Сделать так, чтобы неудачная попытка входа в админку WordPress возвращала 401

Вопрос или проблема

add_filter( 'authenticate', function( $user, $username, $password ) {
    // принудительное захватывание неудачного входа, чтобы принудительно открыть действие wp_login_failed,
    // чтобы это событие могло быть перехвачено
    if ( empty( $username ) || empty( $password ) ) {
        do_action( 'wp_login_failed', $user );
    }
    return $user;
} );

// для обработки даже вы можете обработать ошибку так
add_action( 'wp_login_failed', function( $username ) {
    if ( is_wp_error( $username ) ) {
        // вы возвращаете 401 с помощью wp функции, это действие происходит до отправки заголовков.
        $wp_query->set_401();
        status_header( 401 );
        nocache_headers();

    }
} );

Ответ или решение

Ответ на вопрос: Как вернуть код 401 для неудачных попыток входа в админку WordPress

По умолчанию, WordPress возвращает код ответа 200 как для успешных, так и для неудачных попыток входа на сайт. Это затрудняет работу систем защиты, таких как WAF или fail2ban. Многие разработчики в сфере безопасности считают правильным возвращать код 401 (или 403) при неудачных попытках аутентификации для лучшей обработки и защиты от брутфорс-атак. Ниже описан метод, который позволит реализовать данную функциональность.

1. Использование хуков WordPress

Вы можете использовать хуки authenticate и wp_login_failed для установки кода состояния 401 при неудачных попытках входа. Вот пример кода, который вам нужно добавить в файл вашей темы (обычно это functions.php):

add_filter( 'authenticate', function( $user, $username, $password ) {
    // Принудительно вызвать событие wp_login_failed для неудачной аутентификации
    if ( empty( $username ) || empty( $password ) ) {
        do_action( 'wp_login_failed', $username );
    }
    return $user;
} );

add_action( 'wp_login_failed', function( $username ) {
    // Убедимся, что выдается код 401 при неудачной попытке входа
    if ( is_wp_error( $username ) ) {
        global $wp_query; // глобальная переменная для доступа к wp_query
        $wp_query->set_401();
        status_header( 401 );
        nocache_headers(); // Убираем кеширование для этого заголовка
        exit; // Выход из скрипта, чтобы предотвратить дальнейшую обработку
    }
} );

Этот код делает следующее:

• Если предоставленный логин или пароль пустые, то вызывается действие wp_login_failed.
• Затем, при вызове этого действия, устанавливается код 401, что сигнализирует о неудачной попытке входа.

2. Создание плагина

Если вы предпочитаете использовать плагин, вы можете создать простой плагин, который будет включать данный функционал. Вы можете использовать приведенный ниже шаблон:

<?php
/*
Plugin Name: WP 401 On Failed Login
Description: Возвращает код 401 для неудачных попыток входа в админку WordPress.
Version: 1.0
Author: Ваше имя
*/

add_filter( 'authenticate', function( $user, $username, $password ) {
    if ( empty( $username ) || empty( $password ) ) {
        do_action( 'wp_login_failed', $username );
    }
    return $user;
} );

add_action( 'wp_login_failed', function( $username ) {
    global $wp_query;
    $wp_query->set_401();
    status_header( 401 );
    nocache_headers();
    exit;
} );

Сохраните этот файл как wp-401-on-failed-login.php в папке с вашими плагинами и активируйте его через админку WordPress.

3. Использование средств защиты на уровне сервера

Если у вас есть доступ к серверу, вы также можете настроить mod_security (или аналогичные средства) на уровне веб-сервера, чтобы возвращать код 401 для неудачных попыток входа. Вот ссылка на руководство по этому вопросу: Как блокировать брутфорс-логи через mod_security.

4. Создание правил Fail2ban

Если вы не можете изменить код WordPress или серверные конфигурации, вы также можете настроить fail2ban для отслеживания запросов к wp-login.php, которые возвращают код 200. Это позволит блокировать IP-адреса, осуществляющие неудачные попытки входа.

Заключение

Хотя изменение кода WordPress для возврата 401 может быть спорным вопросом, представленный метод даст вам возможность лучше контролировать неудачные попытки входа, улучшая общую безопасность вашего сайта.