Sicurezza sito

[Marcolino's]

Per evitare le registrazioni automatiche puoi fare due cose:

1. leggere tutte le email che ti arrivano e cercare di capire se chi ti ha scritto è una macchina o un essere umano. Benvenuto Touring!
2. Usare un CAPTCHA.

Ovvio la prima non è fattibile e nemmeno tanto sicura oramai, per la seconda al solito trovi decine di script più o meno validi.
Adesso va di moda la scelta di tre immagini pertinenti per argomento fra nove.
Valido e nemmeno tanto complicato da implementare, o no?
Io me ne sono fatto uno testuale, nel senso che è proprio di testo con semplici domande del tipo: "se hai una dozzina di uova, quante uova hai?", oppure: "miao a quale animale si riferisce?".
Sono domande semplici a risposta unica, dubito che una macchina le possa risolvere, l'unico problema è se tenta di usare un database; ma se controlli i dati di provenienza della macchina e se note che in un'unità di tempo abbastanza ravvicinata è sempre la stessa, puoi bloccarla dopo che so due o tre, quattro tentativi errati.
Sempre che la macchina capisca cosa ha di fronte

[andreto]

Per evitare le registrazioni automatiche puoi fare due cose:

1. leggere tutte le email che ti arrivano e cercare di capire se chi ti ha scritto è una macchina o un essere umano. Benvenuto Touring!
2. Usare un CAPTCHA.

Dato che inserire una qualsiasi cosa che faccia perdere più tempo all'utente del previsto non mi piace molto, avevo pensato di fare così:
L'utente si registra, gli viene inviata un'email con un link da cliccare per attivare l'account.
Se lo clicca entro 48 ore si attiva, altrimenti, dopo 48 ore il database elimina i dati caricati provvisoriamente dell'utente.
In questo modo:
- non ricevo nessuna email di iscritto se non prima clicca su verifica
- il database si ripulisce da solo
- evito di far perdere tempo all'utente
- rendo l'iscrizione più semplice possibile

Può essere valida una soluzione del genere?

ma se controlli i dati di provenienza della macchina e se note che in un'unità di tempo abbastanza ravvicinata è sempre la stessa, puoi bloccarla dopo che so due o tre, quattro tentativi errati.
Sempre che la macchina capisca cosa ha di fronte

A questo avevo già pensato, brute-force.

[andreto]

Qualcuno riesce a rispondermi alla domanda sui captcha del post n.8?

Alla fin dei conti mi sembra che i computer / bot utilizzino email false, di solito sono email lunghissime senza senso.

In questo modo loro non riceveranno l'email per la conferma e io attraverso il cron-tab elimino l'account non verificato dopo 48 ore dalla registrazione.

Può essere valida una tecnica del genere o potrebbe essere raggirata?