Cita:
Iniciado por Malenko 
Yo lo que haría sería bloquear los intentos de login de ese usuario durante un tiempo incremental. Por ejemplo, si fallas 3 logins seguidos has de esperar 15 minutos para seguir probando, luego 30 minutos, luego 1 hora, etc. Y, a la vez que se bloquea el usuario durante "x minutos", se envía un e-mail a la cuenta asociada al usuario indicando que se han detectado intentos de login.
Y si guardara además la ip que está usando el cliente que quiere loguearse? Es decir, intento entrar con el usuario "carmen" y con la ip "189.34.25.140". Uso el procedimiento que has indicado, para bloquear incrementalmente, pero si intentan acceder con ese usuario en otra ip, no le tengo en cuenta los tres primeros intentos. Podría hacer esto con 3 ips diferente, para que el atacante no intente cambiar de ip cada vez que se le bloquee. Además si desde esa ip se intenta acceder a otro usuario y de nuevo falla tres veces, podría bloquear la ip cierto tiempo.
¿Que te parece? El problema que tengo solo con el sistema de emails, es que no todos los usuarios de mi sistema tienen email. Es que me lo ponen complicado...
