レート制限はどこで、どのように設定しますか?

キーの設定と形成方法

• キー指定: IP (匿名)、API キー (パートナー)、または認証済みユーザー (アカウントごとの公平性)。
• Token bucket vs leaky bucket — token bucket はトークンを蓄積することで短いバーストを許可し、その後安定化します。leaky bucket は一定速度に平準化します。ほとんどの API は token bucket を望みます。これにより正当なバーストがペナルティを受けません。
• ベースライン + 余裕から制限を選択 — クライアントごとの通常のピークを測定し、実ユーザーが決して達しないように上限を十分に上に設定します。
• Retry-After を含む 429 Too Many Requests を返す — クライアントはハンマリングの代わりに礼儀正しくバックオフします。

例: nginx limit_req

ここでは各 IP は毎秒 10 リクエストで補充され、最大 20 までバーストでき、それ以上は 429 を取得します。

なぜ重要なのか

レート制限は、Layer 7 フラッド、認証情報詰め込み、および暴走スクレーパーに対する最も安価で常時稼働している防御です。レイヤー化 (ボリューム用エッジ、オリジン用プロキシ、ビジネスロジック用アプリ) し、正しくキー指定することで、悪用者を阻止しながら実ユーザー (および正当なバースト) を無傷で通過させます。実際のベースラインから制限を設定することが、自分自身の停止にならないようにすることです。