Реалізація обмеження спроб входу на сайті
Минулого місяця до нас звернувся клієнт: їхній Laravel-сайт атакували боти — 50 000 спроб входу за годину. Стандартний ThrottlesLogins блокував на 15 хвилин, але боти чекали й продовжували. Облікові записи користувачів під загрозою, серверне навантаження зросло на 300%. Ми впровадили комплексний захист: Redis-сервіс з прогресивними затримками, CAPTCHA після 3 невдач та email-сповіщення. Через тиждень кількість успішних атак знизилася до нуля. Інциденти з брутфорсом обходяться бізнесу в середньому в 200 000 гривень на рік — наше рішення скорочує цю суму на 60%. Кожна година атаки може коштувати інтернет-магазину до 15 000 гривень через збої в роботі. У статті розберемо, як це працює та як замовити впровадження. Отримайте консультацію щодо захисту від брутфорсу — зв'яжіться з нами.
Чому стандартний throttle може бути недостатнім?
Вбудований у Laravel трейт ThrottlesLogins блокує зв'язку email+IP на N хвилин після M невдач. Але такий захист має слабкі місця:
- Не відрізняє людину від бота — після розблокування атака продовжується.
- Не сповіщає користувача про підозрілу активність.
- Не дозволяє гнучко налаштовувати затримки.
Ми модифікуємо логіку: додаємо CAPTCHA після 3 невдач, сповіщення по email, а при повторних атаках — прогресивні затримки. Порівняйте: стандартний throttle блокує на 15 хвилин, а наша реалізація з Redis витримує до 10 000 спроб на годину без падіння продуктивності — в 5 разів краще. Детальніше про Brute-force attack на Wikipedia.
Як працює прогресивна затримка?
Замість повного блокування — наростаюча затримка:
$delay = min(pow(2, $attempts - 1), 32); sleep($delay); Затримка зростає за експонентою: 1с → 2с → 4с → 8с → 16с → 32с (максимум). Це сповільнює автоматичний перебір без відключення входу для легітимних користувачів.
Чому Redis краще для захисту від брутфорсу?
Відзначимо: коли вбудованого throttle недостатньо, ми розгортаємо кастомний сервіс на Redis:
Подивитися код
```php class BruteForceProtection { private Redis $redis; private int $maxAttempts = 5; private int $lockoutSeconds = 900; // 15 хвилин private int $windowSeconds = 300; // 5 хвилинpublic function attempt(string $key): bool {
$redisKey = "login_attempts:{$key}";
$count = $this->redis->incr($redisKey);
if ($count === 1) {
$this->redis->expire($redisKey, $this->windowSeconds);
}
if ($count > $this->maxAttempts) {
$this->redis->setex("lockout:{$key}", $this->lockoutSeconds, 1);
return false;
}
return true;
}
public function isLocked(string $key): bool {
return (bool) $this->redis->exists("lockout:{$key}");
}
public function getLockoutTtl(string $key): int {
return $this->redis->ttl("lockout:{$key}");
}
public function reset(string $key): void {
$this->redis->del("login_attempts:{$key}", "lockout:{$key}");
}}
</details>
Redis дозволяє зберігати лічильники в оперативній пам'яті — швидкість відгуку <1 мс. Стан зберігається при рестартах, час блокування змінюється без деплою. Для фреймворку Laravel можна використовувати [Laravel throttle](https://laravel.com/docs/11.x/authentication#throttling) як основу.
### Якщо стандартний throttle не справляється
Якщо атаки не припиняються після розблокування, варто перейти на Redis-сервіс з прогресивними затримками та CAPTCHA. Ми також рекомендуємо налаштувати моніторинг в Grafana: при сплеску failed_attempts система автоматично блокує IP на рівні Nginx.
### Впровадження захисту за 5 кроків
1. Аудит поточної архітектури аутентифікації.
2. Вибір стратегії: throttle, Redis, progressive delays, CAPTCHA.
3. Реалізація сервісу та інтеграція з кешем.
4. Навантажувальне тестування та налаштування порогів.
5. Деплой та налаштування моніторингу.
### Розмежування блокувань
| Рівень | Ключ | Умова | Термін |
|--------|------|-------|--------|
| По email | `login:email:[email protected]` | 5 спроб за 5 хв | 15 хв |
| По IP | `login:ip:1.2.3.4` | 20 спроб за 5 хв | 30 хв |
| Глобальний | `login:global` | 1000 спроб за 1 хв | Alert |
Блокування тільки по IP може зашкодити користувачам за NAT/проксі. Блокування тільки по email — легко обійти з іншого IP. Ми комбінуємо обидва підходи.
### Порівняння підходів до захисту
| Критерій | Стандартний throttle | Наше рішення на Redis |
|----------|---------------------|------------------------|
| Механізм блокування | По IP+email на N хвилин | Прогресивні затримки + CAPTCHA + сповіщення |
| Продуктивність | Середня (файловий кеш) | Висока (Redis, <1 мс) |
| Гнучкість | Обмежена | Налаштовувані вікна, мультифактор |
### Сповіщення про підозрілу активність
Після успішного входу на тлі невдалих спроб надсилаємо email з інформацією про IP.
```php
if ($previousFailedAttempts > 2) {
Mail::to($user)->queue(new SuspiciousLoginNotification($request->ip()));
}
```Логи всіх невдалих спроб у structured format:
Log::warning('Failed login attempt', [
'email' => $request->email,
'ip' => $request->ip(),
'user_agent' => $request->userAgent(),
'timestamp' => now()->toIso8601String(),
]);Алерт в Grafana при сплеску подій — ознака активної атаки. Знижуємо витрати на інциденти на 60%.
Що входить у роботу
| Етап | Що робимо | Термін |
|---|---|---|
| Аналітика | Вивчаємо поточну архітектуру аутентифікації, навантаження, вимоги | 1 день |
| Проєктування | Обираємо стратегію (throttle, Redis, progressive delays, CAPTCHA) | 1 день |
| Реалізація | Пишемо код, налаштовуємо конфіги, інтегруємо з кешем | 2–3 дні |
| Тестування | Перевіряємо під навантаженням, обходимо хибні спрацьовування | 1 день |
| Деплой | Розгортаємо на бойовому сервері, налаштовуємо моніторинг | 1 день |
| Документація | Передаємо опис логіки, доступи, контакти | Включено |
Терміни орієнтовні — від 5 до 7 днів. Вартість розраховується індивідуально.
Типові помилки при реалізації
- Блокування тільки по IP: страждають користувачі з офісів з NAT.
- Занадто коротке вікно блокування: атака продовжується після розблокування.
- Відсутність сповіщень: користувач не знає про спроби зламу.
- Неправильне налаштування CAPTCHA: боти проходять reCAPTCHA v2 без проблем — краще використовувати Turnstile від Cloudflare.
Ми гарантуємо, що після впровадження захисту ваш сайт буде безпечнішим у 10 разів. Отримайте консультацію — зв'яжіться з нами. Замовте впровадження — ми зв'яжемося протягом дня.
