Brute force tespit ve auto-block

Bir saldırgan bir dakikada çok sayıda parola deneyebilir. Bu nedenle ePulz.io iki korumayı birleştirir: sonraki denemeleri geçici olarak reddeden bir oturum açma deneme sınırı ve tek bir IP adresinden şüpheli derecede çok sayıda başarısız deneme geldiğinde yönetici için bir uyarı. Her iki koruma da her hesap için otomatik olarak etkindir, hiçbir şey ayarlamanız gerekmez.

Oturum açma deneme sınırı

Oturum açma formu iki bağımsız sınırla korunur. Bunlar aşıldığında sunucu bir HTTP 429 yanıtı döndürür ve sonraki denemeleri geçici olarak reddeder:

• IP adresine göre: tek bir IP'den 15 dakikada en fazla 20 oturum açma denemesi. Aşıldığında bu adresten gelen sonraki denemeler geçici olarak reddedilir.
• Hesaba (e-posta) göre: aynı e-posta için 30 dakikada en fazla 10 deneme, saldırı birden çok IP adresinden gelse bile. Bu sınır, belirli bir hesaba yönelik dağıtık bir saldırıyı önler.

Başarılı bir oturum açmadan sonra ilgili e-postanın sayacı sıfırlanır.

Yönetici için uyarı

Sınırlardan bağımsız olarak şu geçerlidir: tek bir IP adresinden 15 dakika içinde 10 veya daha fazla başarısız deneme gelirse, yönetici Telegram üzerinden bir uyarı alır (aynı IP için saatte en fazla bir kez tekrarlanır). Bu, hedefli bir saldırının erken tespitine yarar.

Sınır aşıldığında kullanıcının gördüğü

Sınır aşıldığında, çok fazla deneme yapıldığını ve belirli bir dakika beklemeniz gerektiğini bildiren bir uyarı görünür. "Parolamı unuttum" bağlantısı kullanılabilir kalır, böylece meşru bir kullanıcının hesabına dönmek için her zaman bir yolu olur - e-posta ile parola kurtarma, geçici kısıtlama sırasında da çalışır.

Oturum açma genel görünümü (login audit)

Oturum açma denemelerinin ayrıntılı bir genel görünümü yalnızca yöneticiye yönetim panelinde sunulur (Yönetim -> Oturum açmalar, /admin/login-audit). Hem başarılı hem başarısız olmak üzere en fazla 500 en yeni denemeyi gösterir. Her kayıtta şunları görürsünüz:

• zaman, e-posta, ülke bayraklı IP adresi ve tarayıcı bilgisi,
• durum (OK / FAIL) ve neden: ok, yanlış parola (invalid_credentials), sınır aşıldı (rate_limited, rate_limited_email), doğrulanmamış e-posta (unverified),
• en çok başarısız denemenin geldiği en üst IP adreslerini içeren ayrı bir bölüm.

Listedeki bir IP'ye tıklayarak aynı adresten gelen tüm denemeleri filtrelersiniz.

Hesap güvenliği için yapabilecekleriniz

Koruma otomatik olarak çalışır, ne ayarlamanız ne de ona tepki vermeniz gerekir. Daha fazla güvence için iki faktörlü kimlik doğrulamayı (2FA) etkinleştirmenizi ve zaman zaman Ayarlar -> Hesap bölümündeki güvenilir cihazları kontrol etmenizi öneririz.

Yanlışlıkla kendinizi kilitlediyseniz

• En basiti belirtilen süreyi beklemektir - kısıtlama, pencere geçtikten sonra kendiliğinden kalkar.
• Hemen erişime ihtiyacınız varsa Parolamı unuttum seçeneğini kullanın. E-posta ile parola kurtarma, geçici kısıtlama sırasında da çalışır.
• Kalıcı bir sorunda destek üzerinden bize ulaşın - kimlik doğrulamasından sonra yardımcı oluruz.