Schalten Sie den Bot-Schutz ein, verlangen Sie MFA, legen Sie Sitzungsdauer und Passwortregeln fest und sehen Sie, welche Einstellungen Growth brauchen.
Öffnen Sie Authentifizierung → Bot-Schutz und schalten Sie Nur Menschen zulassen ein, um Registrierung, Anmeldung und Passwort-Reset zu schützen. Unter Authentifizierung → Sicherheit und Sitzungen legen Sie fest, wer MFA nutzen muss, wie lange eine Sitzung dauert, Ihre Passwortregeln und Ihre Weiterleitungs-URLs. MFA, eigene Sitzungsdauer und Nutzersperren brauchen den Plan Growth oder höher.
#Bot-Schutz
Der Bot-Schutz ist standardmäßig aus. Wenn Sie Nur Menschen zulassen einschalten, überwachen sechs Schutzmaßnahmen jede Registrierung, jede Anmeldung und jedes Zurücksetzen des Passworts:
| Schutz | Was er erkennt |
|---|---|
| Bot-Erkennung | Skripte, Headless-Browser und Browser-Treiber, anhand von Geräte- und Formularsignalen |
| Anmeldeversuche mit gestohlenen Zugangsdaten | Ein Gerät oder Netzwerk, das viele Konten ausprobiert, oder ein bekanntes kompromittiertes Passwort |
| Sperre bei Brute Force | Wiederholte Fehlversuche bei einem Konto |
| Wegwerf-E-Mails | Registrierungen sowie Anmeldungen per E-Mail-Code oder Magic Link von Wegwerf-E-Mail-Domains |
| VPN- und Rechenzentrums-IPs | Versuche aus VPN-, Tor- oder Rechenzentrumsnetzen, anhand von Didits IP-Analyse |
| Unmögliche Reise | Eine Anmeldung weit entfernt von der letzten, zu schnell, um dieselbe Person zu sein |
Geben Sie jedem Schutz einen von vier Modi:
| Modus | Was er tut |
|---|---|
| Aus | Der Schutz wird nicht geprüft. |
| Protokollieren | Der Versuch geht durch, und Didit zeichnet den Treffer auf. |
| Prüfen | Die Person muss zuerst einen zusätzlichen Nachweis erbringen. Das ist ein E-Mail-Code oder ein Passkey. |
| Blockieren | Der Versuch wird abgelehnt. |
Echte Menschen sehen nie ein Rätsel. Ein blockierter Versuch verrät dem Aufrufer nie, ob ein Konto existiert. Jede Entscheidung erscheint unter Authentifizierung → Anmeldungen.
#Weitere Schutzmaßnahmen
- Prüfung auf kompromittierte Passwörter: Neue und zurückgesetzte Passwörter werden mit bekannten kompromittierten Passwörtern abgeglichen, und ein kompromittiertes wird abgelehnt. Das Passwort selbst wird nirgendwohin gesendet.
- Angriffsmodus: für Notfälle. Klicken Sie auf Angriffsmodus aktivieren und wählen Sie die Dauer: 1, 6 oder 24 Stunden. Solange er läuft, wird jede Registrierung und Anmeldung mit einem Passkey geprüft, neue Registrierungen aus Rechenzentrumsnetzen werden abgelehnt, und Menschen ohne Passkey können erst nach seinem Ende fortfahren. Er schaltet sich selbst aus, Ihre gespeicherten Einstellungen gelten wieder, und Ihr Team wird benachrichtigt, wenn er endet.
- Anfragelimits: gelten immer, unabhängig von Ihren Einstellungen.
- Sperre: Bis Sie die Einstellungen zum Bot-Schutz speichern, sperren 5 falsche Passwörter das Konto für 15 Minuten. Steht die Sperre bei Brute Force auf Blockieren, muss die Person ihr Passwort zurücksetzen. Sie können die Person auch selbst entsperren (siehe Nutzer, Sitzungen und Organisationen).
#In Sandbox testen
Automatisierte Browsertests zählen als Bots. Führen Sie sie in einer Sandbox-Anwendung aus, mit Bot-Erkennung auf Aus oder Protokollieren.
#Zulassungs- und Sperrlisten
Bei Growth und höher sowie in jeder Sandbox-Anwendung gelten die Sperrliste und die Zulassungsliste Ihrer Anwendung unter Listen bei jeder Registrierung, jeder Anmeldung und jedem Zurücksetzen des Passworts, unabhängig davon, ob der Bot-Schutz eingeschaltet ist. Es sind dieselben Listen, die Ihre Verifizierungen verwenden. Ein Wert, den Sie dort sperren, ist also auch bei der Anmeldung gesperrt.
