Limitação e Controle de Taxa
Aprenda como a limitação de taxa protege sistemas contra abuso e sobrecarga, incluindo os algoritmos de balde de tokens e janela deslizante.
Limitação e Controle de Taxa é uma aula grátis de System Design Basics for Backend Developers no CoddyKit. Esta é a aula 4 de 4. Você pode ler a aula completa abaixo gratuitamente — depois pratica ao vivo no navegador com um editor de código integrado e um tutor de IA 24/7. Faz parte do caminho de aprendizado de System Design Basics for Backend Developers, e seu progresso é sincronizado entre a web e o app CoddyKit. O curso de System Design Basics for Backend Developers inclui 4 aulas no total.
Partes desta aula ainda não foram traduzidas e aparecem em inglês.
Why Rate Limit?
Rate limiting caps how many requests a client can make in a time window. It protects a system from abuse, accidental floods, and runaway clients.
- Stops brute-force and scraping attacks
- Ensures fair sharing among clients
- Protects backends from overload
Rate Limiting vs Throttling
The terms overlap but differ slightly: rate limiting rejects requests over a hard cap, while throttling often slows or queues excess requests rather than rejecting them outright.
Fixed Window Counter
The simplest scheme counts requests in fixed time windows, e.g. 100 per minute. It is easy but has an edge problem: a client can send 100 at the end of one window and 100 at the start of the next — 200 in a few seconds.
limit = 100
window = '12:00:00-12:00:59'
count = 0
# reset count to 0 each new windowSliding Window
A sliding window smooths the edge problem by weighting the previous window or tracking timestamps over a rolling interval. It gives a more accurate, fairer limit at the cost of more bookkeeping.
Token Bucket
The token bucket is the most popular algorithm. Tokens refill at a steady rate up to a capacity. Each request consumes a token; if the bucket is empty, the request is rejected. This allows short bursts while bounding the average rate.
import time
class Bucket:
def __init__(self, cap, rate):
self.cap = cap
self.rate = rate
self.tokens = cap
self.last = time.time()
def allow(self):
now = time.time()
self.tokens = min(self.cap, self.tokens + (now - self.last) * self.rate)
self.last = now
if self.tokens >= 1:
self.tokens -= 1
return True
return False
b = Bucket(5, 1)
print([b.allow() for _ in range(7)])Leaky Bucket
The leaky bucket processes requests at a fixed rate, queuing bursts and 'leaking' them out steadily. It smooths traffic into a constant outflow — good when the downstream needs a steady, predictable load.
Choosing the Limit Key
Decide what to limit on:
- Per API key or user — fair per-account limits
- Per IP — defends against anonymous abuse
- Per endpoint — protects expensive operations
Often you combine several keys.
Communicating Limits
Tell clients their status with standard headers and the right status code, so well-behaved clients can back off.
HTTP/1.1 429 Too Many Requests
Retry-After: 30
X-RateLimit-Limit: 100
X-RateLimit-Remaining: 0
X-RateLimit-Reset: 1735689600Distributed Rate Limiting
With many app servers, an in-memory counter per server is inconsistent. Use a shared store like Redis with atomic increments (or Lua scripts) so the limit is enforced globally across the fleet.
INCR rl:user:42
EXPIRE rl:user:42 60
# reject when value > limitRate Limiting and DDoS
Rate limiting complements DDoS protection. Application-layer limits stop a single abusive client, while edge and network defenses absorb large volumetric floods before they reach your servers. Defense in depth uses both.
Designing Good Limits
Set limits from real usage data, allow reasonable bursts, expose clear headers, and return 429 with Retry-After. Consider tiered limits — higher caps for paid plans, stricter ones for unauthenticated traffic.
Quick Check
Test your understanding of rate limiting.
Recap
You learned to protect systems with rate limiting:
- Fixed window, sliding window, token bucket, and leaky bucket
- Choose limit keys: per user, per IP, per endpoint
- Return 429 with Retry-After and rate-limit headers
- Use a shared store like Redis for distributed enforcement
Perguntas Frequentes
A aula “Limitação e Controle de Taxa” é grátis?
Sim — o texto completo de “Limitação e Controle de Taxa” é grátis para ler aqui na web. Para praticá-la interativamente (um editor de código integrado e um tutor de IA 24/7) e desbloquear o restante do curso de System Design Basics for Backend Developers, atualize para CoddyKit PRO. O curso de System Design Basics for Backend Developers inclui 4 aulas no total.
O que vou aprender em “Limitação e Controle de Taxa”?
Aprenda como a limitação de taxa protege sistemas contra abuso e sobrecarga, incluindo os algoritmos de balde de tokens e janela deslizante. Você pratica System Design Basics for Backend Developers com código prático que executa diretamente no navegador, e um tutor de IA 24/7 responde suas dúvidas enquanto trabalha na aula.
Preciso ter experiência prévia para começar System Design Basics for Backend Developers?
Nenhuma experiência prévia é necessária. System Design Basics for Backend Developers no CoddyKit é estruturado para alunos iniciantes até avançados, então você pode começar aqui ou desde o início e aprender no seu ritmo. Esta é a aula 4 de 4.
Quanto tempo leva a aula “Limitação e Controle de Taxa”?
A maioria das aulas CoddyKit leva cerca de 5–10 minutos. Cada uma é compacta e interativa, então você faz progresso constante e retoma exatamente de onde parou entre web e app.
Posso escrever e executar código nesta aula de System Design Basics for Backend Developers?
Sim. Cada aula de System Design Basics for Backend Developers inclui um editor de código integrado, então você escreve e executa código real direto no navegador e recebe feedback de IA instantaneamente — nenhuma configuração local necessária.
Todas as aulas deste curso
- Autenticação e autorização
- Criptografia e privacidade de dados
- Proteção contra DDoS e firewalls
- Limitação e Controle de Taxa