Panel logowania Twojej strony działa jak drzwi do firmy, które są otwarte przez całą dobę. Codziennie sprawdzają je boty, które próbują odgadnąć login i hasło tak długo, aż trafią na właściwe. To właśnie tzw. atak brute force, którego WordPress sam z siebie nie potrafi zatrzymać. Wystarczy jedno odgadnięte hasło, by na stronie pojawiło się złośliwe oprogramowanie albo spam. Jak możesz zapobiec atakom brute? Okazuje się, że jedna darmowa wtyczka i rozsądnie ustawiony mechanizm blokady konta rozwiązują problem w kwadrans.
Jaka jest definicja ataku brute force?
Atak brute force (atak siłowy) to metoda włamania polegająca na automatycznym sprawdzaniu kolejnych kombinacji loginu i hasła, dopóki któraś nie zadziała i nie otworzy dostępu do konta użytkownika. Nie wymaga znajomości luk w oprogramowaniu – wystarczy program, lista haseł i cierpliwość komputera.
Jak brzmi formalna definicja ataku brute force? OWASP, czyli Open Web Application Security Project, międzynarodowa fundacja non-profit tworząca darmowe standardy bezpieczeństwa stron i aplikacji, opisuje go jako systematyczne zgadywanie danych uwierzytelniających. Uwierzytelnianie to po prostu sprawdzenie, czy jesteś tym, za kogo się podajesz – najczęściej przez login i hasło. W katalogu zagrożeń automatycznych OWASP ten rodzaj działań nosi nazwę credential cracking, czyli łamanie danych logowania. Ta definicja ataku brute force ma praktyczną konsekwencję: skoro przestępca korzysta z prawdziwego formularza, najlepszą obroną jest kontrola nad tym, ile razy wolno go wysłać.
Atak siłowy nie „włamuje się” do systemu. On do niego po prostu wchodzi – Twoim loginem i Twoim hasłem.
Metoda brute-force krok po kroku – jak to wygląda w praktyce?
Co dzieje się po drugiej stronie ekranu? Przestępca uruchamia skrypt, który sam wysyła formularz logowania tysiące razy. Na początek sprawdza nazwę użytkownika „admin”, potem nazwę firmy, a na końcu imię właściciela pobrane z zakładki „O nas”. Do każdego loginu dobiera hasła z gotowych list i po każdej próbie sprawdza odpowiedź serwera, zanim przejdzie do kolejnej kombinacji. Przeprowadzanie ataków brute force nie wymaga przy tym wiedzy technicznej. Wystarczy wpisać w wyszukiwarkę „brute force program”, by znaleźć dziesiątki darmowych narzędzi.
Metoda brute-force przypomina złodzieja z pękiem miliona kluczy. Pojedynczy klucz nie ma znaczenia, liczy się tempo. Ataki brute force rozpoczynają się zwykle od najprostszych kombinacji, bo ludzie wciąż wybierają słabe hasła typu „123456”, „qwerty” czy „Firma2026”. Właśnie dlatego ataki brute force nie tracą na popularności, bo prawie nic nie kosztują przestępcę, a statystycznie zawsze trafiają w czyjeś niezabezpieczone konto.
Kto stoi za takimi cyberatakami?
Najczęściej nie człowiek, tylko sieć zainfekowanych komputerów (tzw. botnet – tysiące cudzych urządzeń sterowanych zdalnie). Ataki brute force wykorzystują przy tym rozproszenie: każde urządzenie wykonuje kilka prób z innego adresu IP, więc pojedynczy atak trudno zauważyć gołym okiem.
Brute force – łamanie haseł a szyfrowanie AES
Gdzie kończy się zgadywanie hasła, a zaczyna łamanie szyfru? To ta sama zasada w dwóch skalach. Zamiast haseł komputer sprawdza po kolei wszystkie możliwe klucze szyfrujące, aż odszyfrowany tekst zacznie mieć sens. O wyniku decyduje długość klucza.
Szyfr AES, z którego korzystają banki i strony z kłódką w przeglądarce, ma tak wiele możliwych kombinacji, że złamanie go metodą siłową jest praktycznie niemożliwe. Zupełnie inaczej wypada proste szyfrowanie XOR z kilkuznakowym kluczem – komputer sprawdzi wszystkie warianty w ułamku sekundy. Tak w praktyce działa brute force: łamanie zabezpieczeń trwa tym krócej, im mniej kombinacji trzeba sprawdzić.
