Como um engenheiro pode mitigar ataques de repetição (replay attacks) simples contra uma API REST usada para tentativas de força bruta?

Adicionar um timestamp à requisição no cabeçalho da API é eficaz contra ataques de repetição porque permite que o servidor rejeite requisições que não estejam dentro de uma janela de tempo aceitável. Isso impede que um atacante intercepte e reenvie uma requisição antiga para tentar autenticação por força bruta. Usar um hash de senha protege a senha em trânsito e no armazenamento, mas não impede que uma requisição inteira seja repetida. Adicionar OAuth é uma solução de autorização robusta, mas não aborda diretamente a repetição de requisições já válidas. Usar HTTPS criptografa a comunicação, prevenindo a interceptação e a leitura dos dados, mas não impede que um atacante malicioso repita uma requisição interceptada se ele tiver acesso ao conteúdo criptografado ou se a requisição for repetida antes de expirar.