Ограничение частоты запросов и злоупотребления

Злоупотребление API — это использование API гораздо чаще или иначе, чем предусмотрено.

Даже не взламывая систему, злоумышленники могут автоматически собирать данные, подбирать пароли или перегружать сервис, просто отправляя множество запросов.

Ограничение частоты запросов устанавливает максимальное число запросов, которое клиент может отправить за определённый период.

Например, 100 запросов в минуту. После этого API отклоняет или задерживает последующие вызовы.

Без ограничений один клиент может перегрузить API.

Это приводит к отказу в обслуживании, увеличивает расходы и позволяет проводить атаки перебором и автоматически собирать данные. Ограничения делают использование справедливым и безопасным.

Конечная точка входа без ограничений сама провоцирует перебор.

Злоумышленник перебирает тысячи паролей. Ограничение частоты запросов замедляет этот процесс до черепашьего шага и делает его непрактичным.

Когда клиент превышает ограничение, API возвращает код состояния 429 Слишком много запросов.

Понятный ответ подсказывает добросовестным клиентам снизить частоту запросов и сделать паузу.

Хорошие API передают сведения об ограничении в заголовках, чтобы клиенты могли адаптироваться:

Для подсчёта запросов нужен ключ, например ключ API, токен пользователя или IP-адрес.

Лучше всего использовать ключи для каждого пользователя, поскольку ограничения по IP могут быть общими для нескольких пользователей или подделываться.

Замедление запросов снижает их частоту, а блокировка полностью отклоняет их.

Замедление мягче реагирует на добросовестные кратковременные всплески нагрузки, а блокировка эффективнее против явно вредоносных клиентов.

Квота — это ограничение на более длительный срок, например 10 000 запросов в день.

Квоты контролируют общее использование и расходы, а ограничения частоты запросов обрабатывают кратковременные всплески трафика.

Некоторые конечные точки требуют гораздо больше ресурсов, например поиск или создание отчётов.

Установите для них более жёсткие ограничения, чтобы несколько ресурсоёмких запросов не смогли исчерпать ваши ресурсы.

Следите не только за общим количеством запросов, но и за моделями поведения: внезапными всплесками, запросами одного клиента к множеству учётных записей или последовательностями автоматического сбора данных.

Сочетание ограничений с контролем помогает обнаруживать изощрённые злоупотребления.

Какой код состояния HTTP сообщает, что клиент превысил ограничение частоты запросов?

Ограничения частоты запросов и квоты предотвращают злоупотребления API, такие как перебор, автоматический сбор данных и отказ в обслуживании.

Возвращайте 429 при достижении ограничений, определяйте клиентов по ключу, замедляйте их запросы или блокируйте их, защищайте ресурсоёмкие конечные точки и отслеживайте подозрительные модели поведения.