Según
He endurecido las reglas para que, en el peor de los casos, un usuario solo pueda obtener 6 restablecimientos al día. Esto debería limitar los correos electrónicos en cierta medida.
También seguí el consejo de @riking aquí y respetamos los correos electrónicos filtrados, por lo que si bloqueas una IP como administrador, esa IP ya no podrá participar en esta fiesta.
Una gran omisión aquí, @riking, que podría ayudar un poco en la autogestión, es que el correo electrónico de “restablecimiento de contraseña” no incluye la dirección IP de la persona que lo inició:
@codinghorror, ¿qué opinas de agregar la dirección IP del iniciador en los correos de restablecimiento de contraseña (podríamos incluso ocultarla un poco)? Esto permitiría una autogestión mucho mejor.
Jane es atacada
Jane notifica al administrador del sitio que 12.12.12.12 sigue restableciendo contraseñas
El administrador bloquea 12.12.12.12
Las personas tienen acceso a muchas direcciones IP, por lo que esto aún puede convertirse en un juego de gato y ratón, pero al menos es mejor que antes y los límites son más estrictos.
Facebook utiliza este truco, que de alguna manera apoyo implementar:
Esto les permite evitar incluir direcciones IP en el correo electrónico; simplemente lo rastrean del lado del servidor y el enlace contiene un ID en la base de datos. Esto significa que puede convertirse en una operación de un solo clic para bloquear a un abusador.
Para dar contexto, Facebook requiere correo electrónico para el restablecimiento de contraseña (ni siquiera tienen restablecimiento de contraseña en el sentido tradicional; simplemente es iniciar sesión mediante correo electrónico).