In Free gelten die Listen einer Live-Anwendung nur für die Identitätsprüfung.
| Liste | Was sie bei der Anmeldung bewirkt |
|---|---|
| Sperrliste | Eine Person, deren E-Mail-Adresse, Telefonnummer, IP-Adresse (oder ein Bereich, der sie abdeckt), Gerät oder Nutzer (ihr vendor_data) darauf steht, kann sich nicht registrieren oder anmelden. Der Versuch wird abgelehnt und erscheint unter Authentifizierung → Anmeldungen als Blockiert. |
| Zulassungsliste | Eine IP-Adresse (oder ein Bereich) auf der Liste überspringt Bot-Erkennung, Anmeldeversuche mit gestohlenen Zugangsdaten und VPN- und Rechenzentrums-IPs. Eine E-Mail-Adresse auf der Liste überspringt Wegwerf-E-Mails. Ein Gerät auf der Liste ändert bei der Anmeldung nichts. Sperre bei Brute Force, Unmögliche Reise, Angriffsmodus, Anfragelimits und die Sperrliste gelten immer. |
- Eine Person, die bereits angemeldet ist und dann auf die Sperrliste gesetzt wird, wird innerhalb von fünf Minuten abgemeldet.
- Ein Wert, der auf beiden Listen steht, wird blockiert.
- Eine Änderung an einer Liste gilt innerhalb von 30 Sekunden.
- Eigene Listen, etwa High Risk Countries (Länder mit hohem Risiko), gelten bei der Anmeldung nicht.
- Wenn die Listen nicht geprüft werden können, läuft die Anmeldung weiter. Eine Anmeldung scheitert nie an dieser Prüfung.
#Sicherheit und Sitzungen
Authentifizierung → Sicherheit und Sitzungen enthält diese Einstellungen:
| Einstellung | Optionen | Standard |
|---|---|---|
| Wer muss MFA verwenden | Alle, Organisationsadmins, Optional | Organisationsadmins |
| MFA-Methoden | Passkey, Authentifizierungs-App und Backup-Codes werden alle akzeptiert. Die Auswahl, welche davon gelten, ist noch nicht verfügbar. | Jede davon |
| Sitzungsdauer | 1 Tag, 7 Tage, 30 Tage, 90 Tage | 30 Tage |
| Endet nach Inaktivität von | 30 Minuten, 2 Stunden, 1 Tag, 7 Tage | 1 Tag |
| Mindestlänge des Passworts | 8, 10, 12 oder 14 | 10 |
| Wer darf sich registrieren | Alle, Eingeladene, Erlaubte Domains (bis zu 100 Domains) | Alle |
Weitere Einstellungen auf der Seite:
- Mehrere Geräte gleichzeitig: standardmäßig an. Schalten Sie es aus, um eine Person bei jeder neuen Anmeldung von ihren anderen Sitzungen abzumelden.
- Andere Geräte bei Passwortänderung abmelden: standardmäßig an. Es beendet nach einem Zurücksetzen des Passworts jede Sitzung.
- E-Mail-Unteradressen: ob eine Adresse mit Pluszeichen, etwa
name+tag@example.com, akzeptiert wird. Standardmäßig aus. - Erlaubte E-Mail-Domains: werden verwendet, wenn die Registrierung auf erlaubte Domains beschränkt ist.
- Zulassungs- und Sperrlisten: öffnet Listen, wo Sie die Listen der Anwendung verwalten. Wo Ihr Plan es enthält, gelten beide Listen bei der Anmeldung, wie der Abschnitt oben beschreibt.
- Weiterleitungs-URLs und Erlaubte Ursprünge: wohin Menschen nach der Anmeldung zurückkehren und welche Websites Didit aufrufen dürfen. Tragen Sie Ihre genauen Adressen ein. Live-Anwendungen akzeptieren nur
https://.
Eine Sitzung endet auch, wenn Ihr Team die Person widerruft oder blockiert oder wenn ein Refresh Token erneut verwendet wird.
#Was Growth braucht
| Teil | Plan |
|---|---|
| Zwei-Schritt-Anmeldung (MFA), eigene Sitzungsdauer, Nutzersperren, Zulassungs- und Sperrlisten bei der Anmeldung | Growth und höher |
| 30 Tage Anmeldeprotokolle | Scale und höher |
In einem Plan ohne diese Teile zeigt Sicherheit und Sitzungen „Sicherheitseinstellungen erfordern ein Upgrade“ mit Tarife ansehen. Sitzungen haben dann eine feste Dauer. Siehe Preise und aktive Nutzer.
Um Einstellungen zu ändern, brauchen Sie eine Rolle, die Anwendungen bearbeiten darf: standardmäßig Developer, Admin oder Owner.
#Verwandte Artikel
- Anmeldungen sehen und Nutzer abmelden oder sperren
- Was Authentifizierung kostet
- Bot-Schutz in der Dokumentation
- Übersicht der Authentifizierung in der Dokumentation
Kommen Sie nicht weiter? Sprechen Sie mit einem Menschen.
Geben Sie Ihre Organisations-ID und die Session-ID an, um die es geht.