로그인 및 가입 페이지에 사용할 수 있는 Captcha 솔루션이 있나요?
그걸 본 적이 없어요. 비밀번호 길이 제한 때문에 필요하지 않다고 생각해요.
문제를 경험해 보셨나요?
무슨 말씀이세요? 
질문을 읽어보세요
-
저는 캡차 솔루션에 대해 물어봤습니다 - 구글이든 다른 것이든, 스팸 등록자를 방지하기 위한 것이죠.
-
다음으로 API에 대해 질문받았는데, 제 API 링크를 직접 넣어야 하는 건가요? 아니면 표준을 사용하나요?
-
질문은 블로그에 관한 것이었습니다. 공식 블로그가 여러 곳에 표시되는데, 제가 편집할 수 있나요? 아니면 관리자만 보고, 일반 사용자는 블로그로 리디렉션되는 것을 볼 수 없는 건가요?
가입/생성 모달에서도 캡챠 옵션을 찾지 못했습니다 (제 검색 실력이 형편없어서 그런 걸 수도 있겠지만 ). 스팸에 대해 걱정된다면 내장 도구와 함께 Akismet 플러그인을 사용할 수 있습니다.
질문 2번과 3번에서 무엇을 말씀하시는 건지 잘 모르겠습니다.
3번은 잘 모르겠지만, 2번에서 @Bitweb_Core 님이 묻고자 하는 바는 제가 이해하는 것 같습니다.
@Bitweb_Core 님, 사용자 API 키를 완전히 비활성화하거나 신뢰 수준에 따라 제한하려는 경우(저는 개인적으로 이를 권장하지 않습니다)가 아니라면 해당 섹션에서 아무것도 변경할 필요가 없습니다. 기본 설정은 DiscourseHub 모바일 애플리케이션이 인스턴스와 함께 작동하도록 허용합니다.
해당 섹션에서 변경이 필요한 유일한 경우는 귀하나 귀하를 위해 일하는 사람이 사용자 API 키 시스템을 사용하는 제3자 애플리케이션을 개발하고 있을 때입니다.
문제는 스팸에 있는 것이 아니라, 수천 개의 계정이 자동으로 등록되거나 사람들이 로그인 페이지를 무차별 대입 공격(Brute Force)으로 시도할 수 있다는 사실에 있습니다.
일반적으로 로그인, 가입 및 비밀번호 찾기 페이지에는 캡차(CAPTCHA)가 적용되어야 합니다.
그리고 당신이 제안한 해결책은 이미 원인이 아닌 증상을 치료하는 것에 불과합니다.
기본적으로 캡차나 단순히 “질문-답변” 방식과 같은 표준 기능이 왜 없는지에 대해 질문이 있습니다.
현대 인터넷에서 캡차의 존재는 논리적이며, 논의의 대상조차 되지 않는다고 생각했습니다.
소셜 로그인만 허용하거나 이메일 제공업체 화이트리스트를 만드는 것은 해결책이 아니라고 생각합니다.
캡차가 이 목적을 위해 발명되었고, 1차 방어선이 무너졌을 때를 위한 추가 옵션으로서 다른 모든 것이 이미 존재하는데, 아무도 필요로 하지 않는 이해하기 어려운 서비스를拐杖(크리치) 형태로 발명할 필요가 왜 있겠습니까.
저는 GitHub - klaudgrave/discourse-google-recaptcha: Adding Google Recaptcha to sign up form · GitHub 에서 하나의 해결책을 찾았습니다.
하지만 이 플러그인은 오래전부터 작동하지 않고 있으며, 포럼 업데이트로 인해 더 이상 지원되지 않는 것 같습니다.
그러나 플러그인이 정상적으로 작동하려면 무엇이 필요한지에 대한 문서를 찾을 수 없습니다. 찾은 해결책을 수정하거나 직접 작성하기 위해서입니다.
그리고 사용자가 12자 이상의 긴 비밀번호와 모든 문자 세트를 사용하도록 허용하는 방법은 무엇입니까?
또한 가입 페이지의 비밀번호 입력란 위에 사용자가 모든 사이트에서 동일한 비밀번호가 아닌 고유한 비밀번호를 사용하도록 안내하는 문구를 추가하는 방법도 알고 싶습니다.
캡차에 대한 몇 가지 논의가 있습니다: Only allow user profiles for TL1 and above? - #24 by codinghorror
호스팅 사이트에서 필요로 하지 않는 것 같으니, 당신도 아마 필요하지 않을 것입니다.
그 이유는 다음과 같습니다.
하지만 플러그인이나 테마 컴포넌트를 통해 추가하는 것은 물론 가능합니다.
네, 캡차는 아무것도 바꾸지 않지만, 간단한 브라우저 매크로를 이용해 100개 계정을 만들려 하는 어린 해커들로부터 보호해 줍니다.
또한, 많은 POST 요청을 보내서 비밀번호 재설정 및 로그인 페이지를 공격하는 DDoS로부터도 보호합니다.
