로그인 봇 차단: 크리덴셜 스터핑·무차별 대입 공격 방어

​

보호 설정

{
  "enabled": true,
  "breached_password_check": true,
  "policies": {
    "bots": "block",
    "stuffing": "block",
    "brute": "challenge",
    "disposable": "block",
    "vpn": "challenge",
    "travel": "block"
  }
}

​

정책

​

무차별 대입 및 잠금

• 차단: 사용자는 다시 로그인하기 전에 비밀번호를 재설정해야 합니다.
• 추가 확인: 계정이 15분 동안 잠기며, 다음 시도에는 추가 증명이 필요합니다.
• 꺼짐 또는 기록: 잠금이 적용되지 않습니다.

​

봇 점수 및 기기 신호

​

추가 확인

{
  "protection_required": true,
  "challenge": "...",
  "methods": ["passkey", "email_code"],
  "options": { "...": "WebAuthn options when a passkey is offered" },
  "expires_in": 300
}

• 사용자 이메일로 전송된 6자리 코드를 사용하는 {"challenge", "method": "email_code", "code"}, 또는
• WebAuthn 응답을 사용하는 {"challenge", "method": "passkey", "response"}.

​

유출된 비밀번호

​

공격 모드

• POST protection/attack-mode/에 {"duration_hours": 1}(또는 6 또는 24)을 담아 요청하면 201을 반환합니다.
• DELETE protection/attack-mode/는 공격 모드를 조기에 종료합니다. 지정된 기간이 지나면 자동으로 종료되기도 합니다.

• 모든 가입과 로그인은 패스키 추가 확인을 통과해야 합니다. 이메일 코드는 허용되지 않습니다. 새로 가입하는 사용자와 패스키가 없는 사용자는 공격 모드가 종료될 때까지 완료할 수 없습니다.
• VPN, Tor 또는 데이터센터 네트워크에서의 가입은 차단됩니다.

​

속도 제한

​

이벤트

​

테스트