Proteção contra Flood e Raid

Introdução

A proteção contra flood e raid defende um grupo contra dois problemas relacionados: um único membro enviando mensagens mais rápido do que qualquer pessoa consegue ler, e uma onda coordenada de contas entrando ao mesmo tempo para sobrecarregar o chat. Ambos são tratados automaticamente, mas somente depois que um admin os ativa. Todos os recursos descritos aqui ficam desativados por padrão e não tomam nenhuma ação até serem habilitados para o grupo; portanto, adicionar o bot nunca muda o comportamento do seu chat até você decidir que deve mudar.

Os dois sistemas atuam em momentos diferentes. O anti-flood observa membros individuais enquanto eles publicam. O anti-raid observa a velocidade com que novos membros entram. Junto com o controle manual /panic e a verificação de abusadores conhecidos na entrada, eles dão aos admins uma forma de manter o grupo legível durante uma explosão de spam e de fechar as portas durante um ataque coordenado.

Anti-flood: velocidade de mensagens

O anti-flood limita quantas mensagens um único membro que não é admin pode enviar em uma janela curta. Ele é controlado por três configurações no painel do grupo:

• set_antiflood_enabled — a chave liga/desliga. Desativada por padrão.
• set_antiflood_msgs — o limite de mensagens. Padrão 8.
• set_antiflood_secs — a duração da janela em segundos. Padrão 5.

Com os padrões, um membro que envia mais de 8 mensagens dentro de uma janela de 5 segundos ultrapassa o limite. O bot conta as mensagens de cada membro dentro de uma janela curta e móvel; quando a contagem passa do limite, as mensagens que compuseram a rajada são apagadas e a aplicação da punição começa.

A aplicação é escalonada. Na primeira vez que um membro faz flood, o bot aplica um silenciamento temporário de 5 minutos. Se o mesmo membro fizer flood novamente pouco tempo depois, o bot o bane. Isso significa que um acidente isolado resulta apenas em um silenciamento breve, enquanto um membro que continua fazendo flood é removido.

Duas regras mantêm isso justo e seguro:

• Admins são isentos. A verificação de velocidade só roda para membros que não são admins, então moderadores e admins nunca são silenciados ou banidos pelo anti-flood.
• Ele falha de forma aberta. O contador usa um armazenamento rápido em memória. Se esse armazenamento retornar um erro transitório, o bot deixa a mensagem passar em vez de puni-la. Um problema temporário de infraestrutura nunca resulta em um silenciamento ou banimento injusto.

O anti-flood roda no caminho crítico de cada mensagem, então reage conforme as mensagens chegam, antes das verificações de conteúdo mais pesadas. Como o limite e a janela são configuráveis, você pode ajustá-los ao ritmo normal do seu grupo — um chat movimentado pode precisar de um limite de mensagens maior, enquanto um canal de avisos mais silencioso pode preferir um limite mais rígido.

Anti-raid: bloqueio por pico de entradas

O anti-raid observa a velocidade com que novos membros entram. Ele é controlado por quatro configurações:

• set_antiraid_enabled — a chave liga/desliga. Desativada por padrão.
• set_antiraid_joins — o limite de entradas. Padrão 10.
• set_antiraid_secs — a janela em segundos. Padrão 30.
• set_antiraid_lockdown_secs — por quanto tempo o bloqueio dura. Padrão 600 segundos (10 minutos).

Com os padrões, mais de 10 membros entrando em até 30 segundos acionam um bloqueio. Quando isso acontece, o bot bloqueia o grupo inteiro removendo as permissões padrão do chat, de modo que os membros não podem mais publicar. O bloqueio permanece pelo período configurado e depois é liberado automaticamente, restaurando as permissões normais do grupo.

O bloqueio é uma pausa, não uma limpeza. Ele impede que a enxurrada de novas contas publique enquanto o pico está acontecendo, dando tempo para os admins entenderem o que está ocorrendo. Quando o temporizador termina, o grupo reabre sozinho. Assim como o anti-flood, o contador de entradas falha de forma aberta — um erro transitório ao contar entradas nunca aciona um bloqueio por engano.

Bloqueio manual: /panic e /unpanic

Admins podem bloquear um grupo manualmente a qualquer momento, mesmo quando a detecção automática de raid está desativada:

• /panic — bloqueia imediatamente o grupo pela janela de bloqueio configurada. Os membros não podem publicar até que ela termine ou um admin a suspenda.
• /unpanic — libera o bloqueio antes do tempo e permite que os membros publiquem novamente.

Ambos os comandos são exclusivos para admins; um usuário que não é admin e tentar executá-los será recusado. /panic é útil quando você percebe um problema começando e quer fechar o grupo antes que o limite automático seja atingido, ou quando deixou a detecção automática desativada, mas ainda quer uma parada de emergência com um único comando.

Expulsando abusadores conhecidos ao entrar

A configuração set_kick_known_abusers (desativada por padrão) verifica cada novo membro contra o sinal compartilhado de inteligência de usuários da rede. Contas que já foram marcadas como abusadores conhecidos em outro lugar da rede carregam um marcador global. Quando essa configuração está ativada e uma conta marcada entra, o bot a bane imediatamente, antes que ela consiga publicar.

Essa verificação também falha de forma aberta: se a consulta de abusador der erro, o bot trata a pessoa que está entrando como limpa e permite a entrada, de modo que um problema na consulta nunca bane um membro legítimo. Quando um abusador conhecido é banido dessa forma, o evento é registrado no log de moderação do grupo, se houver um configurado.

Como o bloqueio se coordena com o modo noturno

O anti-raid e o modo noturno funcionam bloqueando as permissões de envio do grupo, então compartilham o mesmo bloqueio subjacente. Os dois recursos se coordenam para que um nunca desbloqueie o grupo enquanto o outro ainda precisa mantê-lo fechado. Se um bloqueio de raid terminar enquanto a janela silenciosa do modo noturno ainda estiver ativa, o grupo permanece bloqueado pelo modo noturno; se a janela do modo noturno terminar enquanto um bloqueio de raid ainda estiver em andamento, o grupo permanece bloqueado pela raid. O grupo só reabre quando nenhum dos recursos precisa mantê-lo fechado.

Boas práticas

• Comece com os limites padrão e ajuste somente se notar acionamentos falsos ou falhas em acionar. Os padrões atendem à maioria dos grupos.
• Tenha o /panic em mente como backup manual mesmo se você ativar a detecção automática de raid — é a forma mais rápida de congelar um grupo.
• Ative a verificação de abusadores conhecidos em grupos públicos nos quais qualquer pessoa pode entrar; ela impede reincidentes antes que publiquem.
• Lembre-se de que admins nunca são afetados pelo anti-flood, então teste o recurso com uma conta que não seja admin se quiser vê-lo em ação.

Resumo

A proteção contra flood e raid dá aos admins controle em camadas: o anti-flood lida com um único membro barulhento com exclusão, silenciamento e depois banimento; o anti-raid lida com um pico de entradas com um bloqueio temporizado do grupo; /panic oferece uma substituição manual; e a verificação de abusadores conhecidos barra contas marcadas na porta. Tudo permanece desativado até você habilitar, tudo isenta admins quando relevante, e as verificações automáticas falham de forma aberta para que um erro temporário nunca puna um membro inocente.