Pembatasan Laju dan Penyalahgunaan

Penyalahgunaan API adalah menggunakan API jauh lebih banyak atau dengan cara yang berbeda dari yang dimaksudkan.

Bahkan tanpa membobol sistem, penyerang dapat mengambil data secara otomatis, menebak kata sandi, atau membebani layanan hanya dengan mengirim banyak permintaan.

Pembatasan laju membatasi jumlah permintaan yang dapat dibuat klien dalam jangka waktu tertentu.

Misalnya, 100 permintaan per menit. Setelah melewati batas itu, API menolak atau menunda panggilan berikutnya.

Tanpa batas, satu klien dapat membanjiri API.

Hal ini menyebabkan penolakan layanan, meningkatkan biaya, serta memungkinkan serangan coba paksa dan pengambilan data otomatis. Batas menjaga penggunaan tetap adil dan aman.

Titik akhir proses masuk tanpa batas mengundang tebak paksa.

Penyerang mencoba ribuan kata sandi. Pembatasan laju memperlambatnya hingga sangat lambat dan membuatnya tidak praktis.

Saat klien melampaui batas, antarmuka pemrograman aplikasi mengembalikan status 429 Terlalu Banyak Permintaan.

Respons yang jelas memberi tahu klien yang berperilaku baik untuk mengurangi laju dan menunggu.

Antarmuka pemrograman aplikasi yang baik membagikan informasi batas melalui tajuk agar klien dapat menyesuaikan diri:

Batas memerlukan kunci untuk mencatat jumlah permintaan, seperti kunci antarmuka pemrograman aplikasi, token pengguna, atau alamat IP.

Kunci per pengguna adalah pilihan terbaik karena batas berbasis IP dapat digunakan bersama atau dipalsukan.

Pelambatan memperlambat permintaan, sedangkan pemblokiran langsung menolaknya.

Pelambatan lebih lunak untuk lonjakan yang sah, sedangkan pemblokiran lebih kuat menghadapi klien yang jelas-jelas berbahaya.

Kuota adalah batas jangka panjang, seperti 10.000 permintaan per hari.

Kuota mengendalikan penggunaan dan biaya secara keseluruhan, sedangkan batas laju menangani lonjakan lalu lintas jangka pendek.

Beberapa titik akhir membutuhkan biaya jauh lebih besar, seperti pencarian atau pembuatan laporan.

Terapkan batas yang lebih ketat pada titik akhir tersebut agar beberapa permintaan berat tidak menghabiskan sumber daya Anda.

Selain menghitung jumlah, perhatikan polanya: lonjakan mendadak, permintaan dari satu klien ke banyak akun, atau rangkaian pengambilan data otomatis.

Menggabungkan batas dengan pemantauan dapat mendeteksi penyalahgunaan yang cerdik.

Kode status HTTP mana yang menandakan bahwa klien telah melampaui batas laju?

Pembatasan laju dan kuota menghentikan penyalahgunaan antarmuka pemrograman aplikasi seperti tebak paksa, pengambilan data otomatis, dan penolakan layanan.

Kembalikan 429 saat batas tercapai, identifikasi klien berdasarkan kunci, perlambat atau blokir permintaan, lindungi titik akhir yang mahal, dan pantau pola penyalahgunaan.