diff --git a/src/lib/auth.ts b/src/lib/auth.ts
index 40b4f41..fa04aa7 100644
--- a/src/lib/auth.ts
+++ b/src/lib/auth.ts
@@ -35,6 +35,17 @@ export const auth = betterAuth({
       adminRoles: ["admin"],
     }),
   ],
+  rateLimit: {
+    enabled: true,
+    window: 60,
+    max: 100,
+    customRules: {
+      // Дефолт Better Auth (3/60с) слишком жёсткий для миграции:
+      // массовый сброс паролей + общие IP (офис/NAT). 10/мин/IP — защита
+      // от брутфорса сохраняется, но терпимо к повторам и опечаткам.
+      "/sign-in/email": { window: 60, max: 10 },
+    },
+  },
   trustedOrigins: [
     process.env.BETTER_AUTH_URL ?? "http://localhost:3000",
     "https://school.second-brain.ru",