სიხშირის ლიმიტები ადმინ შესვლასა და პრომოკოდებზე (რატომ ტოვებს AI აგება მათ)
როგორ ხსნის lockout-ის არარსებობა პაროლისა და პრომოს brute force-ს - და რა მინიმალურ კონტროლს ვაყენებთ.
Dali
Dali არის AI agent systems სტუდია. დავითი - engineering/product, ლიანა - operations/workflow fit. Production აგენტები არსებულ tools-ში.
David Hakobyan · Dali
პირდაპირი პასუხი
timeout-ების, lockout-ებისა და 429 პასუხების გარეშე თავდამსხმელებს შეუძლიათ ადმინ პაროლებისა და პრომოკოდების მასშტაბური გადარჩევა. მინიმუმი: სიხშირის ლიმიტები, lockout, მონიტორინგი და ერთჯერადი ან შეზღუდული scope-ის პრომოები.
სწრაფი AI პროტოტიპი ხატავს ლამაზ login-სა და «პრომოკოდის» ველს. Brute force-ისგან დაცვას თითქმის არასოდეს აგენერირებს.
რას ნიშნავს ეს პრაქტიკაში
- ნებისმიერ endpoint-ს, სადაც გამოცნობა სარგებელს იძლევა (admin, promo, reset password, OTP), სჭირდება ლიმიტები.
- აღწერეთ რა ითვლება «ძალიან ხშირად» IP-ით, ანგარიშით, კოდით.
- შეამოწმეთ ფულისა და წვდომის გზები: წარმატებული brute force = სხვისი ადმინკა ან 100% ფასდაკლება.
- დატოვეთ ადამიანს საეჭვო აფეთქებების განხილვა (ალერტები, არა მხოლოდ ლოგი «დისკზე»).
როგორ გამოიყურება კარგი
- Rate limit + progressive delay / lockout
/admin/login-სა და ანალოგებზე. - პრომო: მცდელობების ლიმიტი, ერთჯერადი კოდები, ვადა, scope (ერთი SKU / ერთი user).
- 429 გასაგები ქცევით კლიენტისთვის (არა უსასრულო spinner).
- Audit log წარუმატებელ შესვლებსა და პრომოს გამოყენებაზე.
- ალერტები ანომალიაზე: ათასი მცდელობა წუთში.
- საიდუმლო გასაღებები არა კლიენტის JS-ში; stop უფლებების გაცემაზე.
როგორ გამოიყურება ცუდი
- უსასრულო POST login-ზე მთვლელის გარეშე.
- პრომოკოდები მოკლე ლექსიკონიდან ლიმიტის გარეშე (
SALE10,VIP, წლები). - «პრევიუში მუშაობს» = მზადაა რეალური ექსპლუატაციისთვის.
- ინციდენტის ადამიანთან გადაცემა არ არის (უსაფრთხოება «მოგვიანებით»).
- CAPTCHA მხოლოდ მარკეტინგის ფორმაზე, არა admin-ზე.
მინიმალური კონტროლების ნაკრები
- Per-IP და per-account ლიმიტები auth-ზე.
- Lockout N წარუმატებლობის შემდეგ (უსაფრთხო unlock პროცესით).
- Promo attempt budget + ერთჯერადობა / expiry.
- Monitoring failed auth / promo spikes.
- არა client-side «საიდუმლო» სია ვალიდური კოდებისა ბანდლში.
დაკავშირებული: საჯარო webhook და underpayment, გადახდები და საიდუმლო გასაღებები.
როგორ აწარმოებს Dali
ვამყარებთ AI აგების კრიტიკულ გზას: vibe-code rescue. დაკავშირებული: საბრძოლო აგენტები, კონტროლის წერტილები.
FAQ
არა. სწრაფი UI კარგია. საშიშია login/promo-ს გაშვება anti-abuse-ის გარეშე.