Os buckets de limite de taxa são indexados usando a string de IP do cliente verbatim de `request.ip`. Um cliente com capacidade IPv6 pode burlar os limites de taxa rotacionando endereços dentro de uma ampla faixa de endereços (como /64) ou utilizando diferentes representações textuais do mesmo endereço. Isso permite que atacantes ignorem proteções em endpoints sensíveis, como autenticação, redefinição de senha, entrega de OTP ou chamadas de API onerosas, especialmente quando a aplicação está atrás de um proxy que encaminha IPv6 para a origem e a opção `trustProxy` está habilitada.