Outre l'utilisation de jetons CSRF pour les routes authentifiées dans l'ensemble de la plate-forme EngagementHQ, nous empêchons les attaques par force brute de la manière suivante :
Nous protégeons le point de terminaison de l'enregistrement contre les attaques par relecture en appliquant une limitation de débit de 60 demandes par adresse IP, par processeur. Avec les paramètres actuels, cela signifie que le nombre maximum de demandes autorisées par IP est de 120 demandes. Si nous développons nos services, le nombre de requêtes augmentera proportionnellement, mais l'objectif est toujours de prévenir les attaques par force brute.
Nous protégeons le point de connexion des tentatives de force brute en verrouillant les comptes utilisateurs après 5 tentatives infructueuses. Les verrouillages sont d'une durée de 30 minutes, sauf si les utilisateurs les déverrouillent manuellement.