Gdje i kako konfigurirate ograničenje brzine zahtjeva?

Question

Accepted Answer

Ograničenje brzine zahtjeva ograničava koliko zahtjeva klijent može poslati u vremenskom prozoru. Primjenjujete ga na **više slojeva** jer svaki vidi nešto drugačije, i ključate ga po **onome što identificira zloupotrebljavatelja**.

## Gdje ga konfigurirati

- **Edge / CDN** — prva linija obrane, prije nego što promet dosegne vas. Najjeftinije za primjenu (napadač nikad ne dotiče vašu origin infrastrukturu) ali grube, obično ključano po IP adresi.
- **Reverzni proxy** (nginx, Envoy) — štiti origin od poplava koje prođu kroz CDN, s finim kontrolama nad zonama i burst-ima.
- **Sloj aplikacije** — najinteligentniji sloj: zna **korisnika, API ključ ili token**, pa može primjenjivati po-računske kvote i zaštititi skupe poslovne operacije koje proxy ne može vidjeti.

## Kako ga ključati i oblikovati

- **Ključajte po** IP adresi (anonimni), API ključu (partneri), ili autentizirani korisnik (fer po-računski pristup).
- **Token bucket vs curljajući bucket** — token bucket omogućava kratke **burst-e** akumulacijom tokena, zatim se stabilizira; curljajući bucket gladi konstantnu brzinu. Većina API-ja želi token bucket kako legitimni burst-i ne bi bili kažnjeni.
- **Odaberite limite od baseline + margina** — izmjerite normalnu vršnu vrijednost po klijentu, zatim postavite cap udobno iznad toga kako pravi korisnici nikad ne bi pogodili.
- **Vratite `429 Too Many Requests` s `Retry-After`** kako bi se klijenti ljubazno povukli umjesto da bombardiraju.

## Primjer: nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

Ovdje se svaka IP adresa dopunjava s 10 zahtjeva/sekundi, može burst do 20, i sve što je više dobije `429`.

## Zašto je važno

Ograničenje brzine zahtjeva je vaša najjeftinija, uvijek uključena obrana od Layer 7 poplava, napadaja kredencijala i neupravljivih scraper-a. Slaganje ga (edge za volumen, proxy za origin, aplikacija za poslovnu logiku) i pravilno ključanje ga zaustavlja zloupotrebljavatelje dok pravi korisnici — i legitimni burst-i — prolaze neoštećeni. Postavljanje limite od stvarnih baseline-a je ono što sprječava da postane prekid vašeg vlastitog stvaranja.