Brute force detectie en auto-block | Help en handleidingen ePulz.io

Een aanvaller kan binnen een minuut veel wachtwoorden proberen. Daarom combineert ePulz.io twee beschermingen: een limiet op het aantal inlogpogingen, die volgende pogingen tijdelijk weigert, en een melding voor de beheerder wanneer vanaf één IP-adres een verdacht groot aantal mislukte pogingen komt. Beide beschermingen staan voor elk account automatisch aan, u hoeft niets in te stellen.

Limiet op het aantal inlogpogingen

Het inlogformulier wordt beschermd door twee onafhankelijke limieten. Na overschrijding ervan geeft de server een HTTP 429-antwoord terug en weigert volgende pogingen tijdelijk:

Per IP-adres: maximaal 20 inlogpogingen per 15 minuten vanaf één IP. Na overschrijding worden volgende pogingen vanaf dit adres tijdelijk geweigerd.
Per account (e-mail): maximaal 10 pogingen per 30 minuten voor hetzelfde e-mailadres, ook wanneer de aanval van meerdere IP-adressen komt. Deze limiet voorkomt een gedistribueerde aanval op één specifiek account.

Na een geslaagde aanmelding wordt de teller voor dat e-mailadres op nul gezet.

Melding voor de beheerder

Los van de limieten geldt: als vanaf één IP-adres 10 of meer mislukte pogingen binnen 15 minuten komen, ontvangt de beheerder een melding via Telegram (hoogstens eenmaal per uur herhaald voor hetzelfde IP). Dit dient om een gerichte aanval vroegtijdig te detecteren.

Wat de gebruiker ziet bij overschrijding van de limiet

Na overschrijding van de limiet verschijnt een melding dat er te veel pogingen waren en dat u een bepaald aantal minuten moet wachten. De link "Wachtwoord vergeten" blijft beschikbaar, zodat een legitieme gebruiker altijd een weg terug naar zijn account heeft - wachtwoordherstel via e-mail werkt ook tijdens de tijdelijke beperking.

Overzicht van aanmeldingen (login audit)

Een gedetailleerd overzicht van de inlogpogingen is alleen beschikbaar voor de beheerder in het beheerderspaneel (Admin -> Aanmeldingen, /admin/login-audit). Het toont maximaal de 500 meest recente pogingen, zowel geslaagde als mislukte. Bij elk record ziet u:

de tijd, het e-mailadres, het IP-adres met landvlag en informatie over de browser,
de status (OK / FAIL) en de reden: ok, verkeerd wachtwoord (invalid_credentials), limiet overschreden (rate_limited, rate_limited_email), niet-geverifieerd e-mailadres (unverified),
een aparte sectie met de top IP-adressen waarvan de meeste mislukte pogingen komen.

Door op een IP in de lijst te klikken filtert u alle pogingen van hetzelfde adres eruit.

Wat u kunt doen voor de beveiliging van uw account

De bescherming draait automatisch, u hoeft die niet in te stellen en er ook niet op te reageren. Voor extra zekerheid raden we aan tweefactorauthenticatie (2FA) in te schakelen en af en toe de vertrouwde apparaten te controleren in de sectie Instellingen -> Account.

Als u zichzelf per ongeluk hebt buitengesloten

Het eenvoudigst is de aangegeven tijd af te wachten - de beperking valt vanzelf weg zodra het venster verstreken is.
Als u onmiddellijk toegang nodig hebt, gebruik dan Wachtwoord vergeten. Wachtwoordherstel via e-mail werkt ook tijdens de tijdelijke beperking.
Bij een aanhoudend probleem kunt u contact met ons opnemen via de support - na verificatie van uw identiteit helpen we u.