> Quais as formas mais seguras para proteger essas requisições? A forma mais segura para ***proteger os dados*** é utilizando **certificado SSL** que podem ser self-sign, no caso de intranet, ou emitido por empresa certificadora. Com certificados pagos, tenho boas experiências com o [GoDaddy][1] relacionado ao certificado SSL, mas tem também o [RapidSSL][2] que ainda não utilizei, mas o preço é bem convidativo. Para **evitar bots** indico utilização ***captchas*** *e/ou* **limitar a quantidade de requisições a cada X segundos**. Se você quiser implementar, recomendo o [reCAPTCHA][3] do Google. Realize tratamentos também nos dados armazenados para evitar [XSS (Cross-site scripting)][4], para que não seja possível utilizar tags HTML nos dados. **Bloqueie os acessos externos à sua aplicação** Você pode fazer com que o Apache bloqueie acessos externos. Além de poder usar [CSRF (Cross-site request forgery)][5] dentro da sua/suas aplicações para dizer quais requisições são realmente confiáveis e evitar um tipo de ataque por bot. **Usar session para evitar ataques é uma boa ideia?** Essa ideia pode funcionar em formulários em que o usuário precise estar logado, mas não é seguro. Por que eu digo isso? Se você já desenvolveu alguma aplicação criando HttpRequest e HttpResponse, por exemplo, já deve ter matado a charada. O que acontece é que a sessions e o cookies são armazenamentos "opcionais" (você pode desabilitar isso no seu browser, por exemplo) e são facilmente forjados por uma pessoa maliciosa, ou seja, não dá para ser controlado sempre, além disso ele pode estar *falsamente ativo*. Nota: quando digo falsamente ativa é porque a requisição pode preencher todos os requisitos normais, informando ao servidor que está ativa, mas a cada requisição ela é renovada fazendo com que a session volte a aceitar como se fosse a primeira. ***A triste história do servidor que aceita tudo que o cliente fala*** Seria mais ou menos assim, levando em consideração que a requisição 1 foi enviada às 13h01min: - [13:01:02]192.168.1.1 - Envia uma requisição para o servidor. - [13:01:01]Servidor pergunta: Quantas vezes você 192.168.1.1 tentou logar na minha aplicação? Responda pelo cabeçalho através da session. - [13:01:02]192.168.1.1 reponde: Uma vez só. - [13:01:03] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake - //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele Bem, espero que tenha ficado claro o motivo de não usar isso. Recomendo que você armazene os ips e tentativas no seu servidor, não deixe que o bandido diga que é inocente, ou deixe que ele diga, mas verifique se a informação corresponde à realidade. Mas isso não onera meu servidor? Onera um pouco, mas possibilita que você faça um bloqueio futuro do ip, descubra quem está tentando atacar, e não perca essa informação com facilidade. **Não posso ter certificado digital pago na minha *intranet*?** Segundo a *Godaddy* e a *RapidSSL*, não é mais possível emitir certificados SSL para uso em intranet, desde 1º de novembro de 2015, o IP deve constar no *WhoIs*. Qualquer dúvida, visite esse [link][6] que tem a observação. **Links que podem te ajudar** - [Site para criar facilmente][7] - [GoDaddy - Emissão de certificado intranet][6] - [reCAPTCHA][3] - [GoDaddy - Certificados SSL][1] - [RapidSSL - Certificados SSL][2] - [Sobre o ataque XSS][4] - [CSRF (Cross-site request forgery)][5] [1]: https://br.godaddy.com/web-security/ssl-certificate [2]: https://www.rapidssl.com.br/certificado-digital-ssl/ [3]: https://www.google.com/recaptcha/intro/index.html [4]: https://pt.wikipedia.org/wiki/Cross-site_scripting [5]: https://pt.wikipedia.org/wiki/Cross-site_request_forgery [6]: https://br.godaddy.com/help/como-reservar-nomes-de-intranet-e-enderecos-ip-em-ssls-6935 [7]: http://www.selfsignedcertificate.com/