предотвратить брутфорс капчи

Question

Мой сайт использует капчу из 6 цифр, однако, если злоумышленник попробует все комбинации, скорее всего, он успешно отправит форму в несколько раз (1 / миллион в теории, гораздо больше на практике, поскольку я использую генератор случайных чисел) не совсем случайно).
Могу ли я еще помешать ему добиться успеха? Один из способов - запретить кому-либо отправлять форму в течение 5 минут после определенного количества попыток (например, 20), проблема заключается в том, что если я сохраню количество попыток в сеансе, а злоумышленник создаст сеанс для каждой попытки (естественно, поскольку он использует программу, а не браузер), тогда она не будет работать. И я не хочу изменять существующую схему БД в соответствии с этой логикой.
Другой способ - увеличить количество используемых символов капчи, что создает неудобства для пользователя.
Все советы приветствуются.

Answer 1

восстанавливать новый номер после каждой попытки или после x попыток = D

Answer 2

Проверьте IP-адреса входящих соединений. Если один и тот же IP-адрес повторяется слишком много раз, скорость резко ограничивает их, а если он продолжается в течение длительного времени, полностью их блокируйте.

Конечно, это не идеальное решение, но оно усложнит его.

Answer 3

Я бы порекомендовал добавить буквы. Это сделает грубую силу намного сложнее, чем добавление большего количества цифр.

РЕДАКТИРОВАТЬ: Вы также можете медленно делать ответы после некоторых неправильных попыток. Добавьте, например, 5-минутную задержку.