---
title: "Brute force"
description: "Brute force to atak siłowy polegający na masowym zgadywaniu haseł lub kluczy. Poznaj odmiany ataku i skuteczne metody ochrony serwera oraz konta."
url: "https://nodea.pl/pl/slownik-pojec/brute-force"
lang: "pl"
updated: "2026-07-13"
---

# Brute force

> Brute force to atak siłowy polegający na systematycznym odgadywaniu haseł, kluczy lub kodów przez sprawdzanie kolejnych kombinacji — aż do skutku.

**Brute force** (atak siłowy) to metoda łamania zabezpieczeń polegająca na systematycznym sprawdzaniu kolejnych kombinacji haseł, kluczy lub kodów, aż trafi się na właściwą. Atak nie wykorzystuje żadnej luki w oprogramowaniu — bazuje wyłącznie na mocy obliczeniowej i czasie, dlatego jego skuteczność zależy od długości i złożoności [hasła](https://nodea.pl/pl/slownik-pojec/haslo) oraz od tego, czy system ogranicza liczbę prób.

## Jak działa atak brute force

W praktyce spotyka się kilka odmian:

- **klasyczny brute force** — sprawdzanie wszystkich możliwych kombinacji znaków; skuteczny tylko wobec krótkich haseł,
- **atak słownikowy** — testowanie list popularnych haseł i ich wariantów (np. „admin123!”), znacznie szybszy od pełnego przeszukiwania,
- **credential stuffing** — próby logowania parami login+hasło wykradzionymi z innych serwisów; wykorzystuje powtarzanie haseł przez użytkowników,
- **password spraying** — jedno popularne hasło testowane na wielu kontach, co omija blokady per konto,
- **brute force offline** — łamanie wykradzionych skrótów (hashy) haseł na GPU, bez limitów prób.

Celem są najczęściej panele logowania (WordPress *wp-login.php*, panele hostingowe), usługi [SSH](https://nodea.pl/pl/slownik-pojec/ssh) i FTP, konta pocztowe oraz API. Ataki prowadzą botnety rozproszone na tysiące adresów IP, co utrudnia proste blokowanie.

## Zastosowanie w praktyce — jak się bronić

Skuteczna ochrona łączy kilka warstw. Po stronie kont: długie, unikalne hasła (menedżer haseł) i [dwuskładnikowe uwierzytelnianie](https://nodea.pl/pl/slownik-pojec/dwuskladnikowe-uwierzytelnianie), które unieważnia odgadnięte hasło. Po stronie serwera: limity prób i automatyczna blokada adresów IP (np. [Fail2ban](https://nodea.pl/pl/slownik-pojec/fail2ban) analizujący logi), rate limiting na formularzach, CAPTCHA po kilku nieudanych próbach oraz logowanie do SSH wyłącznie kluczem. Administratorzy VPS-ów dodatkowo wyłączają logowanie roota i przenoszą SSH na niestandardowy port, co odsiewa masowe skanery.

Warto też monitorować logi uwierzytelniania — nagły wzrost nieudanych logowań to zwykle pierwszy sygnał trwającego ataku i dobry moment na zaostrzenie reguł firewalla.

### Jak chronić serwer przed atakami brute force?

Podstawy to: silne, unikalne hasła lub logowanie kluczem SSH, limity prób logowania z blokadą IP (np. Fail2ban), dwuskładnikowe uwierzytelnianie oraz zmiana domyślnych portów i wyłączenie logowania roota. Na stronach WWW dodatkowo CAPTCHA i rate limiting na formularzach logowania.

## Powiązane

- [Hasło](https://nodea.pl/pl/slownik-pojec/haslo)
- [Dwuskładnikowe uwierzytelnianie (2FA)](https://nodea.pl/pl/slownik-pojec/dwuskladnikowe-uwierzytelnianie)
- [Fail2ban](https://nodea.pl/pl/slownik-pojec/fail2ban)
- [CAPTCHA](https://nodea.pl/pl/slownik-pojec/captcha)
- [Firewall](https://nodea.pl/pl/slownik-pojec/firewall)

---

Wersje językowe: [en](https://nodea.io/en/glossary/brute-force-attack.md)  
Spis treści witryny: [llms.txt](https://nodea.pl/pl/llms.txt)