Cada regra tem a sua janela, o limite de falhas e a duração do bloqueio, e pode valer só para certas redes ou países. Exceções por usuário, grupo, perfil, rede ou país, com vigência, nunca são bloqueadas. O Painel mostra as tentativas das últimas 24 horas e os 10 IPs, usuários e países com mais falhas na semana; a aba Teste simula uma tentativa sem gravar nada.

Atrás de proxy reverso ou da Cloudflare, o IP real do usuário só é lido pelos proxies que você declarar, e o card "IP desta requisição" mostra o resultado antes de ligar a proteção. A proteção vem desligada e as regras de exemplo, inativas. O nome de usuário nunca é gravado em claro: fica só um HMAC para correlacionar e uma máscara na tela. Cada regra escolhe em quais canais conta: na recuperação de senha, cada pedido conta, por IP ou por e-mail; no CalDAV, só as senhas erradas viram evento. O código MFA do GLPI 11 e 12 aparece nos eventos e segue com o limite do próprio GLPI; SSO fica de fora.