Sin Bloqueo de Cuenta / Protección contra Fuerza Bruta

// MAL: login sin rate limiting
export async function POST(req: Request) {
  const { email, password } = await req.json();
  const user = await db.users.findByEmail(email);
  if (!user || !bcrypt.compare(password, user.passwordHash)) {
    return Response.json({ error: 'Credenciales inválidas' }, { status: 401 });
  }
  return Response.json({ token: generateToken(user) });
}

// BIEN: limita los intentos de login
import { Ratelimit } from '@upstash/ratelimit';
const ratelimit = new Ratelimit({ limiter: Ratelimit.slidingWindow(5, '15m') });
export async function POST(req: Request) {
  const ip = req.headers.get('x-forwarded-for') ?? 'anonymous';
  const { success } = await ratelimit.limit(ip);
  if (!success) return Response.json({ error: 'Demasiados intentos' }, { status: 429 });
  // ... resto de la lógica de login
}