Co z tego wynika dla Ciebie? Szyfrowanie AES chroni dane przesyłane między klientem a Twoją stroną. Nie obroni jednak panelu, jeśli ktoś po prostu odgadnie hasło. Same hasła działają zresztą inaczej: WordPress ich nie szyfruje, tylko haszuje, czyli zamienia w ciąg znaków, którego nie da się odwrócić, a jedynie próbować odgadnąć. Od wersji 6.8 używa do tego algorytmu bcrypt. Szyfr AES zabezpiecza drogę, a wtyczka – drzwi.
Atak online czy offline – jaka to różnica?
Atak online odbywa się na żywo, przez formularz logowania Twojej strony – i tylko ten rodzaj zatrzyma wtyczka blokująca. Atak offline dotyczy sytuacji, w której przestępca wykradł bazę haseł zapisanych w formie skrótów (haszy) i próbuje je odgadnąć na własnym sprzęcie, bez żadnych limitów. Hive Systems wylicza w tabeli haseł 2026, że losowe 8-znakowe hasło z cyframi, wielkimi i małymi literami oraz symbolami wymaga w takim scenariuszu około 132 lat łamania. Te same 8 znaków złożone wyłącznie z małych liter pada po około 2 tygodniach.
Od czego zależy skuteczność ataku?
Skuteczność metody brute force zależy od trzech czynników: długości hasła, liczby dozwolonych prób i szybkości, z jaką system odpowiada na kolejne zapytania. Na pierwszy czynnik wpływa każdy użytkownik. Na dwa pozostałe – właściciel strony, który może ograniczyć liczbę prób i spowolnić odpowiedzi serwera. OWASP wskazuje to jako podstawową ochronę formularza logowania.
Każdy dodatkowy znak mnoży liczbę kombinacji kilkadziesiąt razy, dlatego długie hasła wygrywają ze „sprytnymi” krótkimi. Z kolei ograniczenie liczby prób sprawia, że nawet słabe hasło nie zostanie odgadnięte w kilka minut. Dobrze ustawiony mechanizm blokady konta zamienia minuty pracy bota w lata. Bez blokady bot może odgadnąć hasło w ciągu jednej nocy. Z blokadą – musiałby czekać latami.
Ataki brute force a Twoja firma – dlaczego to realne zagrożenie?
Ataki brute force są groźne dla małych firm, ponieważ działają masowo i automatycznie – bot nie wybiera ofiar, tylko sprawdza każdą stronę, jaką znajdzie. Mała witryna salonu fryzjerskiego jest dla niego tak samo atrakcyjna jak sklep z milionowym obrotem, bo ma podobne zabezpieczenia, a często nawet słabsze. Przeprowadzanie ataków brute force na masową skalę kosztuje przestępców grosze, więc opłaca się im sprawdzać wszystko.
Liczby, które pokazują skalę problemu
Jak duże jest to zjawisko? Microsoft w raporcie Digital Defense Report 2025 podaje, że ponad 97% ataków na tożsamość opiera się na technikach password spraying lub brute force, czyli masowym testowaniu haseł. W pierwszej połowie 2025 roku liczba takich ataków wzrosła o 32%.
Dane z Polski wyglądają równie poważnie. CERT Polska – zespół reagowania na incydenty działający w NASK – zarejestrował w 2025 roku ponad 260 tysięcy unikalnych incydentów bezpieczeństwa, czyli średnio około 30 na godzinę. Verizon w Data Breach Investigations Report 2026 wskazuje z kolei, że nadużycie danych logowania pojawia się na którymś etapie 39% przeanalizowanych naruszeń.
Dlaczego to dotyczy właśnie Ciebie? Według W3Techs WordPress napędza 39,7% wszystkich stron internetowych (dane z października 2026 r.). Popularność systemu sprawia, że boty znają jego adresy logowania na pamięć: wp-login.php, wp-admin i xmlrpc.php. Ataki brute force wykorzystują tę przewidywalność, bo nie muszą niczego szukać.
