Le SSO utilise-t-il des adresses IP filtrées pour bloquer les inscriptions ?

Soutien SSO
1

Je pense connaître la réponse à cette question, mais je voulais confirmer qu’il s’agit d’un comportement attendu et non d’un bug (je pense que c’est attendu).

Version courte : notre site utilise SSO. Le site principal gère l’inscription et autorise un compte dans Discourse via SSO. Nous avons veillé à transmettre l’adresse IP de l’utilisateur dans notre configuration, ce que nous pouvons confirmer en consultant la page d’administration de chaque utilisateur. Cependant, lorsque nous ajoutons une adresse IP à la liste des adresses bloquées dans « Adresses IP filtrées », cela ne bloque pas les futures tentatives de création ou d’autorisation de compte.

Mon hypothèse est que SSO contourne cette vérification. Est-ce une affirmation correcte et est-ce le comportement attendu ?

Contexte :
La raison pour laquelle je pose cette question est que notre équipe de modération effectue actuellement un travail supplémentaire en s’assurant que les adresses IP des comptes extrêmement perturbateurs ou abusifs soient ajoutées à la liste des blocages, mais ils ont remarqué que cela ne semble pas faire de différence. Par conséquent, ils souhaitent que j’investigue s’ils doivent continuer à effectuer ces étapes ou s’ils peuvent simplement les ignorer (au cas où la liste des adresses IP filtrées ne servirait à rien dans les configurations SSO).

2

Si le SSO contrôle qui se connecte à votre site, alors Discourse ne le fait pas et ne le peut pas. Je suis presque certain qu’il n’y a aucun avantage à bloquer les adresses IP côté Discourse, car un autre serveur gère les connexions.

3

Oui, c’est aussi mon avis et ma perception (c’est pourquoi, pour moi, c’est normal).

4

Je viens de tester cela sur mon propre site. Après avoir ajouté mon adresse IP à la liste des adresses IP filtrées et défini son action sur « Bloquer », les utilisateurs ne peuvent pas créer de nouveaux comptes depuis cette adresse IP lors de la connexion via SSO. C’est un comportement conçu ainsi. Vous pouvez voir où cela se produit dans le code ici : discourse/app/controllers/session_controller.rb at main · discourse/discourse · GitHub.

5

Intéressant… Nous avons bel et bien un compte récent dont l’adresse IP d’inscription a été bloquée le 20 août, mais qui a néanmoins réussi à créer un compte le 15 septembre.

Modifié :
Mais j’ai également trouvé ceci dans les journaux, ce qui semble indiquer que cela fonctionne occasionnellement ?

Journal SSO détaillé : L'adresse IP est bloquée [ip_address_redacted]

add_groups :
admin :
modérateur :
avatar_force_update :
...
6

Peut-être utilisaient-ils un VPN, ou étaient-ils sur un autre ordinateur ou un autre appareil mobile ?

7

Avec cet écart de temps, ils n’ont probablement même pas remarqué qu’ils contournaient un blocage d’adresse IP.

8

Ah, je pense comprendre ce qui se passe. Nous avons un champ SSO personnalisé nommé « IP d’inscription », qui affiche clairement l’adresse IP bloquée, mais l’« Dernière IP » répertoriée dans Discourse est différente. Mon hypothèse, qui n’est qu’une supposition, pourrait expliquer l’utilisation d’un VPN, mais la raison pour laquelle notre champ d’inscription a reçu l’adresse bloquée alors que Discourse en a reçu une différente m’échappe.