Rate limiting du magic link : ajouter une limite par IP #23

New Issue

2026-05-13T22:09:38Z

cedricAbonnel commented

2026-05-13 22:09:38 +00:00

Problème

Dans public/login/index.php, le rate limiting du magic link contrôle le cooldown et le plafond d'envois par email uniquement. L'adresse IP est enregistrée dans la table auth_magic_links mais n'est pas utilisée comme critère de limitation.

Un attaquant peut envoyer des requêtes vers N adresses email différentes depuis la même IP sans jamais déclencher de limite, ce qui expose le serveur mail à une utilisation abusive.

Correction

Ajouter une vérification du nombre d'envois récents par IP, indépendamment de l'email :

SELECT COUNT(*) FROM auth_magic_links
WHERE ip = :ip AND created_at >= NOW() - INTERVAL '1 hour'

Seuil configurable via .env (ex. MAGIC_MAX_PER_IP_HOUR, valeur par défaut : 10)
Retourner une erreur générique en cas de dépassement (ne pas révéler si l'email existe)

Critères d'acceptation

Un usage excessif depuis une même IP est bloqué
Le seuil par IP est configurable dans .env
Le message d'erreur ne révèle pas si l'email est enregistré ou non

Migré depuis varlog#34

## Problème Dans `public/login/index.php`, le rate limiting du magic link contrôle le cooldown et le plafond d'envois **par email uniquement**. L'adresse IP est enregistrée dans la table `auth_magic_links` mais n'est pas utilisée comme critère de limitation. Un attaquant peut envoyer des requêtes vers N adresses email différentes depuis la même IP sans jamais déclencher de limite, ce qui expose le serveur mail à une utilisation abusive. ## Correction Ajouter une vérification du nombre d'envois récents par IP, indépendamment de l'email : ```sql SELECT COUNT(*) FROM auth_magic_links WHERE ip = :ip AND created_at >= NOW() - INTERVAL '1 hour' ``` - Seuil configurable via `.env` (ex. `MAGIC_MAX_PER_IP_HOUR`, valeur par défaut : 10) - Retourner une erreur générique en cas de dépassement (ne pas révéler si l'email existe) ## Critères d'acceptation - [ ] Un usage excessif depuis une même IP est bloqué - [ ] Le seuil par IP est configurable dans `.env` - [ ] Le message d'erreur ne révèle pas si l'email est enregistré ou non --- *Migré depuis [varlog#34](https://git.abonnel.fr/cedricAbonnel/varlog/issues/34)*

cedricAbonnel referenced this issue from cedricAbonnel/varlog

2026-05-13 22:09:38 +00:00

Rate limiting du magic link : ajouter une limite par IP #34

cedricAbonnel closed this issue

2026-05-16 08:30:32 +00:00

cedricAbonnel referenced this issue from a commit

2026-05-16 12:06:31 +00:00

feat : magic link confirm, notif auteur, rate-limit IP, duplicate, cache MD, lazy img (v1.6.18)

Sign in to join this conversation.