Ku dhe si e konfiguroni kufizimet e shkallës?

Question

Accepted Answer

Kufizimet e shkallës caktojnë sa kërkesa mund të bëjë një klient në një periudhë kohore. E zbatoni në **shumë shtresa** sepse secila sheh diçka të ndryshme, dhe e identifikoni me **gjithçka që identifikon abuzuesin**.

## Ku ta konfiguroni

- **Edge / CDN** — linja e parë, përpara se trafiku të arrijë tek ju. Më e lirë për të zbatuar (sulmuesit nuk prekin kurrë origjinën tuaj) por e përgjithshme, zakonisht e identifikuar sipas IP-it.
- **Proxy i kundërt** (nginx, Envoy) — mbron origjinën nga përmbytjet që kalojnë CDN-në, me kontroll të imët mbi zonat dhe shpërthimet.
- **Shtresa e aplikacionit** — shtresa më e zgjuar: ajo njeh **përdoruesin, çelësin e API-t ose tokenin**, kështu që mund të zbatojë kuota për-llogari dhe të mbrojë operacione biznesi të shtrenjta që një proxy nuk mund të shohë.

## Si ta identifikoni dhe formësoni atë

- **Identifikimi sipas** IP-it (anonim), çelësi API (partnerët), ose përdoruesi i autentifikuar (drejtësi për-llogari).
- **Token bucket vs leaky bucket** — token bucket lejon **shpërthime** të shkurtra duke akumuluar tokena, pastaj qetësohet; leaky bucket zbutë në një shkallë konstante. Shumica e API-ve duan token bucket kështu që shpërthimet legjitime nuk ndëshkohen.
- **Zgjidhni kufijtë nga bazalina + hapësirë buferi** — matni kulmin normal për klient, pastaj vendosni kapakun komodisht mbi të kështu që përdoruesit realë nuk e godasin kurrë.
- **Kthejnë `429 Too Many Requests` me `Retry-After`** kështu që klientët mblidhen me edukatë në vend që të godasin në mënyrë të pamëdyshme.

## Shembull: nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

Këtu secili IP rimbushet me 10 kërkesa/sekondë, mund të shpërthejë deri në 20, dhe çdo gjë përtej merr një `429`.

## Pse ka rëndësi

Kufizimet e shkallës janë mbrojtja juaj më e lirë, gjithmonë-aktive kundër përmbytjeve të Shtresës 7, mbushjes së kredencialeve dhe skraperëve të pamëdyshem. Shtresëzimi i tyre (edge për vëllim, proxy për origjinën, aplikacion për logjikën e biznesit) dhe identifikimi i tyre siç duhet ndal abuzuesit ndërsa përdoruesit realë — dhe shpërthimet legjitime — kalojnë nëpër këtu të paprekur. Vendosja e kufijve nga bazalinat realë është ajo që e parandalon atë të bëhet një ndërprerje të vetin tuaj.