Header mô tả IP khách có thể do client tự gửi nếu web server tin mọi nguồn. Hạn mức theo IP khi đó dễ bị vượt hoặc chặn sai.
Cách thực hiện
- Chỉ tin địa chỉ proxy được kiểm soát.
- Xác định header chính xác và chặng cuối.
- Thử yêu cầu trực tiếp giả mạo header từ mạng không tin cậy.
Kiểm tra kết quả
Log phải ghi IP phù hợp khi qua proxy và không tin header ngoài phạm vi.
Lưu ý khi áp dụng
Không bật tin mọi X-Forwarded-For từ Internet.