الانتقال إلى المحتوى الرئيسي
المصادقة ميزة جديدة. الحماية معطّلة إلى أن تفعّلها. تُطبَّق دائمًا حدود المعدل والحدود القصوى لمحاولات استخدام الرموز.
تعمل الحماية من الروبوتات على كل عملية تسجيل، وتسجيل دخول، وإعادة تعيين لكلمة المرور. تفحص المحاولة وفق ست سياسات. لكل سياسة وضع:

​
إعداد الحماية

اقرأ الإعدادات وعدّلها باستخدام GET وPATCH على protection/ في واجهة برمجة تطبيقات إدارة المصادقة الخاصة بتطبيقك، أو من وحدة التحكم.
قيمتا enabled وbreached_password_check هما false افتراضيًا. تصبح الأوضاع المذكورة أعلاه هي الإعدادات الافتراضية بعد تفعيل الحماية.

​
السياسات

تستخدم سياستا vpn وtravel تحليل عنوان IP من Didit. إذا كان هذا الاستعلام غير متاح، تستمر المحاولة؛ ولا يفشل تسجيل الدخول بسببه أبدًا. يتحدّث موقع travel فقط بعد اكتمال تسجيل الدخول.

​
القوة الغاشمة والقفل

يحدد وضع brute ما يحدث بعد 5 محاولات فاشلة:
  • حظر: يجب على الشخص إعادة تعيين كلمة مروره قبل أن يتمكن من تسجيل الدخول مرة أخرى.
  • تحدٍّ: يُقفل الحساب لمدة 15 دقيقة، وتتطلب المحاولة التالية إثباتًا إضافيًا.
  • غير مُفعّل أو تسجيل: لا يُقفل الحساب.
تبقى إعادة تعيين كلمة المرور متاحة بعد حظر القوة الغاشمة، وتُلغي إعادة التعيين القفل. ويمكن لفريقك أيضًا فك قفل الحساب من وحدة التحكم. إذا لم تحفظ إعدادات الحماية من قبل، فينطبق قاعدة أبسط: 5 كلمات مرور خاطئة تقفل الحساب لمدة 15 دقيقة.

​
درجة الروبوت وإشارات الجهاز

أرسل إشارات الجهاز في استدعاءات وقت التشغيل باستخدام هذه الرؤوس. تُرسلها الصفحات المستضافة نيابةً عنك. هذه الإشارات سياق لاتخاذ القرار، وليست دليلًا على الهوية. وتُرسل أيضًا مع كل حدث تسجيل دخول، حيث يمكن للقواعد قراءة event.device.bot_score.
AUTOMATION_FRAMEWORK_DETECTED فحص مختلف. وهو تحذير تحليل الجهاز وعنوان IP في جلسات التحقق، ويُطلق عندما يُبلغ SDK التحقق عن إطار أتمتة للمتصفح. لا يعمل هذا الفحص عند تسجيل الدخول. أما عند تسجيل الدخول، فتُكتشف الأتمتة من خلال سياسة bots أعلاه.

​
التحديات

تُعيد المحاولة التي خضعت لتحدٍّ هذا الرد بدلًا من رمز تسجيل الدخول:
أكمله باستخدام POST protection/complete/:
  • {"challenge", "method": "email_code", "code"} مع الرمز المكوّن من 6 أرقام المُرسَل إلى بريد الشخص الإلكتروني، أو
  • {"challenge", "method": "passkey", "response"} مع استجابة WebAuthn.
لديك 5 محاولات خلال 5 دقائق. إذا لم يكن لدى الشخص إثبات متاح، يعيد الاستدعاء 403 {"error": "protection_factor_unavailable"}.

​
كلمات المرور المسرّبة

مع breached_password_check: true، يتحقق Didit من كلمات المرور الجديدة وكلمات مرور إعادة التعيين مقابل كلمات المرور المسرّبة المعروفة. لا تُرسل كلمة المرور نفسها إلى أي جهة. تُرفض كلمة المرور المسرّبة برمز password_breached. عند تسجيل الدخول، تُحسب كلمة المرور المسرّبة كمطابقة لسياسة stuffing. إذا كان الفحص غير متاح، تُقبل كلمة المرور.

​
وضع الهجوم

فعّل وضع الهجوم أثناء هجوم نشط:
  • POST protection/attack-mode/ مع {"duration_hours": 1} (أو 6 أو 24) يعيد 201.
  • DELETE protection/attack-mode/ ينهيه مبكرًا. وينتهي أيضًا تلقائيًا بعد المدة المحددة.
أثناء تفعيل وضع الهجوم:
  • يجب أن تجتاز كل عملية تسجيل وتسجيل دخول تحدي مفتاح المرور. لا يُقبل رمز البريد الإلكتروني. ولا يمكن للتسجيلات الجديدة والأشخاص الذين لا يملكون مفتاح مرور إكمال العملية حتى ينتهي وضع الهجوم.
  • تُحظر عملية التسجيل القادمة من شبكة VPN أو Tor أو مركز بيانات.

​
حدود المعدل

يُقيَّد كل مسار من مسارات وقت التشغيل حسب عنوان IP، لكل تطبيق: عند تجاوز الحد، يعيد الاستدعاء 429. التزم بالرأس Retry-After عند إرساله. تُقيَّد محاولات تسجيل الدخول أيضًا في الدقيقة: 60 لكل عنوان IP، و15 لكل حساب، و30 لكل جهاز، و3,000 لكل تطبيق، و20 طلب رمز SMS أو WhatsApp لكل بادئة رقم هاتف. ولتحديثات token حدّها الخاص على مستوى التطبيق، 6,000 في الدقيقة، لذلك لا تستهلك عمليات تحديث الرموز محاولات تسجيل الدخول الخاصة بك.

​
الأحداث

يُسجَّل كل قرار كـحدث مصادقة: risk_logged وattempt_challenged وattempt_blocked وchallenge_passed وchallenge_failed وattack_mode_started وattack_mode_ended. يُظهر الحدث السياسة التي تطابقت.

​
الاختبار

في تطبيق داخل البيئة التجريبية، اختبر كل وضع تفعّله: محاولة محظورة، وتحدٍّ ناجح وآخر فاشل، وقفل وإعادة تعيينه، ووضع الهجوم مفعّلًا ومعطّلًا. اجعل رسائل الخطأ عامة في واجهتك حتى لا تكشف ما إذا كان الحساب موجودًا.
آخر تعديل في ٧ نوفمبر ٢٠٢٦