Per
Ho reso le regole più stringenti, così nel caso peggiore un utente può ottenere al massimo 6 reset al giorno. Questo dovrebbe limitare in una certa misura le email.
Ho anche seguito il consiglio di @riking e ora rispettiamo gli indirizzi email filtrati: se un amministratore blocca un IP, quell’IP non potrà più partecipare a questa “festa”.
Una grande omissione qui, @riking, che potrebbe aiutare un po’ l’autogestione, è che l’email di “reset della password” non include l’indirizzo IP della persona che l’ha avviata:
@codinghorror, cosa ne pensi di aggiungere l’indirizzo IP dell’initiatore nelle email di impostazione della password (potremmo anche nasconderlo in parte)? Questo permetterebbe un’autogestione molto più efficace.
Jane viene attaccata
Jane notifica all'amministratore del sito che 12.12.12.12 continua a resettare le password
L'amministratore blocca 12.12.12.12
Le persone hanno accesso a molti IP, quindi questo può ancora trasformarsi in un gioco del gatto e del topo, ma almeno è meglio di prima e i limiti sono più rigidi.
Facebook utilizza questo trucco, che trovo utile implementare:
Questo permette loro di evitare di includere gli indirizzi IP nelle email; tracciano tutto lato server e il link contiene un ID nel database. In questo modo, bloccare un abusatore può diventare un’operazione a un solo clic.
Per contesto, Facebook richiede l’email per il reset della password (non hanno nemmeno un reset della password nel senso tradizionale; si tratta semplicemente di accedere tramite email).