¿Cómo puede un ingeniero mitigar ataques de repetición (replay attacks) simples contra una API REST utilizada para intentos de fuerza bruta?

Añadir una marca de tiempo (timestamp) a la solicitud es una defensa eficaz contra ataques de repetición simples. El servidor puede verificar si la marca de tiempo está dentro de un rango aceptable (por ejemplo, los últimos 5 minutos). Si una solicitud con una marca de tiempo antigua se repite, el servidor la rechazará, frustrando el ataque. Usar un hash de contraseña no previene ataques de repetición; protege la contraseña en reposo, pero no la validez de la solicitud en tránsito. Añadir OAuth es para autorización y autenticación, no para prevenir la repetición de una solicitud ya autorizada. Usar HTTPS cifra la comunicación, protegiendo contra la interceptación y alteración, pero no impide que un atacante reenvíe una solicitud legítima capturada si no hay un mecanismo anti-repetición adicional.