Захистіть OTP від ботів, перебору та зливу коштів

15. OTP - безпека#

Збільшити ↗

Безпека OTP потрібна, щоб клієнт або бот не міг безкінечно просити коди і витрачати баланс магазину.

Не вимикайте всі ліміти. Без них OTP може стати дорогою діркою в бюджеті.

Як читати числові поля безпеки#

У багатьох лімітах значення 0 означає “вимкнути саме цей ліміт”. Це не завжди добре. Якщо поставити 0 усюди, модуль перестане стримувати спам, і провайдер буде списувати гроші за кожен зайвий код, SMS або дзвінок.

Одиниці часу вказані біля поля:

Ставте ліміти м'яко на старті, потім посилюйте за результатами моніторингу. Найгірший варіант у безпеці - одразу заблокувати нормальних клієнтів і не зрозуміти чому.

Швидка схема телефону#

Поведінковий захист#

Цей блок дивиться не тільки на номер, а й на поведінку браузера і сесії.

Поведінковий захист потрібен проти ситуації, коли з одного браузера або однієї сесії пробують багато різних номерів. Нормальний клієнт може помилитись у номері один-два рази. Бот або зловмисник перебирає номери серіями. Саме цю різницю і ловить блок.

Як налаштовувати безпечніше:

• не ставте Ліміт різних номерів по браузеру в 1, бо клієнт може виправити телефон;
• залиште Запас на виправлення номера, щоб люди могли виправляти помилки;
• не робіть Ізоляція браузера на багато годин на старті;
• якщо бачите реальну атаку в моніторингу, тоді посилюйте ліміти поступово.

IP, проксі та підмережі#

Цей блок потрібен, щоб бот не обходив IP-ліміти підробленими заголовками X-Forwarded-For. Модуль довіряє переспрямованій IP-адресі тільки тоді, коли запит реально прийшов від Cloudflare або від проксі з діапазону CIDR, який ви явно вказали.

У журналі безпеки для таких рішень зберігаються службові поля resolved_ip, raw_remote_addr, ip_subnet, proxy_trusted, source_hash, risk_score і risk_level. Вони дають змогу зрозуміти, чи використано реальну IP-адресу, чи підроблений заголовок.

Захист бюджету SMS/Viber#

Цей блок ставить фінальну межу для платних SMS/Viber-спроб усього магазину. Він потрібен проти ситуації, коли зловмисник змінює телефон, браузер, сесію або відкриває інкогніто і намагається змусити магазин платити за нові відправки.

Стартові значення після першого збереження: глобальний ліміт — 1000, OTP-резерв — 100, OTP — 300, замовлення — 300, відкладені — 200, адміністративні — 100, ручні — 100, масові — 100, інші — 100, недовірені OTP — 200, резерв для довірених OTP — 50, Viber cascade units — 2, пороги аварійного режиму — 70/85/95.

Антизливний профіль для магазину з українською аудиторією і активним OTP:

Цей профіль рано попереджає адміністратора, швидко обмежує недовірені OTP і залишає резерв для довірених підтверджень. Якщо магазин має більше реальних OTP на добу, збільшуйте Глобальний, OTP і Недовірені OTP пропорційно, але не вимикайте ліміти типів надсилання значенням 0.

Важливо: 0 не є універсальним значенням «вимкнути все». Якщо поставити 0 у Глобальний за 24 год., модуль не застосовує глобальну межу й OTP-резерв, але ліміти типів надсилання OTP, Масові, Ручні, Відкладені та інші продовжують працювати. Якщо поставити 0 в окремому типі надсилання, вимикається тільки його ліміт.

Що рахується:

• рахуються тільки платні спроби SMS, Viber і провайдерського каскаду Viber+SMS/cascade;
• Telegram і дзвінки не входять у цей бюджет;
• якщо шлюз не повідомляє, чи каскадна спроба Viber реально перейшла на SMS, модуль обережно рахує її як платну Viber/SMS-спробу;
• ручні, масові, OTP, відкладені, замовлення і службові відправки мають окремі ліміти типів надсилання.

Технічно бюджет рахується не за вкладкою Звіт, а за таблицею журналу sap_sms_budget_usage. Перед запитом до шлюзу створюється запис reserved (зарезервовано), після фактичної спроби він стає charged (списано), а якщо надсилання зупинилося локально до звернення до провайдера — released (звільнено). У рухомий 24-годинний бюджет входять тільки charged і ще не протерміновані reserved.

Коли ліміт вичерпано, модуль блокує платну SMS/Viber-відправку до запиту в провайдера. Клієнт у OTP бачить повідомлення: Надсилання коду тимчасово обмежено. Будь ласка, спробуйте пізніше. В адмінці ручна або масова відправка покаже помилку про вичерпаний SMS/Viber-бюджет.