Boty z roku na rok są też coraz aktywniejsze. Według raportu The State of Brute Force Attacks in WordPress: 2025 liczba ataków na jedną domenę WordPressa wzrosła w okresie luty–grudzień 2024 roku o 120%.
Mark Maunder, założyciel i CEO Wordfence, opisując w 2016 roku falę ataków na WordPressa, wskazał, że część źródłowych adresów IP korzystała wyłącznie z metody brute force i nie stosowała bardziej wyrafinowanych technik. Właśnie taka prostota sprawia, że automatyczne próby logowania pozostają powszechnym wektorem ataku.
Co tracisz, gdy ktoś przejmie konto administratora?
Czy przejęta strona to tylko kłopot techniczny? Niestety nie. Osoba, która przejmie konto użytkownika z rolą administratora, może zainstalować złośliwe oprogramowanie, które zaraża odwiedzających, podmienić numer konta w formularzu zamówienia albo dodać setki ukrytych podstron ze spamem. Google oznacza takie witryny ostrzeżeniem w wynikach wyszukiwania, a ruch organiczny spada w ciągu kilku dni.
Do tego dochodzi odpowiedzialność prawna. Jeśli na stronie przechowujesz dane klientów – choćby rezerwacje wizyt czy zapisy do newslettera – wyciek oznacza obowiązek zgłoszenia naruszenia do Prezesa UODO w ciągu 72 godzin. Koszt odbudowy zaufania bywa wyższy niż koszt samej naprawy strony.
Przykład ataku brute force na stronę małej firmy
Weźmy typowy scenariusz, z którym spotykają się właściciele jednoosobowych działalności. Pani Kasia prowadzi gabinet kosmetyczny i ma prostą stronę na WordPressie z cennikiem i rezerwacją online. Login „admin”, hasło „Kasia2019!”. Przez dwa lata nic się nie dzieje.
Pewnej nocy bot zaczyna wysyłać po 40 prób na minutę z różnych adresów IP. Nikt tego nie widzi, bo WordPress nie zapisuje nieudanych prób logowania. Po trzech dniach hasło zostaje odgadnięte, a rano klientki dostają ostrzeżenie przeglądarki o niebezpiecznej stronie. Ten przykład ataku brute force pokazuje, że wystarczyłaby jedna zmiana: limit logowania na poziomie 4 prób i blokada adresu IP. Bot zostałby zatrzymany po kilku sekundach, a nie po trzech dobach.
Odmiany ataków siłowych i ich przykłady
Nie każdy atak siłowy wygląda tak samo – różnią się źródłem haseł, a nie zasadą działania. Przeprowadzanie ataków brute force zawsze opiera się na formularzu logowania. Wszystkie typy ataków opisane poniżej korzystają z tej samej furtki i wszystkie zatrzymuje ten sam mechanizm blokady konta: ograniczenie liczby prób i czasowe odcięcie dostępu.
Prosty atak brute force i atak słownikowy – czym się różnią?
Prosty atak brute force sprawdza wszystkie możliwe kombinacje znaków po kolei: aaaa, aaab, aaac… Ta metoda jest skuteczna wyłącznie wobec bardzo krótkich haseł, bo przy dłuższych liczba kombinacji rośnie lawinowo.
Atak słownikowy korzysta z gotowych list popularnych haseł i słów, np. słynnej listy „rockyou” z milionami realnych haseł z dawnych wycieków. Atak hybrydowy łączy oba podejścia: bierze słowo ze słownika i dodaje do niego cyfry, wielkie litery lub znaki specjalne, np. „Kasia” → „Kasia2019!”. Hive Systems sprawdziło, że gdy hasło opiera się na przewidywalnych wzorcach lub pochodzi z wcześniejszego wycieku, jego złamanie na jednej karcie graficznej RTX 5090 trwało około 3 sekund – mimo zabezpieczenia mocnym algorytmem bcrypt.
Credential stuffing, czyli recykling cudzych haseł
Credential stuffing to wykorzystywanie par login–hasło wykradzionych z innych serwisów. Jeśli Twój pracownik używa tego samego hasła do sklepu internetowego i do panelu firmowej strony, wyciek z jednego miejsca otwiera drzwi w drugim. OWASP klasyfikuje tę technikę jako osobne zagrożenie automatyczne, ponieważ każda pojedyncza próba wygląda jak normalne logowanie.
