Sécuriser Nginx contre les attaques par force brute

Limiter les tentatives de connexion avec Nginx

Le rate limiting natif de Nginx suffit à lui seul à stopper la majorité des bots avant même qu’ils n’atteignent PHP.

limit_req_zone $binary_remote_addr zone=login:10m rate=1r/s;

server {
    location = /wp-login.php {
        limit_req zone=login burst=3 nodelay;
        include fastcgi_params;
        fastcgi_pass unix:/run/php/php-fpm.sock;
    }
}

Ajouter Fail2ban en complément

sudo apt install fail2ban
sudo nano /etc/fail2ban/jail.local

[nginx-wp-login]
enabled = true
filter = nginx-wp-login
port = http,https
logpath = /var/log/nginx/access.log
maxretry = 5
bantime = 3600

Astuce : combinez ceci avec un plugin de limitation des tentatives de connexion côté WordPress pour une double protection au niveau applicatif.