Existe alguma forma de limitar o envio de formulários POST por terceiros ao meu site? Negar todos, tipo existe o cURL que faz isso como um robo, mas eu queria inibir, tem como?
Quando digo terceiros digo vindos de outro site nao sendo o meu.
Existe alguma forma de limitar o envio de formulários POST por terceiros ao meu site? Negar todos, tipo existe o cURL que faz isso como um robo, mas eu queria inibir, tem como?
Quando digo terceiros digo vindos de outro site nao sendo o meu.
Para qualquer medida sua, pense em duas economias: Primeiro, custo de não fazer nada (alto para um banco, baixo para um blog) vs. custo da medida (desenvolvimento, manutenção, atrito para usuários legítimos). Segundo, medidas aumentam o custo do atacante mais do que o custo para você e seus usuários. Segurança nunca é absoluta e sempre um compromisso.
Formulários são abusados por flooding de forma manual ou automatizada. Qualquer ataque será o mais parecido possível a uma solicitação legítima - o esforço do atacante dependerá da recompensa.
Lembre de que HTTP é stateless
, sem estado. A princípio, cada chamada você recebe sem histórico prévio e precisa comprovar que já aprovou o emitente antes:
POST
de uma sessão que existe no servidor - terceiros têm que advinhar ou roubar o ID de uma sessão ativa no servidor)1Tudo relacionado ao IP pode ser enganado por usar vários IPs, VPNs ou adquirir um IP novo.
Provar que o usuário foi autenticado previamente (ele fornece um cookie ou um attributo POST de uma sessão que existe no servidor - mais seguro pois terceiros têm que advinhar ou roubar o ID de uma sessão ativa no servidor)
tem como falar mais sobre?
session_start()
em qualquer request, e poderá usar $_SESSION
. PHP cuidará do resto para você - para usar cookies, coloca session.use_cookies = on
and session.use_only_cookies = on
na php.ini. Veja que isso não resolve o problema de quem pode obter uma session! Normalmente, isso acontece após o usuário efetuar login.
Algo efetivo é verificar o "dns reverse lookup". No seu provedor de hospedagem, configure ou peça para que seja configurado o "dns reverse lookup" ou "dns reverso" em português.
Então sempre que receber um request (POST, GET), verifique o "dns reverse lookup" pelo IP.
No PHP há funções rede como gethostbyname, gethostbyaddr e dns_get_record com as quais poderá extrair os dados para auxiliar na "autenticação".
Note que o "dns reverse lookup" também pode ser burlado, portanto não confie 100% como se fosse uma solução absoluta. No entanto, é muito mais seguro do que verificar somente o HTTP_REFERER. O HTTP_REFERER é facimente manipulado, inclusive pelo CURL tem opção para tal. Mas o dns reverso requer mudança na configuração do servidor que submete os dados.
Podemos dizer que 99.999% dos bots não tem condições para mudar o dns reverso dos servidores que utilizam porque, logisticamente, os bots tem como alvo milhões de servidores e precisariam ter modificar milhões de vezes o dns reverso dos servidores pelos quais executam seus scripts. É algo inviável devido ao alto custo.
Exemplo, se o seu site tem o endereço www.seu.site, defina o dns reverso para "www.seu.site". Em servidor de hospedagem compartilhado normalmente não permite-se customizar, mas vc pode pedir para a empresa que administra o servidor, que ao menos configure o dns reverso para que seja retornado um nome válido. Geralmente fica algo como "endereço.provedor.hopedagem".