Odmianą jest tzw. password spraying, czyli „opryskiwanie hasłem”. Bot testuje jedno popularne hasło na setkach kont, robiąc tylko 1–2 próby na każde z nich. Prosty licznik ustawiony dla jednego konta użytkownika tego nie zauważy, dlatego dobre narzędzia pozwalają ograniczyć liczbę prób jednocześnie per konto i per adres IP.
Najczęściej spotykane przykłady cyberataków w praktyce zestawiliśmy w tabeli:
| Rodzaj ataku | Jak działa? | Brute force: przykłady z życia | Co go zatrzymuje? |
|---|---|---|---|
| Prosty atak brute force | Sprawdza kolejno wszystkie kombinacje znaków | Hasło „7fq2” odgadnięte po kilku tysiącach prób | Długie hasła i limit prób |
| Atak słownikowy | Testuje listy popularnych haseł i słów | „123456”, „haslo1”, „qwerty” | Blokada po kilku błędach, zakaz popularnych haseł |
| Atak hybrydowy | Łączy słowa ze słownika z cyframi i symbolami | „Wiosna2026!”, „Firma123#” | Blokada IP, menedżer haseł |
| Credential stuffing | Używa loginów i haseł z wycieków innych serwisów | Hasło z wycieku forum użyte do panelu sklepu | 2FA, unikalne hasła |
| Password spraying | Jedno hasło testowane na wielu kontach | „Lato2026” sprawdzane na 300 kontach pracowników | Limit per adres IP, monitorowanie logów |
Jak zatrzymać brute force jedną wtyczką?
Najprostszy sposób, by zapobiec atakom brute force na WordPressie, to instalacja darmowej wtyczki Limit Login Attempts Reloaded, która po przekroczeniu limitu nieudanych prób logowania blokuje adres IP na określony czas. Konfiguracja zajmuje około 15 minut i nie wymaga znajomości programowania.
Dlaczego właśnie Limit Login Attempts Reloaded?
Czym ta wtyczka różni się od rozbudowanych pakietów bezpieczeństwa? Skupia się na jednym zadaniu – ochronie logowania – i robi to bez obciążania serwera. W praktyce to gotowy mechanizm blokady konta dla WordPressa. Na stronie twórcy WordPressa deklarują ochronę 2 milionów witryn, katalog pokazuje ponad milion aktywnych instalacji, a średnia ocena wynosi 4,8 na 5. W katalogu wtyczka występuje obecnie także pod nazwą Limit Login Attempts Security.
Wtyczka chroni nie tylko standardową stronę wp-login.php. Obejmuje też plik xmlrpc.php (zdalny interfejs WordPressa, ulubiony cel botów), logowanie w WooCommerce i niestandardowe formularze logowania. Pozwala ograniczać próby logowania osobno dla każdego adresu IP i każdej nazwy użytkownika. Każdą próbę brute force zapisuje w dzienniku. W darmowej wersji znajdziesz też rejestr prób ataku siłowego, powiadomienia e-mail oraz dwuetapowe logowanie (2FA) z kodem wysyłanym na adres e-mail.
Jedna wtyczka nie zastąpi całej strategii bezpieczeństwa. Zamyka jednak główne drzwi, przez które wchodzi większość automatycznych ataków.
Konfiguracja krok po kroku
Jak ograniczyć liczbę prób w praktyce? Wykonaj poniższe kroki w panelu WordPressa:
- Zrób kopię zapasową strony – przed każdą zmianą w zabezpieczeniach, na wypadek konfliktu z innymi wtyczkami.
- Zainstaluj wtyczkę – przejdź do „Wtyczki → Dodaj nową”, wpisz Limit Login Attempts Reloaded i wybierz wynik oznaczony autorem WPChef. Kliknij „Zainstaluj”, a następnie „Włącz”.
- Otwórz ustawienia – wybierz „Ustawienia → Limit Login Attempts” i włącz opcję zgodności z RODO (GDPR), która skraca przechowywanie adresów IP.
