# Limitar tentativas falhadas com BLOCKED

> Conte tentativas por endereço IP com BLOCKED() e responda 429 quando o limite for atingido, para logins e redefinições de palavra-passe.

Framework: total5
Product: Total.js 5 (total5@0.0.19)
Language: pt
Content-SHA256: 5c6f3836a636f5ab52ff684330cbc26e0af1113327e44a7992dadf2a4e1bcd90
Snapshot: c0700e321579725c5cf4f5ace1ad7d2866d1b4f93c24a63c0b41b6b7998e976c
Sources: total5-installed@total5@0.0.19
Review: not-recorded

`BLOCKED($, limit, expiration)` conta chamadas por endereço IP. Devolve `true` quando o endereço fez mais de `limit` chamadas dentro da expiração (por omissão: 5 chamadas em 15 minutos), e `undefined` antes disso. Chame-o no início de um handler sensível e pare quando devolver `true`. Para perdoar um endereço após um login bem-sucedido, chame `BLOCKED($, -1)`.

Os contadores vivem na memória do processo; atrás de um proxy inverso, garanta que o endereço real do cliente chega ao Total.js, caso contrário todos partilham um único contador.

```js controllers/login.js
exports.install = function() {
	ROUTE('POST /login/', login);
};

function login($) {

	if (BLOCKED($, 3, '1 minute')) {
		$.invalid(429);
		return;
	}

	if ($.body.password === 'correct') {
		BLOCKED($, -1);
		$.json({ ok: true });
	} else
		$.invalid(401);
}
```