Rate limiting cho login và form Rate limiting for login and forms Rate limiting សម្រាប់ login និង form

Làm theo từng bước Follow along ធ្វើតាមជំហាន

1. 1 Security → WAF → Rate limiting rules → Create rule. Security → WAF → Rate limiting rules → Create rule. Security → WAF → Rate limiting rules → Create rule។

   Nhấp: Click: ចុច៖ Create rule Create rule Create rule

   Nhập: Enter: បញ្ចូល៖ If: URI Path contains /login | With: 10 requests / 1 minute / IP | Then: Log (48h) rồi Managed Challenge hoặc Block If: URI Path contains /login | With: 10 requests / 1 minute / IP | Then: Log (48h) then Managed Challenge or Block If: URI Path contains /login | With: 10 requests / 1 minute / IP | Then: Log (48h) then Managed Challenge or Block

2. 2 Thêm rule tương tự cho /signup, /otp, hoặc /api/search nếu bị abuse. Add similar rules for /signup, /otp, or /api/search if abused. បន្ថែម rules ស្រដៀងសម្រាប់ /signup, /otp, ឬ /api/search បើ abused។

   Checkpoint: Checkpoint: Checkpoint៖ Tự test: 15 request nhanh từ một IP thấy Log/Challenge. User thường không bị chặn khi gõ mật khẩu 1–2 lần. Self-test: 15 rapid requests from one IP show Log/Challenge. Normal users typing a password once or twice are not blocked. Self-test៖ 15 requests លឿនពី IP មួយបង្ហាញ Log/Challenge។ Users ធម្មតាវាយ password ម្តង ឬពីរដងមិនត្រូវបាន Block។

3. 3 Monitor Rate limiting events sau deploy. Monitor Rate limiting events after deploy. Monitor Rate limiting events បន្ទាប់ពី deploy។

   Bạn sẽ thấy: What you'll see: អ្នកនឹងឃើញ៖ Security Events lọc Rate limit. Điều chỉnh threshold nếu NAT văn phòng dùng chung IP. Security Events filtered to Rate limit. Tune the threshold if an office NAT shares one IP. Security Events filtered ទៅ Rate limit។ Tune threshold បើ office NAT ចែក IP មួយ។

Cẩn thận Watch out ប្រុងប្រយ័ត្ន

• Ngưỡng quá thấp trên IP văn phòng — cả team bị challenge. Too-low thresholds on an office IP challenge the whole team. Thresholds ទាបពេកលើ office IP challenge ក្រុមទាំងមូល។
• Rate limit theo IP không đủ chống botnet phân tán — kết hợp Bot + WAF. Per-IP rate limits are weak against a distributed botnet — combine Bot + WAF. Rate limits តាម IP ខ្សោយទល់នឹង distributed botnet — រួម Bot + WAF។

Mẹo Tips គន្លឹះ

• 10/phút/IP trên /login là điểm bắt đầu, không phải tiêu chuẩn pháp lý — tune theo app. 10/min/IP on /login is a starting point, not a legal standard — tune to the app. 10/min/IP លើ /login គឺចំណុចចាប់ផ្តើម, មិនមែនស្តង់ដារច្បាប់ — tune តាម app។
• Cookie/session counting tốt hơn IP thuần nếu plan hỗ trợ. Cookie/session counting beats raw IP if your plan supports it. Cookie/session counting ល្អជាង IP ទទេ បើ plan របស់អ្នកគាំទ្រ។