Você pode fazer com que o Apache bloqueie acessos externos. Além de poder usar CSRF (Cross-site request forgery) dentro da sua/suas aplicações para dizer quais requisições são realmente confiáveis, que normalmente é inserida através de um input hidden com um token, e assim evitar um tipo de ataque por bot.
- [13:01:01]192.168.1.1 - Envia uma requisição para o servidor.
- [13:01:01]Servidor pergunta: Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
- [13:01:02]192.168.1.1 reponderesponde: Uma vez só.
- [13:01:03] Servidor recebe e responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
- //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele
- [13:01:03]192.168.1.1 - Envia outra requisição para o servidor.
- [13:01:04]Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
- [13:01:05]192.168.1.1 reponderesponde: Uma vez só. :D
- [13:01:06] Servidor recebe e responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
- (E assim pode seguir por dias, semanas, meses ou até o servidor cair)
NãoObservação: não posso ter certificado digital pago na minha intranet?
Segundo a Godaddy e a RapidSSL, não é mais possível emitir certificados SSL para uso em intranet, desde 1º de novembro de 2015, o IP deve constar no WhoIs. Qualquer dúvida, visite esse link que tem a observação.
Conclusão
Espero ter te ajudado e quero deixar claro que há outras maneiras de atacar seu formulário, mas implementar essas questões tornará seus formulários um pouco mais seguro. Lembrando que não há como garantir 100% de segurança, por isso, esteja sempre procurando modos de atacar seu sistema. Além disso há ferramentas bem interessantes para realizar testes em aplicações web.
Abraço e boa sorte no desenvolvimento das suas aplicações!