サーバーを運営していると「荒らし」と言われるユーザーが紛れ込んでくることがあります。
このユーザーを .htaccess
などを利用してIP指定によるアクセス制限をかけることはできるのですが、
ときどき執念深い荒らしユーザーがIPを変更して継続的に荒らし行為を繰り返してきます。
サーバー側でIP以外にアクセス元の端末情報などを識別し、
アクセスを制限する手段はないのでしょうか?
スタック・オーバーフローはプログラマーとプログラミングに熱心な人のためのQ&Aサイトです。すぐ登録できます。
登録してこのコミュニティに参加するこの件はいろいろと難しい問題をはらんでいます。
そもそも論として Web閲覧者
を識別してよいのか、あたりから議論を始めないといけません。
悪意あるユーザーを一意に識別できるのであれば、悪意のないユーザーも同上ということで、
それは (悪意のない) ユーザーを「個人ターゲットできる」つまりプライバシー侵害につながりかねません。
原則、識別をすべきではない、に1票を投じておきます。
それでもどうしても識別したい、ということなら
当該悪意あるユーザが cookie
を知らない技量なら cookie
を配っておけばよいでしょうし
Web 指紋
とか ブラウザ指紋
とか呼ばれる識別技術を使うのもあり、でしょう。
https://panopticlick.eff.org/
こっちのほうがわかりやすいかも?
https://amiunique.org/
オイラ個人的にはやはり識別をすることをお勧めしません。
Webサーバが端末を識別する手段としては、
などがあります。
広告業界なんかではこれらの情報で比較的精度の高いユーザー追跡を実現しているので、頑張ればアクセス制限に使えないこともありません。
ただし、広告用とアクセス制限では「利用者が故意に自分の身元を隠す」という点で正反対なので、格段に精度は落ちるでしょう。CookieとJavascript 無効にされるだけでもほとんどの情報が取得できません。
現実的な対策としては、Wikipedia なんかを見てもわかるように、IPアドレスによる制限(個別→ブロックごと)とユーザー認証(ログインの強制)を組み合わせるぐらいしかないでしょう。
もしユーザー認証をしていないのであれば、検討しても良いかもしれません。このサイトのようにGoogle/Twitter/Facebookなどの認証に乗っかれば認証情報を自前で保存しなくてもよいですしユーザーの不便も最小限で済むでしょう。
荒らしがどのように IP
アドレスを変更してくるかを考察してそっちから対策を考えます。
まあ考えるまでも無くかつて 2ch.net
がたどった道なわけですが。
方策はユーザ側が行う、対策はサーバ側で行う、のを想定してます。
方策1. xDSL
モデム/家庭用ルータの電源を入り切りし DHCP
の再リースを行う
対策1. 当該 ISP
の IP
アドレス全部(ドメイン単位)をアクセス禁止にする
方策2. オープン (匿名) プロキシを使う
対策2. 既知のオープンプロキシからのアクセスを禁止にする
方策3. 異 ISP
を使う (PC の xDSL
接続とガラケーでは違う IP
アドレスでしょう)
対策3. ガラケーはアクセス禁止にするとか、ガラケーのみアクセス許可にするとか。
どれもこれも後手にまわる消極的な方法ですね。巻き添えを食らう善良なユーザも増えます。
やはり、書き込みは許可制(要ログイン)ってのが効果的でしょう。
何がなんでも絶対匿名でなければならないのならば、
荒らしも容認するのがある意味正しい運営方針かもしれません。
以下は 荒らされない ための対策ですが
方策4. Javascript
Cookie
を禁止して 指紋
の取得を拒絶し区別困難にする
対策4. Javascript
off では書き込めないようにするとか
方策5. 広告とか罵倒とかを行う
対策5. いわゆる NG
ワードが含まれたら書き込めないようにする (http
とか特定単語とか)
荒らしが居づらくなるための対策ですが
対策6. 全員公平に、書き込み元 IP
アドレス/逆引きドメインを表示する
対策7. 全員公平に、書き込み元 User Agent 文字列を表示する
善良なユーザーも居づらくなりそうですけど・・・
具体的にどのように困っているのかわからないので一般論に留まってしまいます。
端末(ターミナル)
には意味がありますが、もしかしてWeb閲覧者
を意図されているのでしょうか?