Ning endi lan cara pira sampeyan nata-ata rate limiting?

Question

Accepted Answer

Rate limiting mbatesi pirang permintaan sing bisa digawe klien ing tetenger wektu. Sampeyan nerapake ing **marang-marang tingkat** amarga saben-saben ndeleng bab sing beda, lan sampeyan ngandeli ing **apa wae sing ngeidentifikasi panyalahguna**.

## Ing ngendi nata-ata

- **Edge / CDN** — baris pertama, sadurunge lalulintas tekan sampeyan. Paling murah kanggo ngetrapake (penyerang ora tau kanggo asal sampeyan) nanging kasar, biasane dikunci dening IP.
- **Reverse proxy** (nginx, Envoy) — nglindhungi asal saking gentos sing liwat CDN, kanthi kontrol apik ing zona lan meledak.
- **Application layer** — tingkat paling pinter: ngerti **pangguna, kunci API, utawa token**, dadi bisa nangani kuota per-akun lan nglindhungi operasi bisnis larang sing proxy ora bisa ndeleng.

## Carane nanduri lan mbentuk

- **Kunci dening** IP (anonimus), kunci API (mitra), utawa pangguna sing autentik (kabeneran per-akun).
- **Token bucket vs leaky bucket** — token bucket ngidini **meledak** singkat kanthi akumulasi token, banjur tetep; leaky bucket ngalus dadi tingkat konstan. Akeh API pengin token bucket, dadi meledak sah ora ditukso.
- **Pilih wates saka baseline + ruang kepala** — pangukuran puncak normal saben klien, banjur tetapake tutuk cedhak mungguh supaya pangguna nyata ora tekan.
- **Bali `429 Too Many Requests` kanthi `Retry-After`** supaya klien mundur kanthi sopan tinimbang ngetok.

## Conto: nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

Dhene saben IP ngisi ulang ing 10 permintaan/detik, bisa meledak mungguh 20, lan apa wae ing sajroning kepala dadi `429`.

## Napa iku penting

Rate limiting minangka pertahanan paling murah lan tansaya-isine nglawan banjir Layer 7, credential stuffing, lan scraper sing buta. Stratifikasi (edge kanggo volume, proxy kanggo asal, app kanggo logika bisnis) lan nanduri kanthi bener mandegake panyalahguna nalika pangguna nyata — lan meledak sah — kacilakan. Nyetelake wates saka baseline nyata yaiku sing nglindungi saka dadi pemadaman sing digawe dhewe.