php - PHP メールアクティベーション - 悪用を避けるには?

Question

メールの有効化を必要とするアカウントシステムの悪用者をどのように回避しますか? 悪用者は、基本的にアカウントアクティベーションシステムを乗っ取って、誰か (または複数の誰か) の電子メールをスパムすることができます。

最も明白な解決策は、おそらく、1 時間または 1 日あたり最大 X 回のリマインダーの制限を設定することです。しかし: これは、悪用していないユーザーに疑いの余地を与えるものではありません。ブルートフォース制限を設定する以外に、より良い解決策はありますか?

score 3 · Accepted Answer

Y時間/日あたりXリマインダーの制限を設定することは、間違いなく行うべきことです:

3 通のメールがユーザーに届かない場合、4 通目のメールが届く可能性はかなり低いです...
(そして、2 通または 3 通のメールはすでにかなり寛大です。ほとんどの場合、1 日 1 通のメールで十分だと思います。状況）

score 1 · Accepted Answer

悪用者は基本的に、アカウントアクティベーションシステムを乗っ取って、誰か（または複数の誰か）の電子メールをスパムする可能性があります。

おそらく、彼らは実際にそのような電子メールに自分のコンテンツを入れることはできませんか？自動アクティベーションメールだからですか？これは、「一般的な迷惑行為」を除けば、スパムを送信できる場合のように、人々がそれを悪用するインセンティブが実際にはないことを意味するはずです。

フラッドコントロール（つまり、1時間あたりのIPアドレスごとのサインアップ試行回数を制限する）は、トラブルメーカーを制限するための良い方法です。その後、シリアル違反者を特定し、そのIPアドレスをブロックします。

ブルートフォース制限を設定する以外に、より良い解決策はありますか？

制限があるだけでなく、より寛大な数の「猶予」試行を行うことができるため、この数の猶予試行が完了するまで制限は適用されません。

たとえば、IPアドレスごとに1日あたり5を制限することができますが、この制限を適用するのは、誰かが1日に20を超えた場合のみです。「異常な」使用法である/そうでないものに基づいて数値を調整します。

2 に答える 2