Довірені OTP — це не просто номери, що існують у таблиці customer. Довіреним вважається редагування облікового запису авторизованим клієнтом або номер, який уже успішно підтверджували з цього браузера чи сесії в межах довіреного вікна. Запит із нового браузера, нової сесії, підозрілого проксі або серії різних номерів вважається недовіреним і при підвищеному ризику першим втрачає платне резервне надсилання через SMS/Viber.

Аварійний режим працює від використання загального бюджету:

• Warning - Telegram-попередження адміну;
• Посилення — недовірені OTP з рівнем ризику «середній або вищий» блокуються для платних SMS/Viber;
• Повне блокування — недовірені платні OTP блокуються повністю, а довірені OTP можуть пройти тільки якщо жорсткі загальна й OTP-межа це дозволяють.

OTP-резерв захищає нормального клієнта тільки від того, що надсилання не-OTP витратять загальний бюджет. Якщо OTP-атака пройде крізь поведінкові ліміти через багато IP-адрес, браузерів, сесій і реальних номерів, вона може вичерпати окремий ліміт OTP або весь глобальний ліміт. Тоді автоматичне SMS/Viber-підтвердження номера зупиниться до звільнення 24-годинного вікна або зміни ліміту адміністратором. Практичний запасний шлях — Telegram чи дзвінок, якщо вони підключені, або ручна перевірка менеджером для конкретного клієнта.

Якщо ввімкнені Telegram-сповіщення адміністратору, модуль надішле критичне повідомлення про вичерпання SMS/Viber-бюджету із зазначенням типу надсилання, каналу, типу ліміту, використаного обсягу й межі, джерела, контексту та рівня ризику. Це повідомлення надсилається через Telegram без резервного SMS, щоб саме попередження не витрачало бюджет.

Захист бюджету дзвінків#

Цей блок важливий, якщо ви використовуєте авторизацію дзвінком.

Дзвінки можуть коштувати грошей так само, як SMS, а іноді й дорожче. Тому для дзвінків є окремий бюджетний захист. Він працює незалежно від звичайних OTP-лімітів.

Якщо підтвердження дзвінком увімкнене як запасний або основний шлях, не залишайте цей захист вимкненим. Практичний початковий набір проти зайвих витрат: Дзвінків з IP — 3, Вікно IP — 1, Дзвінків на номер за 24 год. — 3, Дзвінків з браузера на номер — 4, Загальний ліміт дзвінків за 24 год. — 50. Для магазину з більшим реальним трафіком збільшуйте тільки загальний та IP-ліміт, а не вимикайте захист повністю.

Практична логіка:

• Дзвінків з IP ловить атаку з одного інтернет-джерела;
• Дзвінків на номер за 24 год. не дає багато разів дзвонити на один телефон;
• Дзвінків з браузера на номер не дає одному клієнту або боту крутити дзвінок на той самий номер;
• Загальний ліміт дзвінків за 24 год. - останній запобіжник для всього магазину.

Коли ліміт дзвінків вичерпано, клієнт бачить повідомлення: Підтвердження дзвінком тимчасово обмежено. Спробуйте пізніше. Якщо увімкнені Telegram-алерти адміну, модуль надішле критичний Telegram-алерт про вичерпання ліміту дзвінків.

Валідність запитів#

Некоректний запит — це запит, який надійшов не так, як має надходити нормальна форма сайту: без правильного методу, ознаки AJAX, токена, одноразового номера або інших службових полів.

Приклади причин некоректних запитів:

Мережеві обмеження#

Важлива різниця:

Це різні речі. Клієнт може мати український номер, але зайти з польської IP. Або навпаки. Не змішуйте ці два фільтри, бо можна випадково заблокувати нормальних покупців.

Жорсткий антизливний профіль для OTP:

Довіряти Cloudflare вмикайте тільки якщо магазин реально працює через Cloudflare. Довірені proxy CIDR заповнюйте тільки реальними CIDR вашого зворотного проксі. Не додавайте чужі мережі, приватні діапазони «про всяк випадок» або 0.0.0.0/0, бо тоді захист від підроблених заголовків перетвориться на декорацію.

Рекомендований старт#

Для першого запуску:

• увімкніть повторні OTP-ліміти;
• увімкніть ліміт неправильних кодів;
• увімкніть адаптивний захист джерела;
• увімкніть ліміт по IP;
• установіть глобальний ліміт бюджету SMS/Viber, OTP-резерв, межі для недовірених і довірених OTP, Viber cascade units та ліміти типів надсилання;
• якщо використовуєте дзвінки, увімкніть захист бюджету дзвінків;
• увімкніть Telegram-сповіщення Ліміт бюджету SMS/Viber, щоб адміністратор отримував повідомлення при досягненні жорсткої межі, вичерпанні OTP-резерву, аварійному посиленні чи повному блокуванні або помилці захисту бюджету;
• не ставте надто жорсткі бани в перший день;
• перевіряйте моніторинг після запуску.

Якщо нормальні клієнти почали скаржитися, що не можуть отримати OTP, не вимикайте весь захист одразу. Спочатку подивіться OTP -> Моніторинг, хто і чому був заблокований.

Готові профілі безпеки#