From b9654d01c06acf3de42fc3b494b39f6d33be49ce Mon Sep 17 00:00:00 2001 From: bot-backend Date: Thu, 27 Aug 2026 13:26:44 +0300 Subject: [PATCH] =?UTF-8?q?fix(tradein/auth):=20=D0=BB=D0=B8=D0=BC=D0=B8?= =?UTF-8?q?=D1=82=20=D0=BF=D0=BE=D0=BF=D1=8B=D1=82=D0=BE=D0=BA=20=D0=B2?= =?UTF-8?q?=D1=85=D0=BE=D0=B4=D0=B0=205=20=E2=86=92=2020=20=D0=BD=D0=B0=20?= =?UTF-8?q?=D0=B0=D0=B4=D1=80=D0=B5=D1=81=20=E2=80=94=20=D0=BE=D1=84=D0=B8?= =?UTF-8?q?=D1=81=20=D0=B7=D0=B0=20=D0=BE=D0=B4=D0=BD=D0=B8=D0=BC=20NAT=20?= =?UTF-8?q?=D0=B7=D0=B0=D0=BF=D0=B8=D1=80=D0=B0=D0=BB=20=D1=81=D0=B0=D0=BC?= =?UTF-8?q?=20=D1=81=D0=B5=D0=B1=D1=8F?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 27.08, инцидент с пилотом «Практика». После починки доступа к базе auth сотрудники начали получать «Слишком много попыток» — при том, что многие ещё вообще не пробовали войти. Причина в форме лимита, а не в его величине. Пилот — ОФИС: все выходят из-под одного NAT, и пять попыток за пять минут делились на всю компанию сразу. Одного человека, перепутавшего пароль, хватало, чтобы запереть остальных. Защита от перебора не ослабевает. Настоящий предохранитель — счёт по ЛОГИНУ (login_username_fail_threshold, 20 за час), он не тронут. Лимит по адресу существует против всплеска с одной машины, а не против офиса, и двадцать попыток за пять минут эту роль выполняют. --- tradein-mvp/backend/app/core/config.py | 11 ++++++++++- 1 file changed, 10 insertions(+), 1 deletion(-) diff --git a/tradein-mvp/backend/app/core/config.py b/tradein-mvp/backend/app/core/config.py index f3588104..981eda1f 100644 --- a/tradein-mvp/backend/app/core/config.py +++ b/tradein-mvp/backend/app/core/config.py @@ -105,7 +105,16 @@ class Settings(BaseSettings): auth_mode: Literal["dual", "db_only"] = Field(default="dual", validation_alias="AUTH_MODE") # Rate-limit на /login: не более login_rate_limit попыток за # login_rate_limit_window_s секунд на ключ (обычно IP или username). - login_rate_limit: int = Field(default=5, validation_alias="LOGIN_RATE_LIMIT") + # + # 27.08: было 5. Пилот «Практика» — ОФИС, все сотрудники выходят из-под + # одного NAT, то есть пять попыток делились на всю компанию сразу. Хватило + # одного человека, перепутавшего пароль, чтобы запереть остальных: «Слишком + # много попыток» получали те, кто вообще ещё не пробовал войти. + # + # Защита от перебора при этом не ослабевает: настоящий предохранитель — + # login_username_fail_threshold (счёт по ЛОГИНУ, 20 за час), и он не тронут. + # Лимит по адресу нужен против всплеска с одной машины, а не против офиса. + login_rate_limit: int = Field(default=20, validation_alias="LOGIN_RATE_LIMIT") login_rate_limit_window_s: int = Field( default=300, validation_alias="LOGIN_RATE_LIMIT_WINDOW_S" ) -- 2.45.3