sesiones o cookies?

[cjma]

Hola a todos, alguien sabe cual es la forma adecuada para bloquear a un usuario
por cierta cantidad de tiempo cuando ingresa mal la contraseña es decir supera el numero de intentos permitidos al loguearse?

[Seppo]

Sí querés bloquear al usuario, deberías bloquearlo en la base de datos al usuario y no al cliente... Pensá que usando cookies o sessions, es fácil borrarlo y seguir intentando, deberías almacenar esa información en el servidor

[cjma]

entiendo lo que me dices y asi lo habia pensado lo que no logro visualizar de forma clara es como reconozco al usuario para bloquearlo, como se que usuario es el que
esta intentando loguearse erroneamente para bloquearlo en la base de datos por cierto tiempo.

[Seppo]

Y... supongo que para loguearse le pedís usuario y contraseña, podés crear una tabla en tu base de datos de login fallidos donde guardes el nombre de usuario y la fecha y cuando falla te fijas que no haya más de 3 para el mismo usuario en la última hora, por ejemplo

[okram]

En mi caso, prefiero no bloquear usuarios directamente, sino IP's.

Almacena en tu BD las ips de login y un contador. Si el login fue exitoso, borras la ip de la bd, sino incrementas el contador. Un campo adicional, tiempo, te servira para volver a habilitar al usuario para el login

Un saludo,

[cjma]

listo intentare hacer lo que me dicen muchas gracias

[Carxl]

Hola cjma!!

Me iría mas por la opción de bloquear la ip...

[andruqui]

La ip ? No me parece, que pasa si tenes 10 usuarios que se conectan a tu sitio desde la empresa donde trabajan y todos salen navegando por un proxy con la misma ip, si 3 de ellos fallan la clave una vez bloquearias la ip y luego ninguno de los 10 podria loguearse a tu sistema.

Ese es un tema a evaluar, yo me inclino mas por el usuario.

Saludos
Andres

[Carxl]

Iniciado por andruqui

Ese es un tema a evaluar

[okram]

Iniciado por andruqui

[...]
Ese es un tema a evaluar, yo me inclino mas por el usuario.
[...]

Alguna vez leí en un artículo cuya URL no recuerdo una serie de pros y contras en este tema. Concordaba con o que decian en casi todo.

Si bloqueas por usuario, alguien con malas intenciones podria bloquear a todos los usuarios de tu sistema, todo desde una maquina, con tan solo conocer sus nombres de usuario.

Una buena opcion, dependiendo de lo que buscas, es habilitar un sistema captcha, que entre en accion cuando el usuario ha superado cierto numero de intentos.

Me inclino mas por la ip , pero como bien dice andruqui, es un tema a evaluar...

Un saludo,

[Sanubrio]

Ya de puestos podría ser por usuario, por ip y por session, asi sólo bloquearía a los usuarios en su ip, y tendría que andar borrando cookies para borrarse la sessión, y si además se pone el captcha a partir del primer fallo mejor que mejor.

[kaninox]

yo siempre bloqueo usuarios e ip, almaceno el usuario la fecha y el ip si hay en el dia mas de diez intentos bloqueo el acceso :)