Akismet은 더 두 번째 보호막 역할을 하며, hrumer 기반 소프트웨어나 AI와 같은 악성 존재들로부터 보호해 줍니다.
나쁜 IP의 경우, Cloudflare에서 이미 하나의 캡차를 제공하고 있습니다.
하지만 제 생각에는 모든 것을 복합적으로 사용해야 합니다. 캡차는 그 목적에 맞게 작동합니다.
예를 들어, 디스코드 채널이나 텔레그램 채널도 사용자가 가입할 때 간단한 캡차를 풀어야 하고, 그 후에 Akismet 같은 안티 스팸 봇(이것도 제3자 솔루션임)이 작동하기 시작합니다.
가입 단계에서 거부될 스팸머 계정들이 왜 데이터베이스를 더럽혀야 합니까?
거의 90%는 항상 캡차에서 거부됩니다.
이렇게 생각한다면, 왜 포럼을 보호해야 합니까? 하루에 한 번 수동으로 스팸을 삭제하고 데이터베이스에서 무효 계정을 정리하면 됩니다.
해커가 데이터베이스를 탈취할 수 있는데 왜 복잡한 비밀번호를 사용합니까?
“현미경으로 못을 두드리는 이유”
그것에는 속도 제한이 있습니다.
저도 이 글이 흥미로웠어요
회원가입 페이지에 속도 제한(rate limit)이 존재합니까?
예를 들어, 어떤 봇이 잘못된 데이터로 회원가입에 끊임없이 접근하거나, 중단 없이 랜덤한 데이터만 입력하는 상황이 발생하면 비활성화된 계정이라는 형태로 데이터베이스에 불필요한 데이터가 쌓일 수 있습니다.
저는 실제로 캡차가 없는 서비스를 직접 목격했는데, 이로 인해 가입 기능이 거의 사용할 수 없을 정도로 사이트나 포럼의 기능이 마비되어 결국 가입 기능을 비활성화한 경우를 보았습니다.
솔직히 말씀드리면, 캡차는 스팸 방지 시스템이라기보다는 가벼운 속도 제한에 더 가깝다고 생각합니다. 스팸을 보내는 쪽은 단순하게 캡차를 반복해서 풀 수 있고, 스팸을 보내는 주체가 반드시 사람이 아닐 수도 있으며, 캡차 해결 서비스가 많이 존재한다는 것은 비밀이 아닙니다. 하지만 이러한 서비스가 모든 캡차를 해결할 수 있는 것은 아닙니다(사람도 풀기 어려운 패닉 모드의 설정도 존재하며), 또한 "나는 로봇이 아닙니다"를 체크해야 하는 Google의 숨겨진 캡차도 존재합니다.
결국 이 모든 것은 상대적으로 취약한 부분에서 서버에 불필요한 부하를 피하는 문제로 귀결됩니다.
아니요, IP 기반의 속도 제한(rate limit)이 적용되어 있습니다. 이것이 가능하다고 생각하신다면 직접 시도해 보세요! 해보십시오!
(만약 50,000개의 IP 주소에 접근할 수 있다면, 네, 그것은 문제가 되겠지만, 동시에 상당한 자금과 시간도 필요하게 됩니다. 그 정도의 자금과 시간을 가지고 계신가요?)
그럼에도 불구하고, 저는 '벨트와 서스펜더, 그리고 점프수트와 오토바이 헬멧, 심지어 축구 어깨 보호대까지’라는 수준의 이중, 삼중, 사중 보호를 원하는 사이트들을 위해 캡차 플러그인을 전적으로 지지합니다. 다만 요즘 캡차들이 매우 기괴해지고 있기는 합니다.
레이트 리밋(rate limits)을 검색해 봤는데, 가입, 비밀번호 재설정, 로그인 페이지 관련 설정을 찾지 못했습니다. 
(예를 들어 IP당 5회 시도 후 xx시간 대기하도록 하고 싶은데)
비활성화된 계정을 자동 삭제하는 기능은 찾았지만, 왜 아예 생성을 허용하는지 모르겠습니다.
브라우저의 간단한 매크로를 이용해 100,500개 계정을 만드는 것을 불가능하게 만들고 싶습니다. 
진짜 스팸러들은 보호 조치 따위는 하지 않습니다(그들은 XRumer나 신경망 소프트웨어를 사용하니까요). 하지만 “나는 로봇이 아닙니다” 같은 가장 단순한 캡차가 사용자 동작을 분석하기 때문에 가장 잘 작동한다고 생각합니다.
하지만 손으로 자는 스캠머에 대한 메시지는 웃겼습니다. 아이들은 그럴 수 있겠지만, 진짜 스팸러들은 대량으로 처리하니까요.
사람이 수천 개의 계정을 수동으로 만드는 상상을 할 수 없지만, 설령 그렇게 하더라도 캡차 10번만 하면 미쳐 버릴 겁니다. 
특히 타이머가 있는 우스운 중국식 캡차라면 더더욱요. 
인간 스팸러에 대한 또 다른 훌륭한 보호 수단은 캔버스(canvas)를 통한 브라우저 지문입니다.