und exportieren. Das Löschen eines IP-Eintrags entfernt zugleich dessen gespeicherten Versuchszähler und damit eine daraus resultierende Sperre. ## Technik & Daten ### Was im Hintergrund passiert. In WordPress integriert. Mit klar benannten Abhängigkeiten. #### WordPress-Anbindung Die Hooks authenticate und wp _login _failed übernehmen Prüfung und Erfassung. Einstellungen, Logs und Exporte erfordern manage _options; Profiländerungen entsprechende Benutzerrechte. #### Lokale Speicherung Zwei eigene [Datenbanktabellen] (https://de.wikipedia.org/wiki/Datenbank) speichern IP-Zähler und optionale Zugangsdaten-Logs. Ein IP-Datensatz enthält die letzte erfasste URL, den letzten Zeitpunkt und den aktuellen Zähler. #### Bereinigung Bei einem fehlgeschlagenen Login werden Datensätze entfernt, deren letzter gespeicherter Zeitpunkt mehr als sieben Tage zurückliegt. Dafür gibt es keinen eigenen [Cronjob] (https://de.wikipedia.org/wiki/Cron) ; ohne weitere Fehlversuche kann die Speicherung länger dauern. #### Externe Verbindungen Bei aktivierter und konfigurierter Länderprüfung wird die IP-Adresse an geolite.info übermittelt. Update-Prüfungen rufen den Luna-Universe-Pluginserver ab. IP-Nachschlagelinks öffnen einen externen Dienst erst beim Anklicken. #### Voraussetzungen Eine WordPress-Installation mit Datenbankzugriff und Berechtigung zur Plugin-Einrichtung. Für GeoIP sind zusätzliche Zugangsdaten und ausgehende [HTTPS-Verbindungen] (https://de.wikipedia.org/wiki/Hypertext _Transfer _Protocol _Secure) erforderlich. Verbindliche WordPress- und PHP-Mindestversionen sind im Projekt nicht angegeben. #### Updates Der integrierte Updater fragt Versionsinformationen bei plugins.luna-universe.com ab und bindet verfügbare Updates in WordPress ein. ## Einsatz mit Sodah ### Login-Regeln, die zu Ihrem Projekt passen. #### Ein Werkzeug aus der Luna-Universe-Pluginfamilie von Sodah Webdesign. Für eine betreute WordPress-Website lässt sich das Plugin als Baustein der Login-Verwaltung einsetzen. Dazu gehören die Abstimmung der Grenzen, die Prüfung des tatsächlichen Anmeldewegs und der bewusste Umgang mit gespeicherten Daten. Besprechen Sie mit Sodah, wie die Einrichtung in Ihre Webentwicklung oder laufende Betreuung passt. [WordPress-Webentwicklung] (https://www.sodah.de/webentwicklung-agentur/) [Support & Wartung] (https://www.sodah.de/webdesign-agentur/support-wartung/) ## Häufige Fragen ### Gut zu wissen. Konkrete Antworten zu Login-Limits und dem Einsatz in WordPress. ### [Was ist LU Limit Login Attempts?] (#5ae3b6af5d1c453d0) LU Limit Login Attempts ist ein WordPress-Plugin von Sodah Webdesign. Es zählt fehlgeschlagene Anmeldungen pro IP-Adresse und sperrt weitere Logins nach einem einstellbaren Limit vorübergehend. Eigene Login-Adressen, optionale Länder- und Sprachfilter sowie CSV-Protokollexporte ergänzen die Kernfunktion. ### [Welche Login-Limits kann ich einstellen?] (#45536e6f22fa00b53) Einstellbar sind die Zahl erlaubter Fehlversuche, die Sperrdauer in Minuten und das Reset-Intervall in Stunden. Das Reset-Intervall bezeichnet die Inaktivität seit dem letzten erfassten Versuch. Nach Ablauf wird der Zähler beim nächsten Fehlversuch neu begonnen. ### [Wird ein Benutzerkonto oder eine IP-Adresse gesperrt?] (#ab2f4368199aa7a54) Die Sperre bezieht sich auf die ermittelte IP-Adresse. Mehrere Personen hinter derselben öffentlichen IP teilen sich damit denselben Zähler. Eine kontobezogene Sperre oder eine Zwei-Faktor-Authentifizierung implementiert das Plugin nicht. ### [Was passiert mit der bisherigen WordPress-Login-URL?] (#cb1f1883fefbf17b8) Wenn ein eigener Login-Slug gesetzt ist, wird das echte Login-Formular unter dieser Adresse bereitgestellt. Die Standardadresse wp-login.php zeigt ein Scheinformular, das normale Anmeldeversuche ablehnt und nicht mitzählt. Login-, Logout- und Passwort-Links werden angepasst; ein gültiger Logout bleibt möglich. ### [Welche Daten werden gespeichert und wann gelöscht?] (#814b29eca34a6ead6) Gespeichert werden IP-Adresse, Versuchszähler, letzte Login-URL und letzter Zeitpunkt. Optional werden zusätzlich Benutzername und übermitteltes Passwort lesbar protokolliert. Bei fehlgeschlagenen Logins werden Einträge mit einem mehr als sieben Tage alten Zeitpunkt bereinigt. Eine zeitgenaue Löschung ohne weitere Fehlversuche ist nicht vorgesehen. ### [Kann ich eine IP-Sperre manuell aufheben?] (#8e7dcb39776aedbbd) Ja. Wer die Berechtigung manage _options besitzt, kann den betreffenden IP-Eintrag im Protokoll löschen. Dadurch entfällt der gespeicherte Versuchszähler und eine darauf beruhende Sperre. Unabhängig aktivierte Länder- oder Sprachregeln gelten weiterhin. ### [Welche Voraussetzungen und Integrationen sind belegt?] (#90cf46539d63d6e38) Das Plugin benötigt WordPress und dessen Datenbank. Es nutzt die WordPress-Anmelde-Hooks und einen eigenen Update-Server. Verbindliche PHP- und WordPress-Mindestversionen sowie eine allgemeine Kompatibilität mit WooCommerce, Multisite oder eigenen Login-Formularen sind im Projekt nicht dokumentiert.