如何阻止机器人并要求两步验证？

在身份认证中开启机器人防护、要求 MFA，并设置会话时长和密码规则，同时了解哪些设置需要 Growth 套餐。

#机器人防护

机器人防护默认关闭。开启仅允许真人后，六项防护会监视每一次注册、登录和密码重置：

为每项防护选择四种模式之一：

真人永远不会看到拼图验证。被拦截的尝试永远不会告诉调用方某个账户是否存在。每项决定都显示在身份认证 → 登录记录中。

#其他防护

• 泄露密码检查：新密码和重置的密码会对照已知泄露的密码进行检查，泄露的密码会被拒绝。密码本身不会发送到任何地方。
• 攻击模式：用于紧急情况。点击开启攻击模式，并选择持续时间：1、6 或 24 小时。运行期间，每次注册和登录都会用通行密钥进行验证，来自数据中心网络的新注册会被拒绝，没有通行密钥的用户在其结束前无法完成登录。它会自动关闭，你保存的设置重新生效，结束时会通知你的团队。
• 请求速率限制：无论你如何设置，始终生效。
• 锁定：在你保存机器人防护设置之前，输错 5 次密码会锁定账户 15 分钟。当暴力破解锁定设为拦截时，用户必须重置密码。你也可以自己为用户解锁（参见用户、会话和组织）。

#在沙盒中测试

自动化浏览器测试会被视为机器人。请在沙盒应用中运行它们，并把机器人检测设为关闭或记录。

#允许列表和阻止列表

在 Growth 及以上套餐以及每个沙盒应用中，你的应用程序在列表中的黑名单和白名单会应用于每一次注册、登录和密码重置，无论是否开启了机器人防护。它们与你的验证所使用的是同一批列表，因此你在那里拦截的值，在登录时同样会被拦截。

在 Free 套餐中，生产应用的列表仅适用于身份验证。

• 已经登录的人如果之后被加入黑名单，会在五分钟内被登出。
• 同时出现在两个列表中的值会被拦截。
• 列表的更改会在 30 秒内生效。
• 自定义列表（例如 High Risk Countries，即高风险国家）不适用于登录。
• 如果无法检查列表，登录会继续。登录绝不会因这项检查而失败。

#安全与会话

身份认证 → 安全与会话包含以下设置：

该页面上的其他设置：

• 同时使用多个设备：默认开启。关闭后，每次新登录时会让该用户退出其他会话。
• 密码更改时退出其他设备：默认开启。它会在密码重置后结束所有会话。
• 电子邮件子地址：是否接受带加号的地址，例如 name+tag@example.com。默认关闭。
• 允许的电子邮件域名：在注册仅限允许的域名时使用。
• 允许列表和阻止列表：打开列表，在这里管理应用程序的名单。如上一节所述，套餐包含该功能时，这两个列表都会在登录时生效。
• 重定向网址和允许的源：用户登录后返回的位置，以及哪些网站可以调用 Didit。请登记你的确切地址。生产应用只接受 https://。

当你的团队撤销或阻止该用户，或者刷新令牌被重复使用时，会话也会结束。

#哪些需要 Growth

在没有这些功能的套餐上，安全与会话会显示“Security settings require an upgrade”（安全设置需要升级）和查看套餐。此时会话使用固定时长。参见定价与活跃用户。

更改设置需要一个可以编辑应用的角色：默认是开发者、管理员或所有者。

#相关文章

• 查看登录记录，并让用户退出或封禁用户
• 身份认证的费用
• 文档中的机器人防护
• 文档中的身份认证概览