Безопасность5 мин чтения
Лимиты частоты и злоупотребления, ради которых они и нужны
Лимиты не про ёмкость. Они про то небольшое число клиентов, которые иначе съедят всё, и добавлять их проще до того, как они понадобятся.
Лимит частоты обычно объясняют как защиту от нагрузки, и это его недооценивает. Обычному трафику ограничения не нужны. Лимит существует ради того единственного клиента, который сделает десять тысяч запросов в минуту — со злым умыслом или из-за случайно написанного цикла.
Куда их ставить
- Endpoint-ы входа — именно туда приходит credential stuffing.
- Всё, что отправляет письмо или сообщение, потому что это стоит денег и репутации.
- Дорогие запросы — поиск, отчёты, всё, что сканирует.
- Регистрация, если вам не в радость модерировать аккаунты, которые никто не создавал намеренно.
Отказывайте вежливо
Возвращайте понятный статус и подсказку про повтор, а не рвите соединение. Приличный клиент отступит; неприличный всё равно был бы заблокирован, и теперь у вас есть строка в логе, объясняющая почему.