Login vor Credential Stuffing und automatisierter Kontoübernahme (Account Takeover) schützen
Beim Credential Stuffing werden an Ihrem Login massenhaft Passwörter ausprobiert, die anderswo gestohlen wurden; ein Brute-Force-Angriff probiert sehr viele an einem einzigen Konto aus. Antisy prüft, ob jeder Versuch von einem Browser stammt und nicht von einem Programm, ohne der Person, die sich anmeldet, etwas anzuzeigen.
Was ist Credential Stuffing?
Ein Angriff (auf Französisch «bourrage d’identifiants»), der die Gewohnheit ausnutzt, dieselben Benutzernamen und Passwörter von einem Dienst zum anderen wiederzuverwenden: Ein Programm probiert an Ihrem Login massenhaft Paare aus, die anderswo gestohlen wurden.
Und Brute-Force, Password Spraying?
Ein Brute-Force-Angriff probiert sehr viele Passwörter an einem einzigen Konto aus; Password Spraying probiert einige sehr verbreitete Passwörter an vielen Konten aus. Wie Credential Stuffing zielen sie auf die Kontoübernahme (Account Takeover) und laufen über Programme: Jeder Versuch muss von einem Browser stammen, und genau das prüft Antisy.
Siehe: Glossar: Brute-Force · Glossar: Password Spraying · Glossar: Kontoübernahme (Account Takeover)
Wie schützt Antisy ein Login vor Credential Stuffing?
Die Login-Seite trägt das Tag von Antisy, und jeder Versuch geht mit einem Token ab. Ihr Server macht dann einen Aufruf, assess, der das Token an das betroffene Konto bindet. Die Antwort hat zwei Ausgänge: allow oder deny.
Der Aufruf siteverify der einfachen Formulare bindet das Token nicht an ein Konto: Er eignet sich nicht für ein Login.
Welche Daten werden bearbeitet?
Was das Script bei jedem Formular misst, und was die Tabelle der Aufbewahrungsdauer für ein Login nennt: eine Login-Kennung, verschlüsselt und gehasht, und der Ausgang des Versuchs, nach 90 Tagen gelöscht.
Ist das heute verfügbar?
Noch nicht. Das Node-Server-Kit (Express, Fastify, Next.js), das diesen Aufruf übernimmt, wird auf npm veröffentlicht; noch ist es das nicht.
Der Zugang erfolgt über eine Warteliste. Die API und das Dashboard sind seit dem 27. Oktober 2026 in Betrieb, gehostet bei Infomaniak in Genf; noch ist kein Kunde in Produktion. Ein Pilot ist geplant; er hat noch nicht begonnen.
Siehe: Der Pilot · Der Warteliste beitreten
Was ein Bot-Schutz nicht ersetzt
Kein Bot-Schutz ist perfekt, und Antisy nennt keine Erkennungsrate. Er kommt zu den anderen Schutzmassnahmen eines Kontos hinzu, etwa der Begrenzung der Versuche oder einem zweiten Faktor; er ersetzt sie nicht.