Ja, das stimmt ist bei mir genauso. Hinzu kommt ja noch der Login-Name, der erst einmal bekannt sein muss. Aber so sperre ich die Leute gleich aus und belaste nicht noch den Server bzw die Datenbank.

Es ging mir mehr um den übermäßigen Aufwand, die Sicherheit profitiert trotzdem enorm – da hast du schon Recht. Aber ich habe ohnehin keine Sorge, dass jemand mein Passwort per Brute-Force ermittelt 🙂

Hi Andi, und wo ist da das Problem?
Klar ist die „Sicherheit“ dann nicht ganz so hoch wie in meinem Fall. Sie wird aber trotzdem 90% aller Fälle abdecken. Denn die meisten Angriffe kamen bei mir aus aller Welt und fast nie aus Deutschland bzw DACH.
Daher richte doch einfach 5 IP-Ranges ein und schau ob das schon reicht oder du es enger bauen musst.
Du kannst ja auch die Provider-Namen nehmen. Da musst du aber etwas recherchieren wie so bei dir heißen. Wie es bei mir mit der Telekom ist, steht ja hier.
Nicht vergessen, alle User, die trotzdem durchkommen werden dann am Plugin scheitern 🙂

@Nils: Du bist du auch Telekom. Dann mach es mal mit folgendem Eintrag:
Allow from .dip0.t-ipconnect.de
Das erlaubt alle User von der Telekom 😉

@Adrian: Ja, teste es mal. Ich musste leider nun nen Schritt weiter gehen. Ob am Ende der „Aufwand“ mit Captcha sich lohnt, musst du wissen. Aber bei meiner Lösung musst du nie mehr was ändern wenn nen Update ansteht.

Aber erstmal 1 Woche das Plug-in testen. Bei bedarf stelle ich gerne meine Lösung auch näher vor, sollte ich eine entwerfen ;). Muss man aber nur wegen WordPress-Updates drauf achten, dass die direkten Quelltext Änderungen nicht verloren gehen – aber meine WordPress installation ist eh schon extrem angepasst worden.