- Ustaw liczbę dozwolonych prób logowania – wpisz wartość od 3 do 5. To nieco ostrzej niż przedział podawany przez OWASP, ale przy 1–3 administratorach w zupełności wystarcza. Domyślne ustawienia twórcy są rozsądnym punktem wyjścia.
- Określ czas blokady – zacznij od 20 minut dla pierwszej blokady i 24 godzin po kilku kolejnych.
- Dodaj swój adres IP do listy bezpiecznych (safelist) – unikniesz sytuacji, w której zablokowanie konta dotknie Ciebie.
- Włącz powiadomienia e-mail – dostaniesz informację, gdy ktoś przekroczy limit prób logowania.
Po zapisaniu zmian wtyczka zaczyna blokować kolejne próby logowania skutecznie już od pierwszej minuty. Licznik nieudanych prób resetuje się po czasie ustawionym w konfiguracji, więc pomyłka sprzed tygodnia nie wpływa na dzisiejsze logowanie.
Jaki próg blokady konta ustawić?
Ile prób to optymalna liczba? Przewodnik testowania bezpieczeństwa OWASP Web Security Testing Guide wskazuje, że typowy próg blokady konta to od 5 do 10 nieudanych prób logowania, a czas blokady od 5 do 30 minut stanowi dobry kompromis między bezpieczeństwem a wygodą użytkowników.
Dlaczego nie ustawić jednej próby? Bo zbyt niski próg blokady konta uderza w Twoich klientów i pracowników – wystarczy literówka, by zablokować konto. Zbyt wysoka liczba dozwolonych prób logowania daje botom więcej szans. Chcesz zapobiec atakom brute force bez frustrowania klientów? Ograniczenie liczby prób połącz z blokadą czasową, a nie stałą. OWASP zwraca też uwagę, że blokada powinna być czasowa: stałe zablokowanie konta pozwoliłoby przestępcy celowo „wyłączać” dostęp prawowitym użytkownikom.
Dla małej firmowej strony z 1–3 administratorami sprawdza się więc ustawienie 3–5 prób i stopniowe wydłużanie blokady przy kolejnych atakach. Tak skonfigurowany mechanizm blokady konta wydłuża czas potrzebny na odgadnięcie nawet przeciętnego hasła z godzin do dziesiątek lat.
Przyczyny blokady konta – kiedy zablokujesz sam siebie?
Najczęstsze przyczyny blokady konta po stronie właściciela to stare hasło zapamiętane w telefonie, włączony Caps Lock i wspólny adres IP w biurze. Ostatni przypadek jest podchwytliwy: jeśli pięć osób loguje się z jednej sieci, nieprawidłowe próby hasła jednej z nich mogą spowodować zablokowanie konta pozostałych. Podobnie działa telefon z zapisanym starym hasłem – kilka automatycznych połączeń wystarczy, by zablokować konto właściciela.
Inne przyczyny blokady konta to źle skonfigurowany serwer pośredniczący (np. Cloudflare), który sprawia, że wszyscy użytkownicy mają ten sam adres IP. Twórcy wtyczki opisują to w FAQ na stronie WordPressa i wskazują ustawienie „Trusted IP Origin” jako rozwiązanie. Gdy mimo to stracisz dostęp, wystarczy przez FTP lub menedżer plików hostingu tymczasowo zmienić nazwę folderu wtyczki.
CAPTCHA i 2FA – druga warstwa ochrony
Czy sama blokada wystarczy? Dla większości małych stron tak, ale warto rozważyć dwa dodatki. CAPTCHA to test odróżniający człowieka od bota, np. zaznaczenie pola „Nie jestem robotem” albo wskazanie obrazków. OWASP przestrzega jednak, że CAPTCHA może utrudnić atak, ale nie powinna niczego zastępować – część botów potrafi ją obejść, a mechanizm blokady konta pozostaje podstawą.
Mocniejszą barierą jest uwierzytelnianie dwuskładnikowe (2FA): po wpisaniu hasła trzeba podać jednorazowy kod z aplikacji lub e-maila. Microsoft szacuje, że nowoczesne MFA (wieloskładnikowe uwierzytelnianie) zmniejsza ryzyko przejęcia konta o ponad 99%. Drugi składnik zatrzymuje próby logowania skutecznie nawet wtedy, gdy hasło wyciekło. CAPTCHA włączaj na formularzach publicznych, a 2FA – obowiązkowo dla każdego konta użytkownika z uprawnieniami administratora.
