<div dir="ltr"><div>Hello everyone,</div><div><br></div><div>Following the plugin rating abuse issue reported at  <a href="https://github.com/qgis/QGIS-Plugins-Website/issues/416">https://github.com/qgis/QGIS-Plugins-Website/issues/416</a> and <a href="https://github.com/qgis/QGIS-Plugins-Website/issues/420">https://github.com/qgis/QGIS-Plugins-Website/issues/420</a>, I wonder if someone could help or share some thoughts about it.</div><div><br>We have released some fixes to enforce throttles (<a href="https://github.com/qgis/QGIS-Plugins-Website/pull/418">https://github.com/qgis/QGIS-Plugins-Website/pull/418</a>), reject forged cookies and add a cap votes per address (<a href="https://github.com/qgis/QGIS-Plugins-Website/pull/423">https://github.com/qgis/QGIS-Plugins-Website/pull/423</a>). However, it is not fully working because every IP recorded against a vote is a Cloudflare edge IP, not a real user IP. I checked 100 recent votes against Cloudflare's published ranges: 100 out of 100 match. So the per-IP cap is counting Cloudflare's proxy pool, which rotates per request. So, storing real client IPs would probably require some discussions regarding GDPR and retention angle.</div><div><br>The reporter also asks us to (a) purge the fake votes and recompute the affected plugin scores, and (b) require a logged-in account to vote. Both are policy calls, not just code. And noting that the latter will probably break how the QGIS Desktop plugin manager submits ratings anonymously over XML-RPC.</div><div><br>Thanks so much in advance for any input.</div><div><br></div><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div style="color:rgb(34,34,34)">Lova Andriarimalala</div><div style="color:rgb(34,34,34)"><b>QGIS Full Stack Developer   <br><br></b></div><div style="color:rgb(34,34,34)"><b>T </b>: +27(0) 87 809 2702          <b>E </b>:<b> </b><a href="mailto:lova@kartoza.com" style="color:rgb(17,85,204)" target="_blank">lova@kartoza.com</a>          <b>W</b> : <a href="http://kartoza.com" style="color:rgb(17,85,204)" target="_blank">kartoza.com</a><br></div><div style="color:rgb(34,34,34)"><br></div><div style="color:rgb(34,34,34)"><div><img src="https://erp.kartoza.com/files/KartozaEmailSignatureTest.gif"></div></div></div></div></div></div>