レート制限と不正利用
APIの不正利用を防止します
「レート制限と不正利用」はCoddyKit上の無料Cyber Security Academyレッスンです。 これはレッスン3/4です。 下記で完全なレッスンを無料で読むことができます。その後、ブラウザ内の組み込みコードエディタと24時間対応のAIチューターでハンズオン演習できます。 これはCyber Security Academy学習パスの一部であり、ウェブとCoddyKitアプリ全体で進捗が同期されます。 Cyber Security Academyコースには全4レッスンが含まれています。
API悪用とは
API悪用とは、APIを想定よりもはるかに多く、または想定とは異なる方法で使用することです。
侵入しなくても、攻撃者は大量のリクエストを送信するだけで、データをスクレイピングしたり、パスワードを推測したり、サービスに過負荷をかけたりできます。
レート制限とは
レート制限は、クライアントが一定時間内に送信できるリクエスト数の上限を設定します。
たとえば、1分あたり100リクエストです。これを超えると、APIはそれ以降の呼び出しを拒否または遅延させます。
重要な理由
制限がなければ、1つのクライアントがAPIに大量のリクエストを送りつける可能性があります。
これによりサービス拒否が発生し、コストが増加し、ブルートフォース攻撃やスクレイピング攻撃が可能になります。制限によって、利用を公平かつ安全に保てます。
ブルートフォース攻撃
制限のないログインエンドポイントは、ブルートフォース攻撃を招きます。
POST /api/login攻撃者は何千ものパスワードを試します。レート制限によって処理速度を極端に落とせるため、現実的に実行できなくなります。
429レスポンス
クライアントが制限を超えると、APIはステータス429 Too Many Requestsを返します。
明確なレスポンスによって、正常なクライアントにアクセス頻度を下げて待機するよう伝えられます。
クライアントに制限を伝える
優れたAPIは、クライアントが対応できるようヘッダーで制限情報を共有します。
X-RateLimit-Limit: 100
X-RateLimit-Remaining: 12
Retry-After: 30クライアントを識別する
制限を適用するには、カウントの基準となるキーが必要です。たとえば、APIキー、ユーザートークン、IPアドレスなどです。
IPベースの制限は共有されたり偽装されたりする可能性があるため、ユーザー単位のキーが最適です。
スロットリングとブロックの違い
スロットリングはリクエストを遅くし、ブロックはリクエストを完全に拒否します。
スロットリングは正当な一時的集中に対してより穏やかで、ブロックは明らかに悪意のあるクライアントに対してより強力です。
クォータ
クォータとは、1日あたり10,000件のリクエストなど、より長期的な上限です。
クォータは全体的な使用量とコストを制御し、レート制限は短時間に集中するトラフィックに対応します。
高コストなエンドポイントを保護する
検索やレポート生成など、一部のエンドポイントははるかに大きなコストがかかります。
少数の負荷が高いリクエストでリソースを使い果たされないよう、これらにはより厳しい制限を適用します。
不正利用のパターンを検出する
単純な件数だけでなく、突然の急増、1つのクライアントから多数のアカウントへのリクエスト、スクレイピングの一連の動きなどのパターンにも注意します。
制限と監視を組み合わせることで、巧妙な不正利用を検出できます。
クイックチェック
クライアントがレート制限を超えたことを示すHTTPステータスコードはどれですか。
まとめ
レート制限とクォータによって、ブルートフォース攻撃、スクレイピング、サービス拒否などのAPIの不正利用を防止できます。
制限に達したら429を返し、キーでクライアントを識別し、スロットリングまたはブロックを行い、高コストなエンドポイントを保護し、不正利用のパターンを監視します。
よくある質問
「レート制限と不正利用」レッスンは無料ですか？
はい。「レート制限と不正利用」の完全なテキストはこのウェブで無料で読めます。インタラクティブに演習し（組み込みコードエディタと24時間対応のAIチューター）、Cyber Security Academyコースの残りをアンロックするには、CoddyKit PROにアップグレードしてください。 Cyber Security Academyコースには全4レッスンが含まれています。
「レート制限と不正利用」で何を学びますか？
APIの不正利用を防止します ブラウザで直接実行するハンズオンコードでCyber Security Academyを演習し、24時間対応のAIチューターがレッスンを進める中での質問に答えます。
Cyber Security Academyを始めるのに経験は必要ですか？
事前経験は必要ありません。CoddyKitのCyber Security Academyは初級者から上級者向けに構成されているため、ここから始めるか最初から始めて、自分のペースで進むことができます。 これはレッスン3/4です。
「レート制限と不正利用」レッスンにはどのくらい時間がかかりますか？
ほとんどのCoddyKitレッスンは約5～10分かかります。各レッスンはコンパクトでインタラクティブなので、着実に進歩し、ウェブとアプリ全体で正確に前回の場所から再開できます。
このCyber Security Academyレッスンでコードを書いて実行できますか？
はい。すべてのCyber Security Academyレッスンに組み込みコードエディタが含まれているため、ブラウザでリアルコードを書いて実行し、即座のAIフィードバックを取得できます。ローカル設定は不要です。