Limitação de Taxa e Abuso

Abuso de API é usar uma API com uma frequência muito maior ou de maneira diferente da prevista.

Mesmo sem invadir, os atacantes podem coletar dados, tentar adivinhar senhas ou sobrecarregar um serviço simplesmente enviando muitas solicitações.

A limitação de taxa estabelece um limite para o número de solicitações que um cliente pode fazer em determinado intervalo.

Por exemplo, 100 solicitações por minuto. Depois disso, a API rejeita ou atrasa novas chamadas.

Sem limites, um único cliente pode inundar a API.

Isso causa negação de serviço, aumenta os custos e possibilita ataques de força bruta e de coleta automatizada. Os limites mantêm o uso justo e seguro.

Um ponto de acesso de início de sessão sem limite é um convite à força bruta.

Um invasor tenta milhares de senhas. A limitação de taxa reduz esse ritmo drasticamente e torna o ataque impraticável.

Quando um cliente ultrapassa o limite, a API retorna o status 429 Muitas solicitações.

Uma resposta clara orienta clientes legítimos a reduzir o ritmo e recuar.

Boas APIs compartilham informações sobre o limite nos cabeçalhos para que os clientes possam se adaptar:

Os limites precisam de uma chave para contabilizar as solicitações, como uma chave de API, um token de usuário ou um endereço IP.

As chaves por usuário são melhores, pois os limites baseados em IP podem ser compartilhados ou falsificados.

A limitação de velocidade desacelera as solicitações; o bloqueio as rejeita de imediato.

A limitação de velocidade é mais adequada para picos legítimos, enquanto o bloqueio é mais eficaz contra clientes claramente maliciosos.

Uma cota é um limite de longo prazo, como 10.000 solicitações por dia.

As cotas controlam o uso e o custo gerais, enquanto os limites de taxa lidam com picos curtos de tráfego.

Alguns pontos de acesso têm um custo muito maior, como os de pesquisa ou geração de relatórios.

Aplique limites mais rígidos a eles para que algumas solicitações pesadas não esgotem seus recursos.

Além das contagens brutas, observe padrões: picos repentinos, solicitações de um único cliente para muitas contas ou sequências de raspagem.

Combinar limites com monitoramento ajuda a detectar abusos sofisticados.

A limitação de taxa e as cotas impedem abusos da API, como força bruta, raspagem e negação de serviço.

Retorne 429 quando os limites forem atingidos, identifique os clientes por chave, limite a velocidade ou bloqueie, proteja pontos de acesso dispendiosos e monitore padrões de abuso.