為什麼先做基本防護就很有感？
因為大多數攻擊是自動化掃描：你只要提高成本、降低成功率， 就能擋掉大量「順手就能打的」流量。
1) 限制嘗試次數（含延遲）
- 同帳號/同 IP 連續失敗次數限制。
- 逐步延遲（越打越慢），比直接封鎖更不容易誤傷。
2) 節流（Rate Limit）
- 限制單位時間的請求數，降低撞密碼效率。
- 可配合 WAF/反向代理規則。
3) 2FA / 強密碼（能做就先做）
- 管理員帳號優先。
- 避免共用帳號、離職帳號還在。
4) 人機驗證（reCAPTCHA / honeypot）
- 適合用在登入/表單；honeypot 對機器人也很有效。
- 不要全站都上驗證，會傷體驗；放在高風險點就好。
5) 記錄與告警：你要知道「被打了」
- 登入失敗紀錄（時間/IP/帳號/UA）。
- 超過門檻就通知：有節奏才有改善。
