Protecció contra bots en l'inici de sessió

L’autenticació és nova. La protecció està desactivada fins que l’activis. Els límits de freqüència i els intents limitats de codi sempre s’apliquen.

La protecció contra bots s’executa en cada registre, inici de sessió i restabliment de contrasenya. Comprova l’intent amb sis polítiques. Cada política té un mode:

Mode	Què passa
Desactivat	La política no es comprova.
Registra	L’intent continua. Un esdeveniment `risk_logged` registra la coincidència.
Repte	La persona ha de superar una prova addicional abans que continuï l’intent.
Bloqueja	L’intent falla amb `403 {"error": "attempt_blocked"}`.

Configura la protecció

Llegeix i canvia la configuració amb GET i PATCH sobre protection/ a l’API de gestió d’autenticació de la teva aplicació, o des de la consola.

{
  "enabled": true,
  "breached_password_check": true,
  "policies": {
    "bots": "block",
    "stuffing": "block",
    "brute": "challenge",
    "disposable": "block",
    "vpn": "challenge",
    "travel": "block"
  }
}

enabled i breached_password_check són false per defecte. Els modes anteriors són els predeterminats quan actives la protecció.

Polítiques

Política	Coincideix quan
`bots`	El client informa d’una puntuació de bot de 0,8 o superior, o l’agent d’usuari és un navegador sense interfície o automatitzat conegut.
`stuffing`	Un dispositiu o IP intenta 10 o més comptes diferents en 15 minuts, o la contrasenya és una contrasenya filtrada coneguda.
`brute`	El compte té 5 o més intents fallits. Les contrasenyes errònies i els codis de correu electrònic, telèfon i autenticador incorrectes compten.
`disposable`	Un registre utilitza un domini de correu electrònic temporal.
`vpn`	L’adreça IP pertany a una xarxa VPN, Tor o de centre de dades.
`travel`	L’inici de sessió es fa a més de 500 km de l’anterior, a més de 1.000 km/h, dins de 24 hores.

Les polítiques vpn i travel usen l’anàlisi d’IP de Didit. Si aquesta consulta no està disponible, l’intent continua; un inici de sessió mai falla per això. La ubicació per a travel s’actualitza només després d’un inici de sessió completat.

Força bruta i bloqueig

El mode brute decideix què passa després de 5 errors:

Bloqueja: la persona ha de restablir la seva contrasenya abans de poder tornar a iniciar sessió.
Repte: el compte es bloqueja durant 15 minuts, i el següent intent necessita una prova addicional.
Desactivat o Registra: no hi ha bloqueig.

El restabliment de contrasenya continua disponible després d’un bloqueig per força bruta, i un restabliment elimina el bloqueig. El teu equip també pot desbloquejar un compte des de la consola. Si mai no has desat la configuració de protecció, s’aplica una regla més simple: 5 contrasenyes incorrectes bloquegen el compte durant 15 minuts.

Puntuació de bot i senyals del dispositiu

Envia senyals del dispositiu a les crides en temps d’execució amb aquestes capçaleres. Les pàgines allotjades les envien per tu.

Capçalera	Contingut
`X-Didit-PID`	Un ID de dispositiu persistent, de 8 a 128 caràcters de `A-Z a-z 0-9 . _ : -`.
`X-Didit-FP-Hash`	Una empremta digital del dispositiu.
`X-Didit-FP-Bot-Score`	Una puntuació de bot de 0 a 1. Els valors fora d’aquest interval s’ignoren.

Aquests senyals són context per a una decisió, no una prova d’identitat. També viatgen amb cada esdeveniment d’inici de sessió, on les regles poden llegir event.device.bot_score.

AUTOMATION_FRAMEWORK_DETECTED és una comprovació diferent. És un avís d’anàlisi d’IP i dispositiu sobre sessions de verificació, que es genera quan el SDK de verificació informa d’un marc d’automatització del navegador. No s’executa en iniciar sessió. En iniciar sessió, l’automatització es detecta amb la política bots anterior.

