Suite à
J’ai resserré les règles afin que, dans le pire des cas, un utilisateur ne puisse obtenir que 6 réinitialisations par jour. Cela devrait limiter les e-mails dans une certaine mesure.
J’ai également suivi le conseil de @riking ici : nous respectons désormais les adresses e-mail filtrées. Ainsi, si vous bloquez une IP en tant qu’administrateur, cette IP ne peut plus participer à cette « fête ».
Une omission majeure ici, @riking, qui pourrait aider à l’autogestion un peu : l’e-mail de « réinitialisation du mot de passe » n’inclut pas l’adresse IP de la personne qui l’a initiée :
@codinghorror, que pensez-vous d’ajouter l’adresse IP de l’initiateur dans les e-mails de réinitialisation du mot de passe (nous pourrions même la masquer un peu) ? Cela permettrait une bien meilleure autogestion.
Jane est attaquée
Jane notifie l'administrateur du site que 12.12.12.12 continue de réinitialiser les mots de passe
L'administrateur bloque 12.12.12.12
Les gens ont accès à de nombreuses adresses IP, donc cela peut encore devenir un jeu du chat et de la souris, mais c’est au moins mieux qu’avant et les limites sont plus strictes.
Facebook utilise cette astuce, que je soutiens en partie d’implémenter :
Cela leur permet d’éviter d’inclure les adresses IP dans les e-mails ; ils les suivent simplement côté serveur et le lien contient un identifiant dans la base de données. Cela signifie donc que cela peut devenir une opération en un clic pour bloquer un abus.
Pour contexte, Facebook exige une adresse e-mail pour la réinitialisation du mot de passe (ils n’ont même pas de réinitialisation de mot de passe au sens traditionnel ; il s’agit simplement d’une connexion via e-mail).