Limitación de solicitudes y abuso

El abuso de API consiste en utilizar una API mucho más de lo previsto o de una forma distinta a la prevista.

Incluso sin acceder ilegalmente, los atacantes pueden extraer datos, adivinar contraseñas o sobrecargar un servicio simplemente enviando muchas solicitudes.

La limitación de velocidad establece un máximo de solicitudes que un cliente puede realizar durante un intervalo de tiempo.

Por ejemplo, 100 solicitudes por minuto. A partir de ahí, la API rechaza o retrasa las llamadas adicionales.

Sin límites, un solo cliente puede inundar la API.

Esto provoca una denegación de servicio, aumenta los costes y permite ataques de fuerza bruta y scraping. Los límites mantienen el uso seguro y equitativo.

Un endpoint de inicio de sesión sin límites invita a realizar un ataque de fuerza bruta.

Un atacante prueba miles de contraseñas. La limitación de tasa ralentiza el proceso hasta hacerlo inviable.

Cuando un cliente supera el límite, la API devuelve el estado 429 Too Many Requests.

Una respuesta clara indica a los clientes que funcionan correctamente que reduzcan el ritmo y esperen.

Las buenas API comparten información sobre los límites en las cabeceras para que los clientes puedan adaptarse:

Los límites necesitan una clave con la que contabilizar las solicitudes, como una clave de API, un token de usuario o una dirección IP.

Las claves por usuario son mejores, ya que los límites basados en IP pueden compartirse o falsificarse.

La limitación gradual ralentiza las solicitudes; el bloqueo las rechaza directamente.

La limitación gradual es más amable con los picos legítimos, mientras que el bloqueo es más eficaz contra clientes claramente maliciosos.

Una cuota es un límite a más largo plazo, como 10 000 solicitudes al día.

Las cuotas controlan el uso general y los costes, mientras que los límites de tasa gestionan los picos breves de tráfico.

Algunos endpoints tienen un coste mucho mayor, como los de búsqueda o generación de informes.

Aplique límites más estrictos a estos endpoints para que unas pocas solicitudes pesadas no agoten sus recursos.

Además de los recuentos sin procesar, observe los patrones: picos repentinos, solicitudes de un mismo cliente para muchas cuentas o secuencias de scraping.

Combinar los límites con la monitorización permite detectar abusos más ingeniosos.

La limitación de tasa y las cuotas detienen abusos de las API, como los ataques de fuerza bruta, el scraping y la denegación de servicio.

Devuelva 429 cuando se alcancen los límites, identifique a los clientes mediante una clave, aplique limitación gradual o bloqueo, proteja los endpoints costosos y monitorice los patrones de abuso.