Reptes

Un intent amb repte retorna això en lloc d’un codi d’inici de sessió:

{
  "protection_required": true,
  "challenge": "...",
  "methods": ["passkey", "email_code"],
  "options": { "...": "WebAuthn options when a passkey is offered" },
  "expires_in": 300
}

Completa’l amb POST protection/complete/:

{"challenge", "method": "email_code", "code"} amb el codi de 6 dígits enviat al correu electrònic de la persona, o
{"challenge", "method": "passkey", "response"} amb la resposta de WebAuthn.

Tens 5 intents en 5 minuts. Si la persona no té cap prova disponible, la crida retorna 403 {"error": "protection_factor_unavailable"}.

Contrasenyes filtrades

Amb breached_password_check: true, Didit comprova les contrasenyes noves i les contrasenyes utilitzades en els restabliments contra contrasenyes filtrades conegudes. La contrasenya mateixa mai s’envia enlloc. Una contrasenya filtrada es rebutja amb password_breached. En iniciar sessió, una contrasenya filtrada compta com a coincidència de stuffing. Si la comprovació no està disponible, la contrasenya s’accepta.

Mode d’atac

Activa el mode d’atac durant un atac actiu:

POST protection/attack-mode/ amb {"duration_hours": 1} (o 6 o 24) retorna 201.
DELETE protection/attack-mode/ el finalitza abans d’hora. També finalitza automàticament quan acaba la durada.

Mentre el mode d’atac està activat:

cada registre i inici de sessió ha de superar un repte de clau d’accés. No s’accepta un codi per correu electrònic. Els nous registres i les persones sense clau d’accés no poden completar-ho fins que acabi el mode d’atac.
un registre des d’una xarxa VPN, Tor o de centre de dades es bloqueja.

Límits de freqüència

Cada ruta d’execució té un límit per IP i per aplicació:

Rutes	Per minut	Per hora
Descobriment i JWKS	1.200	12.000
API d’execució i pàgines allotjades	30	300
Codis de correu electrònic, codis de telèfon i callbacks de proveïdors	5	20

En superar el límit, la crida retorna 429. Respecta la capçalera Retry-After quan n’hi hagi una. Els intents d’inici de sessió també tenen límit per minut: 60 per IP, 15 per compte, 30 per dispositiu, 3.000 per aplicació, i 20 sol·licituds de codi per SMS o WhatsApp per prefix de número de telèfon. Les renovacions de token tenen un límit d’aplicació propi, de 6.000 per minut, perquè les renovacions mai consumeixin els teus inicis de sessió.

Esdeveniments

Cada decisió es registra com a esdeveniment d’autenticació: risk_logged, attempt_challenged, attempt_blocked, challenge_passed, challenge_failed, attack_mode_started i attack_mode_ended. L’esdeveniment mostra amb quina política ha coincidit l’intent.

Prova-ho

En una aplicació de sandbox, prova cada mode que activis: un intent bloquejat, un repte superat i un de fallit, un bloqueig i el seu restabliment, i el mode d’atac activat i desactivat. Mantén els errors genèrics a la interfície perquè no revelin si existeix un compte.

Guies

Autenticació

Model Context Protocol (MCP)

SDK web

SDK natius

SDK de servidor

Integracions

Protecció contra bots en l'inici de sessió

Configura la protecció

Polítiques

Força bruta i bloqueig

Puntuació de bot i senyals del dispositiu

Reptes

Contrasenyes filtrades

Mode d’atac

Límits de freqüència

Esdeveniments

Prova-ho

​Configura la protecció

​Polítiques

​Força bruta i bloqueig

​Puntuació de bot i senyals del dispositiu

​Reptes

​Contrasenyes filtrades

​Mode d’atac

​Límits de freqüència

​Esdeveniments

​Prova-ho

Configura la protecció

Polítiques

Força bruta i bloqueig

Puntuació de bot i senyals del dispositiu

Reptes

Contrasenyes filtrades

Mode d’atac

Límits de freqüència

Esdeveniments

Prova-ho