حمله‌ی Brute Force یعنی امتحان‌کردن مکرر رمزهای مختلف روی یک حساب. بدون محدودیت، یک اسکریپت می‌تواند هزاران رمز را در دقیقه امتحان کند.
Rate Limiting چطور کمک می‌کند؟
با محدودکردن تعداد درخواست‌های مجاز از یک IP یا حساب در بازه‌ی زمانی مشخص (مثلاً ۵ تلاش در دقیقه)، سرعت حمله را به‌شدت کاهش می‌دهید تا عملاً غیرقابل‌استفاده شود.
کجاها باید اعمال شود؟
- صفحه‌ی ورود (Login)
- ثبت‌نام و فراموشی رمز
- ارسال OTP
- هر endpoint API که داده‌ی حساس برمی‌گرداند
یک لایه‌ی دفاعی دیگر: 2FA
حتی اگر رمز عبور با brute-force یا نشت داده لو برود، احراز هویت دومرحله‌ای مانع ورود می‌شود.
برای مسیرهای حساس محدودیت نرخ و احراز هویت چندمرحله‌ای اعمال کنید.