La limitazione dei tentativi di accesso è un controllo difensivo che rallenta o limita i tentativi ripetuti di accesso dallo stesso utente, indirizzo IP, dispositivo o account. Invece di consentire un numero illimitato di tentativi di indovinare la password, il sistema aggiunge ritardi, blocchi temporanei o controlli più rigorosi dopo fallimenti ripetuti.
È importante perché molti attacchi dipendono dalla velocità e dalla scalabilità. Il password spraying, il credential stuffing e il semplice tentativo di indovinare diventano tutti meno efficaci quando ogni tentativo richiede più tempo o è limitato. La limitazione non sostituisce password forti o l'autenticazione multifattore, ma aumenta il costo degli abusi di forza bruta e aiuta i difensori a individuare schemi di autenticazione sospetti. In ambienti reali, viene spesso affiancata a criteri di blocco dell'account, richieste MFA, valutazione del rischio e monitoraggio di picchi insoliti di accessi. Per gli account privilegiati, la limitazione è particolarmente importante perché una singola password amministrativa debole può esporre molti più dati di un normale account utente.