Mechanizm blokady konta poza WordPressem
Ta sama zasada, która chroni stronę, chroni też komputery i serwery w Twojej firmie: ograniczenie liczby prób plus czasowa blokada. Brute force sprawdza każde miejsce, w którym da się wpisać hasło – pocztę, zdalny pulpit, VPN i system kont pracowników – dlatego każde z nich powinno ograniczać próby logowania.
Zobacz również: Uprawnienia użytkowników w panelu administracyjnym – co musisz wiedzieć, zanim będzie za późno
Konta firmowe w Windows i Active Directory
Jak to wygląda w środowisku Microsoft? Od kompilacji 22528 Windows 11 ma domyślnie włączony mechanizm blokady konta, który dopuszcza 10 nieudanych prób logowania, a potem blokuje konto użytkownika na 10 minut. Chroni to m.in. przed próbami ataku siłowego na zdalny pulpit (RDP). System liczy nieprawidłowe próby hasła dla każdego konta osobno, a w ustawieniach zasad zabezpieczeń możesz ograniczyć liczbę prób, zmienić czas blokady i czas resetowania licznika. Polityka hamuje próby logowania skutecznie, ale tylko wtedy, gdy nikt jej nie wyłączy. Najważniejszym parametrem jest próg blokady konta, czyli liczba błędów, po której system odcina dostęp.
W firmach z kilkunastoma lub kilkudziesięcioma pracownikami konta zwykle obsługuje Active Directory (AD) – usługa katalogowa Microsoftu, która centralnie zarządza kontami i uprawnieniami. Firma zarządzana jednym systemem uwierzytelniania Windows może ustawić wspólną politykę dla wszystkich komputerów i zmieniać liczbę dozwolonych prób w jednym miejscu. Administrator widzi wtedy blokady użytkowników AD w jednym miejscu i może szybko odblokować konto użytkownika, który pomylił się kilka razy. Przyczyny blokady konta w sieci firmowej są podobne jak na stronie: literówki, stare hasła w telefonach i wygasłe hasła zapisane w drukarkach czy skryptach.
Atakujący może też celowo zablokować konto kluczowego pracownika, wpisując błędne hasła, dlatego blokada powinna wygasać automatycznie. Analizując blokady użytkowników AD, pamiętaj również o ataku typu password spraying. Raport, w którym widać blokady użytkowników AD z całego tygodnia, przeglądaj regularnie – najlepiej w poniedziałek rano. Jeśli nagle rośnie liczba zablokowanych kont w całej firmie, to sygnał, że ktoś testuje hasła masowo. Wysoka liczba zablokowanych kont rano po weekendzie to klasyczny objaw. Analiza zdarzeń z komputerów zarządzanych systemem uwierzytelniania Windows powinna więc obejmować godziny i adresy, z których przychodziły nieprawidłowe próby hasła.
Monitorowanie logów – po czym poznasz atak?
Skąd wiesz, że ktoś właśnie próbuje się włamać? Logi, czyli dzienniki zdarzeń, zapisują każde logowanie użytkowników – udane i nieudane. Regularne monitorowanie logów to podstawa wykrywania ataków siłowych. Pojedynczą próbę brute force łatwo przeoczyć, serię – już nie.
Sygnały ostrzegawcze są powtarzalne. Liczba nieudanych logowań rośnie skokowo w nocy lub w weekend. Próby dotyczą nieistniejących loginów, np. „admin” czy „test”. Pojawiają się dziesiątki adresów IP z krajów, w których nie masz klientów. Dziennik nieudanych prób logowania we wtyczce pokaże Ci to w jednej tabeli, a każde zablokowanie konta zapisze się z datą i adresem. Według Limit Login Attempts Reloaded aż 38,3% prób ataku siłowego na WordPressa przypada na IV kwartał, więc jesień i okres przedświąteczny wymagają szczególnej uwagi.
