[SECURITY] Terapkan CAPTCHA pada Login & Endpoint Auth untuk Batasi Bot/Bruteforce

[vickyrolanda]

Masalah

Saat ini tidak ada perlindungan CAPTCHA pada login, OTP, maupun endpoint user sign-in. Bot/human attacker bisa brute force username/password tanpa hambatan automation detection.

Dampak

• Meningkatkan resiko akun diambil alih via credential stuffing
• IP ban/jail tidak cukup menghadang bot (VPN/rotasi IP mudah
• Resource exhaustion (DoS) lebih mudah terjadi

Langkah Penyelesaian

1. Integrasi Google reCAPTCHA v3 (atau hCaptcha dkk)
2. Terapkan challenge setelah threshold gagal login
3. Pastikan integrasi tidak mengganggu user asli

Contoh

// validateLogin,middleware
if (RateLimiter::attempts($key) >= 2) {
  $request->validate([
    'g-recaptcha-response' => 'required|recaptchav3:login,0.5'
  ]);
}

Setelah Perbaikan

• Tes automate login, pastikan bot fail & analytics reCAPTCHA merekam aktivitas mencurigakan.