Per
Eu apertar as regras para que, no pior cenário, um usuário possa obter apenas 6 redefinições por dia. Isso deve limitar os e-mails em certa medida.
Também segui o conselho de @riking aqui e respeitamos e-mails filtrados, então, se você bloquear um IP como administrador, esse IP não poderá mais participar dessa brincadeira.
Uma grande omissão aqui, @riking, que poderia ajudar um pouco na automedicação, é que o e-mail de “redefinição de senha” não inclui o endereço IP da pessoa que o iniciou:
@codinghorror, o que você acha de adicionar o endereço IP do iniciante nos e-mails de definição de senha (podemos até escondê-lo um pouco)? Isso permitiria uma automedicação muito melhor.
Jane é atacada
Jane notifica o administrador do site que 12.12.12.12 continua redefinindo senhas
Administrador bloqueia 12.12.12.12
As pessoas têm acesso a muitos IPs, então isso ainda pode ser um jogo de gato e rato, mas pelo menos é melhor do que era e os limites estão mais rigorosos.
O Facebook usa esse truque, que eu apoio a implementação:
Isso permite que evitem incluir endereços IP no e-mail; eles apenas rastream do lado do servidor e o link contém um ID no banco de dados. Isso significa que pode se tornar uma operação de um clique para bloquear um abusador.
Para contexto, o Facebook exige e-mail para redefinição de senha (eles nem mesmo têm redefinição de senha no sentido tradicional; é simplesmente login via e-mail)