Jak zareagować? Jeśli liczba nieudanych logowań przekracza normę kilka dni z rzędu, zmień hasła administratorów, włącz 2FA i sprawdź listę użytkowników pod kątem nieznanych kont. Gdy licznik nieudanych prób rośnie mimo to, upewnij się, że mechanizm blokady konta nie został wyłączony po aktualizacji. Za tymi próbami ataku siłowego zwykle stoją boty, a nie konkretny człowiek, więc nie traktuj tego osobiście, tylko jak alarm przeciwpożarowy. OWASP zaleca też, by komunikat o błędzie nie zdradzał, czy pomylił się login, czy hasło. Domyślny WordPress niestety to robi: osobno informuje, że podana nazwa użytkownika nie istnieje, a osobno, że hasło jest błędne. Bot dowiaduje się w ten sposób, które loginy są prawdziwe, i na nich skupia kolejne próby. Rozwiązaniem jest jedna ogólna informacja „Nieprawidłowe dane logowania” – część wtyczek bezpieczeństwa ma taką opcję, a programista ustawi ją kilkoma linijkami kodu w motywie strony.
Firmom, które obsługują rezerwacje online lub konta klientów, polecamy dodatkowo zajrzeć do zestawienia OWASP Top 10. Błędy uwierzytelniania od lat zajmują w nim siódme miejsce, a ściąga OWASP Authentication Cheat Sheet zbiera najważniejsze zasady w jednym, darmowym dokumencie. Każdy formularz z hasłem w Twojej firmie – także system rezerwacji wizyt czy panel klienta – powinien ograniczać próby logowania. Jeśli nie chcesz przechodzić przez te zasady samodzielnie, zapytaj opiekuna swojej strony w WeNet o pakiet opieki nad stroną – aktualizacje i konfiguracja zabezpieczeń należą do typowych zadań serwisowych.
Co warto zapamiętać o zabezpieczeniu strony przed atakami brute force?
Atak brute force to masowe, zautomatyzowane zgadywanie haseł, a nie wyrafinowane włamanie. Skoro dotyczy każdej strony z formularzem logowania, ochrona też musi być standardem, a nie dodatkiem:
- Zgadywanie haseł – atak brute force testuje tysiące kombinacji bez Twojej wiedzy, a WordPress domyślnie go nie hamuje.
- Długość hasła – 12–16 losowych znaków chroni lepiej niż krótkie hasło pełne symboli.
- Jedna wtyczka – Limit Login Attempts Reloaded ustawia limit logowania, blokuje adres IP po kilku błędach i działa po 15 minutach konfiguracji.
- Rozsądny próg – 3–5 prób i czasowa blokada od 20 minut, zbieżna z przedziałem zalecanym przez OWASP.
- Druga warstwa – 2FA dla administratorów i CAPTCHA na formularzach publicznych zatrzymują boty, które przejdą przez limit.
- Regularna kontrola – rosnąca liczba nieudanych logowań to sygnał, by od razu zmienić hasła i sprawdzić konta.
Możesz zapobiec atakom brute force szybciej, niż trwa przeczytanie tego artykułu. Zainstaluj wtyczkę jeszcze dziś – boty prawdopodobnie już sprawdzają Twoją stronę. Ciekawi Cię, czy ma ona też inne słabe punkty? Przeskanuj ją bezpłatnie Cyberskanerem WeNet, który sprawdzi witrynę pod kątem znanych podatności i pokaże, co warto poprawić w pierwszej kolejności.
Źródła:
Hive Systems – The 2026 Password Table Is Here: How Fast Can a Hacker Crack Your Password?
Help Net Security – What Microsoft’s 2025 report reveals about the new rules of engagement in cyberdefense
CERT Polska – Raport o stanie bezpieczeństwa cyberprzestrzeni RP w 2025 roku
Verizon – 2026 Data Breach Investigations Report (DBIR)
Push Security – What the Verizon DBIR tells us about how breaches happen in 2026
W3Techs – Usage Statistics and Market Share of WordPress, October 2026
SecurityWeek – Brute Force Attacks on WordPress Websites Soar
Limit Login Attempts Reloaded – The State of Brute Force Attacks in WordPress: 2025
OWASP Foundation – OWASP Web Security Testing Guide (WSTG)
SOCRadar – Microsoft Digital Defense Report 2025: Key Takeaways
Limit Login Attempts Reloaded – The State of Brute Force Attacks in WordPress: 2025
