Sicherheit

Keine Rate-Limit-Signale auf Login-Endpunkten beobachtet

Üblicher Schweregrad: Hinweis · Aufwand: gering

Woran du es erkennst

Weder der im Lauf gesehene Verkehr noch ein kleiner autorisierter GET-Burst zeigten HTTP 429, Retry-After oder X-RateLimit-*-Header auf den Login-Endpunkten. Das ist eine Beobachtungslücke, kein Beweis, dass kein Rate-Limit existiert.

Warum es zählt

Sichtbare Drosselung auf Login- und Reset-Endpunkten macht Credential-Stuffing und Password-Spraying wirtschaftlich unattraktiv. Wo gar kein Signal auftaucht, sitzt der Schutz — falls vorhanden — weiter vorgelagert oder greift später als getestet.

So behebst du es

  1. Begrenze Login-, Reset- und Registrierungs-Endpunkte per Rate-Limit (pro IP und pro Konto-Kennung); antworte mit 429 + Retry-After.
  2. Kombiniere IP-basierte mit konto-basierten Schwellen, damit auch verteiltes Spraying gegen ein einzelnes Konto auslöst.
  3. Prüfe, ob eine vorgelagerte Stufe (CDN, WAF, API-Gateway) bereits drosselt — und ob sie die Login-Pfade abdeckt, nicht nur statische Dateien.
  4. Protokolliere Schwellen-Auslösungen und richte Alarme darauf ein; ein Rate-Limit, das niemand beobachtet, ist ein verspäteter Vorfallbericht.

Zum Nachlesen