Où et comment configurez-vous la limitation de débit ?

Question

Accepted Answer

La limitation de débit plafonne le nombre de requêtes qu'un client peut effectuer dans une fenêtre de temps. Vous l'appliquez à **plusieurs couches** car chacune voit quelque chose de différent, et vous la basez sur **tout ce qui identifie l'abuseur**.

## Où la configurer

- **Edge / CDN** — la première ligne, avant que le trafic ne vous atteigne. La moins chère à enforcer (l'attaquant ne touche jamais votre origine) mais grossière, généralement basée sur l'IP.
- **Reverse proxy** (nginx, Envoy) — protège l'origine des inondations qui passent le CDN, avec un contrôle fin des zones et des rafales.
- **Couche application** — la couche la plus intelligente : elle connaît l'**utilisateur, la clé API, ou le token**, donc elle peut appliquer des quotas par compte et protéger les opérations métier coûteuses qu'un proxy ne peut pas voir.

## Comment la baser et la façonner

- **Baser sur** l'IP (anonyme), la clé API (partenaires), ou l'utilisateur authentifié (équité par compte).
- **Token bucket vs leaky bucket** — token bucket permet des **rafales** courtes en accumulant des tokens, puis se stabilise ; leaky bucket lisse vers un débit constant. La plupart des APIs préfèrent token bucket pour que les vraies rafales ne soient pas pénalisées.
- **Choisir les limites à partir de la baseline + marge** — mesurez le pic normal par client, puis fixez le plafond confortablement au-dessus pour que les vrais utilisateurs ne le dépassent jamais.
- **Retourner `429 Too Many Requests` avec `Retry-After`** pour que les clients se retirent poliment au lieu de marteler.

## Exemple : nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

Ici chaque IP se recharge à 10 requêtes/seconde, peut faire une rafale jusqu'à 20, et tout ce qui dépasse reçoit un `429`.

## Pourquoi c'est important

La limitation de débit est votre défense la moins chère, toujours active, contre les inondations de couche 7, le credential stuffing, et les scrapers qui s'échappent. La superposer (edge pour le volume, proxy pour l'origine, app pour la logique métier) et la baser correctement arrête les abuseurs tandis que les vrais utilisateurs — et les vraies rafales légitimes — passent sans encombre. Fixer les limites à partir de vraies baselines est ce qui l'empêche de devenir une panne que vous vous infligez vous-même.