[t.....k]

#programowanie #webdev #komunikacjaczlowiekczlowiek

jakiś czas temu miałem zadanie od klienta aby uniemożliwić ataki brute-force na formularz logowania, zaproponowałem reCAPTCHA, klient się podjarał tematem i powiedział że mu się to podoba

podczas oddania taska klient stwierdza że mu to nie działa, bo za każdym razem każe mu rozwiązywać te puzzle itp. tłumaczę mu że to pewnie wina jego komputera lub połączenia internetowego z którego korzysta oraz że "u mnie działa" i u każdego innego też (bo testy wewnętrzne się odbyły!), u jego klientów też na pewno będzie działać, o ile nie są połączeni do botnetu jak on xD

dodam że z klientem mój zespół był oddzielony przez wielki ocean, czyli klient zobaczył funkcjonalność poprzez screenshare

skończyło się to tak że funkcjonalność została odrzucona a klient chyba nadal boryka się z tym problemem

mirki jak radzicie sobie w sytuacjach takich jak ta i podobnych? czy jest to sytuacja bez wyjścia?

[A.....3]

@tlaziuk: Trzeba było na chwilę to wyłączyć żeby mu działało :)

[blackredwhite]

@tlaziuk: invisible recaptcha moze ?

[t.....k]

@blackredwhite ło, bajer, nie wiedziałem że takie coś istnieje, ale opisana sytuacja miała miejsce na prawdę jakiś czas temu, chyba nie było takich rzeczy :D

[cebuIak]

@blackredwhite: invisible reCaptcha też by wyświetlała mu te puzzle, różnica jest jedynie taka pomiędzy tym checkboxem "Nie jestem robotem" że wywołujesz walidację po swojej stronie np. w JS (zamiast eventa który odpalił by to po kliknięciu checkboxa). Jeśli Google uzna że jestes podejrzany to każe rozwiązać Ci swoje puzzle i nie przeskoczysz tematu, jak poprawnie rozwiążesz kilka plansz to Google wywoła Twojego callbacka co jest jednoznaczne z tym że wszystko

[zwierzak40]

@tlaziuk: @blackredwhite: Ale invisible recaptcha pozwala tylko wyeliminować kliknięcie "nie jestem robotem" (poprzez "połączenie" akcji wywołanej tym przyciskiem z Twoim formularzem, tj. przyciskiem "Wyślij" czy tam "Zapisz). Jeżeli Google uznaje dany komputer/IP/fragment sieci za niebezpieczny to nawet przy Invisible Recaptcha nadal będzie wymagane rozwiązanie zagadki.

[getin]

to zrób coś w stylu 2+10 podaj wynik

[Jurigag]

@getin: przecież to każdy bot obejdzie XD

[poh]

@tlaziuk: dodaj do użytkowników pole "lastLoginAttempt" i przy np. 3 błędnych i "szybkich" próbach, studź logowanie?

[t.....k]

@poh @getin dobra, chyba nie każdy zrozumiał pytanie, a brzmiało ono:

jak postępować z klientem który jest tak wyjątkowy jak ten który opisałem?

[Jare_K]

@tlaziuk: postępować zgodnie z umową.