Fejn u kif tikkunfigura r-rata tal-limitazzjoni?

Question

Accepted Answer

Ir-rata tal-limitazzjoni tkappella kemm ħafna mistoħbiet jista' jagħmel kliyent f'window ta' ħin. Tapplikaħ f'**ħafna saffi** minħabba li kull waħda tidħol xi ħaġa differenti, u taffetwaħha b'**kwalunkwe ħaġa li tidentifika l-abusatur**.

## Fejn tikkunfiguraħ

- **Edge / CDN** — l-ewwel linja, qabel ma l-traffiku jilħaq inti. L-iktar irħis biex jiġi applikat (l-attakkant qatt ma jmiss l-oriġini tiegħek) iżda grossier, normalment mogħdija b'IP.
- **Reverse proxy** (nginx, Envoy) — tipprotezzja l-oriġini minn flood li jgħaddew il-CDN, b'kontroll finu fuq zone u burst.
- **Application layer** — l-aktar saff intelliġent: jaf l-**utent, il-keya API, jew token**, allura jista' japplika kwoti per-kont u jipproteġi operazzjonijiet negozju għaliex li proxy ma jista' jara.

## Kif taffetwaħ u tikkunfiguraħ

- **Affetwaħ b'** IP (anonim), keya API (partner), jew utent awtentikat (ġustizzja per-kont).
- **Token bucket vs leaky bucket** — token bucket jippermetti **burst** qasira billi takkumula tokens, imbagħad tistabilizza; leaky bucket tislis lura rata konstanti. Il-biċċa tal-API jridu token bucket allura burst leġittimi ma jkunux imkastrini.
- **Agħżel limiti minn baseline + headroom** — kejjel normal peak per kliyent, imbagħad issettja l-kapp kumfortevolment fuqu allura utenti reali ma jilħqux qatt.
- **Irridò `429 Too Many Requests` b'`Retry-After`** allura kliyent irritratt b'polidez minflok ma jkomplu jaħbtu.

## Eżempju: nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

Hawnhekk kull IP timlá 10 mistoħbiet/sekonda, tista' burst sa 20, u kwalunkwe ħaġa ta' fuqu tikseb `429`.

## Għaliex hu importanti

Ir-rata tal-limitazzjoni hija d-difiza l-irħas u talwaqt activated tiegħek kontra Layer 7 floods, credential stuffing, u scrapers li jkomplu. Istratifikazzjoni tagħha (edge għal volum, proxy għal oriġini, app għal logika negozju) u affetwaħha korrezzjonalment tissopp abusaturi filwaqt li utenti reali — u burst leġittimi — jgħaddu hurt-free. Issettja limiti minn baseline reali hija dik li timmiex milli ssir blackout tal-inti stess.