IThemes Site Lockout - WordPress：管理员遭插件误锁问题问询

Hey there, let's break down why your iThemes Security plugin might be locking you out (even when you're not intentionally hitting 404s) and walk through how to fix it— I’ve troubleshooted this exact scenario plenty of times for WooCommerce sites.

可能的触发原因 #

• 动态IP地址变动：大多数家用宽带用的是动态IP，你以为自己一直在用同一个IP，但ISP可能悄悄给你分配了新的地址。如果之前只把旧IP加入了白名单，新IP就会触发锁定规则。
• 后台操作被误判为恶意行为：比如你批量编辑WooCommerce产品、快速切换后台页面，或者某些插件的AJAX自动请求，可能被iThemes的“异常行为检测”当成自动化攻击脚本。
• 隐性的404请求：不是你主动访问了不存在的页面，而是你的主题/某个插件在后台请求了废弃的资源（比如旧图片、已删除的API端点），这些隐性的404被插件捕捉到，触发了锁定。
• 登录验证的隐性触发：比如浏览器自动填充了过期的密码、多设备同时登录时的验证冲突，会被插件误识别为暴力破解尝试，进而锁定你的IP。

紧急解锁步骤（现在就能用） #

如果现在完全登不上网站，先按下面的方法解锁：

• 方法1：禁用插件（最快）
  通过FTP或者主机面板的文件管理器找到wp-content/plugins文件夹，把ithemes-security重命名为ithemes-security-temp。这样插件会被自动禁用，你就能正常登录后台了。登录后再把名字改回去，重新配置规则。
• 方法2：通过数据库解锁
  如果你能访问主机的phpMyAdmin，找到你的WordPress数据库，打开wp_options表（前缀可能不是wp_，看你的配置），搜索itsec_lockouts这个选项，删除它的数值内容，保存后你的IP就会被解锁。

长期预防方案 #

解决当前问题后，按下面的步骤避免再被锁：

• 添加常用IP到白名单
  先查自己的公网IP（终端输入curl ifconfig.me，或者百度搜“我的IP”），然后进入iThemes Security > 设置 > 禁用用户 > 允许的IP，把这个IP加进去。如果是动态IP，可以考虑添加你的IP段（比如192.168.1.0/24，根据你的实际网段调整），或者开启“信任我的设备”功能（在登录安全设置里）。
• 调低锁定规则的敏感度
  进入iThemes Security > 设置 > 锁定，把“404检测”的触发阈值调高（比如从10次改成50次），或者把后台的AJAX路径wp-admin/admin-ajax.php加入排除列表；另外把“登录锁定”的尝试次数调多，或者勾选“排除管理员用户的登录尝试”。
• 查看锁定日志找根源
  进入iThemes Security > 日志，查看具体的锁定记录，里面会显示触发锁定的URL、IP和原因。比如如果是某个插件的特定请求导致的，你可以把那个路径加入排除列表，或者更新对应的插件。
• 开启信任设备功能
  在iThemes Security > 设置 > 登录安全里，开启“信任设备”选项，下次登录时勾选“信任此设备”，这样同一设备的后续访问不会被轻易锁定。
• 导出插件配置备份
  进入iThemes Security > 设置 > 导入/导出，导出你的配置文件保存在本地，以后如果再出问题可以快速恢复设置。

内容的提问来源于stack exchange，提问作者SupGen