new funcionality

app/Providers/AppServiceProvider.php

@@ -2,10 +2,11 @@
 
 namespace App\Providers;
 
-use App\Listeners\RecordOAuthLoginEvent;
-use Illuminate\Support\Facades\Event;
+use Illuminate\Cache\RateLimiting\Limit;
+use Illuminate\Http\Request;
+use Illuminate\Support\Facades\RateLimiter;
 use Illuminate\Support\ServiceProvider;
-use Laravel\Passport\Events\AccessTokenCreated;
+use Laravel\Passport\Bridge\ClientRepository as PassportClientRepository;
 use Laravel\Passport\Passport;
 
 class AppServiceProvider extends ServiceProvider
@@ -15,7 +16,9 @@ class AppServiceProvider extends ServiceProvider
      */
     public function register(): void
     {
-        //
+        // Acepta también el client_secret anterior durante su periodo de
+        // gracia al rotar — ver App\Services\Passport\ClientRepository.
+        $this->app->bind(PassportClientRepository::class, \App\Services\Passport\ClientRepository::class);
     }
 
     /**
@@ -45,6 +48,44 @@ class AppServiceProvider extends ServiceProvider
         // como JSON para que el JS los lea (ver resources/views/app.blade.php).
         Passport::authorizationView('app');
 
-        Event::listen(AccessTokenCreated::class, RecordOAuthLoginEvent::class);
+        // Los listeners de app/Listeners se auto-descubren por su handle()
+        // tipado (Laravel 11+) — no hace falta Event::listen() acá. Registrarlo
+        // a mano ADEMÁS del auto-discovery duplica cada evento (se vio con
+        // event:list: cada listener aparecía dos veces), lo que duplicaba
+        // filas en login_events y disparaba cada webhook dos veces.
+
+        $this->configureRateLimiting();
+    }
+
+    /**
+     * Límites para endpoints sensibles a fuerza bruta: login, registro y
+     * emisión de tokens OAuth. Password grant vive en el mismo endpoint que
+     * refresh/client_credentials, así que el límite de /oauth/token se aplica
+     * por (ip, client_id) — no penaliza a todos los clientes por igual si uno
+     * solo está siendo atacado.
+     */
+    private function configureRateLimiting(): void
+    {
+        RateLimiter::for('login', function (Request $request) {
+            $key = strtolower((string) $request->input('email')).'|'.$request->ip();
+
+            return Limit::perMinute(5)->by($key);
+        });
+
+        RateLimiter::for('register', function (Request $request) {
+            return Limit::perMinute(5)->by($request->ip());
+        });
+
+        RateLimiter::for('oauth-token', function (Request $request) {
+            $key = $request->ip().'|'.$request->input('client_id');
+
+            return Limit::perMinute(20)->by($key);
+        });
+
+        RateLimiter::for('password-reset', function (Request $request) {
+            $key = strtolower((string) $request->input('email')).'|'.$request->ip();
+
+            return Limit::perMinute(5)->by($key);
+        });
     }
 }