Защищаем форму логина — что реально стоит делать?
 

Форма авторизации — это самая больная точка для почти любого сайта. Вроде всё просто, но пробелов может быть столько, что диву даёшься. Лично я бы первым делом проверил, как у вас там обстоят дела с защитой от брутфорса и капчей. Без этого можно сразу забыть про нормальную безопасность, особенно при открытых регистрациях.

Дальше обязательно HTTPS — не только для главной, а именно для формы входа. Пароли в открытом виде — самоубийство. Если используете собственный код, то не забывайте про фильтрацию и валидацию данных, чтобы не словить SQL-инъекцию или XSS. Очень помогает подготовленные запросы.

Пароли должны храниться с нормальными современными хешами и «солью» — не MD5 или что-то подобное. Лучше bcrypt, argon2 или хотя бы sha256 с нормальной работой по времени. И ещё: никогда не храните пароли в сессиях или куках!

Про двухфакторную аутентификацию тоже забывать не стоит, особенно если это важно для пользователей. И ещё есть смысл ограничить количество неудачных попыток и блокировать IP на время. Ну и CSRF-токены для форм — не помешают.

Ну, на самом деле, не всё так просто с защитой формы логина. Да, капчи и HTTPS важны, но от них не зависит вся безопасность сайта. Многие забывают про банальную актуальность обновлений и правильную настройку сервера — это тоже критично. И да, 2FA классно, но если баз вообще дырявая, толку мало. В итоге, с одним набором мер, даже хороших, часто не обойтись.

Да, тут сразу видно — без банальных обнов и нормальных настроек сервера не сдвинуться с места. Все эти красивые штуки, типа 2FA и капчи, конечно класс, но если база сочится, то все эти заморочки — как крыша без стен. Прямо скажу — сначала фундамент поправьте, потом уже фишки подключайте.

Полностью согласен с тем, что без хорошего базиса — настроек сервера, обновлений — никакие навороты вроде 2FA не спасут. Это как ставить охранника в дом с дырявыми стенами. Без правильной фильтрации и защиты от брутфорса форма просто мясо для ботов и скриптов.

Согласен с тем, что главный упор лучше делать на базовые вещи — правильную настройку сервера, обновления и защиту от брутфорса. Без этого любые приколы вроде двухфакторки и капчи мало что дадут. И не забывайте про нормальное хеширование паролей, иначе вся защита получится дырявая.