Di mana dan bagaimana anda mengkonfigurasi pembatasan kadar?

Question

Accepted Answer

Pembatasan kadar membatasi berapa banyak permintaan yang boleh dibuat oleh klien dalam jendela waktu. Anda menerapkannya di **berbagai lapisan** karena masing-masing melihat sesuatu yang berbeda, dan anda menggunakannya dengan kunci **apa pun yang mengidentifikasi penyalahguna**.

## Di mana mengkonfigurasinya

- **Edge / CDN** — garis pertama, sebelum lalu lintas mencapai anda. Paling murah untuk ditegakkan (penyerang tidak pernah menyentuh asal anda) tetapi kasar, biasanya dikunci oleh IP.
- **Reverse proxy** (nginx, Envoy) — melindungi asal dari banjir yang melewati CDN, dengan kontrol halus atas zona dan ledakan.
- **Application layer** — lapisan paling cerdas: mengetahui **pengguna, kunci API, atau token**, sehingga dapat menerapkan kuota per akun dan melindungi operasi bisnis mahal yang tidak dapat dilihat proxy.

## Cara mengkunci dan membentuknya

- **Kunci oleh** IP (anonim), kunci API (mitra), atau pengguna autentik (keadilan per akun).
- **Token bucket vs leaky bucket** — token bucket memungkinkan **ledakan** pendek dengan mengumpulkan token, kemudian menetap; leaky bucket memuluskan ke laju konstan. Sebagian besar API menginginkan token bucket sehingga ledakan yang sah tidak dihukum.
- **Pilih batas dari baseline + headroom** — ukur puncak normal per klien, kemudian tetapkan batas dengan nyaman di atasnya sehingga pengguna nyata tidak pernah mencapainya.
- **Kembalikan `429 Too Many Requests` dengan `Retry-After`** sehingga klien mundur dengan sopan daripada terus mengetuk.

## Contoh: nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

Di sini setiap IP diisi ulang pada 10 permintaan/detik, dapat meledak hingga 20, dan apa pun di atasnya mendapat `429`.

## Mengapa itu penting

Pembatasan kadar adalah pertahanan termurah dan selalu aktif anda terhadap banjir Layer 7, credential stuffing, dan scraper yang liar. Melapisinya (edge untuk volume, proxy untuk asal, app untuk logika bisnis) dan menguncinya dengan benar menghentikan penyalahguna sementara pengguna nyata — dan ledakan yang sah — lolos dengan aman. Menetapkan batas dari baseline nyata adalah yang mencegahnya menjadi pemadaman buatan anda sendiri.