Chaque règle a sa fenêtre, sa limite d'échecs et sa durée de blocage, et peut ne s'appliquer qu'à certains réseaux ou pays. Les exceptions par utilisateur, groupe, profil, réseau ou pays, avec une période de validité, ne sont jamais bloquées. Le Tableau de bord affiche les tentatives des dernières 24 heures et les 10 IP, utilisateurs et pays qui cumulent le plus d'échecs sur la semaine ; l'onglet Test simule une tentative sans rien enregistrer.

Derrière un proxy inverse ou Cloudflare, la vraie IP de l'utilisateur n'est lue qu'à travers les proxys que vous déclarez, et la carte « IP de cette requête » montre le résultat avant d'activer la protection. La protection est livrée désactivée et les règles d'exemple inactives. Le nom d'utilisateur n'est jamais enregistré en clair : seulement un HMAC pour corréler et un masque à l'écran. Chaque règle choisit les canaux où elle compte : sur la récupération du mot de passe chaque demande compte, par IP ou par e-mail ; sur CalDAV seuls les mauvais mots de passe deviennent des événements. Le code MFA de GLPI 11 et 12 apparaît dans les événements et garde la limite de GLPI ; le SSO reste hors du périmètre.