Rate-Limiting und Missbrauch

API-Missbrauch bedeutet, eine API deutlich häufiger oder anders als vorgesehen zu verwenden.

Selbst ohne einzudringen, können Angreifer Daten automatisiert auslesen, Passwörter erraten oder einen Dienst überlasten, indem sie einfach viele Anfragen senden.

Rate Limiting begrenzt, wie viele Anfragen ein Client innerhalb eines Zeitfensters stellen darf.

Zum Beispiel 100 Anfragen pro Minute. Darüber hinaus weist die API weitere Aufrufe zurück oder verzögert sie.

Ohne Limits kann ein einzelner Client die API mit Anfragen überfluten.

Das führt zu Denial of Service, treibt die Kosten in die Höhe und ermöglicht Brute-Force- und Scraping-Angriffe. Limits sorgen für eine faire und sichere Nutzung.

Ein Login-Endpunkt ohne Limit lädt zu Brute-Force-Angriffen ein.

Ein Angreifer probiert Tausende von Passwörtern aus. Rate-Limiting bremst dies bis zum Stillstand aus und macht es praktisch undurchführbar.

Wenn ein Client das Limit überschreitet, gibt die API den Status 429 Too Many Requests zurück.

Eine eindeutige Antwort teilt sich korrekt verhaltenden Clients mit, dass sie langsamer werden und ihre Anfragen zurückfahren sollen.

Gute APIs geben Limitinformationen in Headern zurück, damit Clients sich anpassen können:

Limits benötigen einen Schlüssel, anhand dessen Anfragen gezählt werden, zum Beispiel einen API-Schlüssel, ein Benutzertoken oder eine IP-Adresse.

Benutzerbezogene Schlüssel sind am besten geeignet, da IP-basierte Limits gemeinsam genutzt oder gefälscht werden können.

Drosseln verlangsamt Anfragen; Blockieren weist sie vollständig zurück.

Drosseln ist bei legitimen Lastspitzen schonender, während Blockieren bei eindeutig bösartigen Clients wirksamer ist.

Ein Kontingent ist eine längerfristige Obergrenze, zum Beispiel 10.000 Anfragen pro Tag.

Kontingente steuern die Gesamtnutzung und die Kosten, während Rate-Limits kurzfristige Datenverkehrsspitzen bewältigen.

Einige Endpunkte sind deutlich teurer, zum Beispiel die Suche oder die Berichtserstellung.

Wenden Sie auf diese Endpunkte strengere Limits an, damit einige wenige umfangreiche Anfragen Ihre Ressourcen nicht aufbrauchen können.

Achten Sie neben reinen Zählwerten auf Muster: plötzliche Spitzen, Anfragen eines Clients über viele Konten hinweg oder Scraping-Sequenzen.

Die Kombination aus Limits und Überwachung erkennt auch ausgeklügelten Missbrauch.

Welcher HTTP-Statuscode signalisiert, dass ein Client das Rate-Limit überschritten hat?

Rate-Limiting und Kontingente verhindern API-Missbrauch wie Brute-Force-Angriffe, Scraping und Denial-of-Service.

Geben Sie bei erreichten Limits 429 zurück, identifizieren Sie Clients anhand eines Schlüssels, drosseln oder blockieren Sie sie, schützen Sie teure Endpunkte und überwachen Sie Missbrauchsmuster.