Hız Sınırlama ve Kötüye Kullanım

API kötüye kullanımı, bir API'yi amaçlanandan çok daha fazla veya farklı biçimde kullanmaktır.

Saldırganlar içeri girmeden bile çok sayıda istek göndererek verileri kazıyabilir, parolaları tahmin edebilir veya bir hizmeti aşırı yükleyebilir.

Hız sınırlama, bir istemcinin belirli bir zaman aralığında yapabileceği istek sayısını sınırlar.

Örneğin, dakikada 100 istek. Bu sınır aşıldığında API sonraki çağrıları reddeder veya geciktirir.

Sınırlar olmadan tek bir istemci API'yi istek yağmuruna tutabilir.

Bu durum hizmet engellemeye yol açar, maliyetleri artırır ve kaba kuvvet ile veri kazıma saldırılarına olanak tanır. Sınırlar kullanımı adil ve güvenli tutar.

Limit olmayan bir giriş uç noktası kaba kuvvet saldırılarına davetiye çıkarır.

Saldırgan binlerce parola dener. Hız sınırlaması bunu son derece yavaşlatır ve uygulanamaz hâle getirir.

Bir istemci limiti aştığında API, 429 Çok Fazla İstek durumunu döndürür.

Açık bir yanıt, kurallara uyan istemcilere yavaşlamaları ve beklemeleri gerektiğini bildirir.

İyi API'ler, istemcilerin uyum sağlayabilmesi için limit bilgilerini üstbilgilerde paylaşır:

Limitlerin sayım yapılacak bir anahtara ihtiyacı vardır; bu anahtar bir API anahtarı, kullanıcı belirteci veya IP adresi olabilir.

Kullanıcı başına anahtarlar en iyisidir; çünkü IP tabanlı limitler paylaşılabilir veya sahte gösterilebilir.

Yavaşlatma, istekleri yavaşlatır; engelleme ise istekleri doğrudan reddeder.

Yavaşlatma, meşru yoğunluklar için daha yumuşakken engelleme, açıkça kötü amaçlı istemcilere karşı daha güçlüdür.

Kota, günlük 10.000 istek gibi uzun vadeli bir üst sınırdır.

Kotalar genel kullanımı ve maliyeti denetlerken hız sınırları kısa süreli trafik patlamalarını yönetir.

Arama veya rapor oluşturma gibi bazı uç noktaların maliyeti çok daha yüksektir.

Birkaç yoğun isteğin kaynaklarınızı tüketmesini önlemek için bunlara daha sıkı limitler uygulayın.

Salt sayımların yanı sıra ani artışlar, tek bir istemciden birçok hesaba gelen istekler veya veri kazıma dizileri gibi örüntüleri izleyin.

Limitleri izlemeyle birleştirmek, ustaca yapılan kötüye kullanımları yakalar.

Bir istemcinin hız sınırını aştığını hangi HTTP durum kodu belirtir?

Hız sınırlaması ve kotalar, kaba kuvvet, veri kazıma ve hizmet engelleme gibi API kötüye kullanımlarını önler.

Limitlere ulaşıldığında 429 döndürün, istemcileri anahtarlarla belirleyin, yavaşlatın veya engelleyin, maliyeti yüksek uç noktaları koruyun ve kötüye kullanım örüntülerini izleyin.