Var och hur konfigurerar du hastighetsbegränsning?

Question

Accepted Answer

Hastighetsbegränsning begränsar hur många förfrågningar en klient kan göra inom ett tidsintervall. Du tillämpar den på **flera nivåer** eftersom varje nivå ser något olika, och du identifierar abusören med **vad som helst som identifierar angriparen**.

## Var du konfigurerar den

- **Edge / CDN** — första försvarslinjen innan trafiken når dig. Billigast att tillämpa (angriparen når aldrig din origin) men grov, vanligtvis identifierad via IP.
- **Reverse proxy** (nginx, Envoy) — skyddar origin från överbelastning som passerar CDN, med fin kontroll över zoner och burst.
- **Applikationsnivå** — den smartaste nivån: den känner till **användaren, API-nyckeln eller token**, så den kan tillämpa per-konto kvoter och skydda dyra affärsoperationer som en proxy inte kan se.

## Hur du identifierar och formar den

- **Identifiera med** IP (anonym), API-nyckel (partners) eller autentiserad användare (per-konto rättvisa).
- **Token bucket vs leaky bucket** — token bucket tillåter korta **burst** genom att ackumulera tokens, sedan stabiliseras det; leaky bucket utjämnar till konstant hastighet. De flesta API:er vill ha token bucket så legitima burst inte straffas.
- **Välj gränser från baslinje + marginal** — mät normal topp per klient, ställ sedan gränsen bekvämt över den så verkliga användare aldrig når den.
- **Returnera `429 Too Many Requests` med `Retry-After`** så klienter backar av artigt istället för att hamra.

## Exempel: nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

Här fylls varje IP på med 10 förfrågningar/sekund, kan burst upp till 20, och allt bortom det får en `429`.

## Varför det är viktigt

Hashtighetsbegränsning är ditt billigaste, alltid-aktiva försvar mot Layer 7-överbelastningar, credential stuffing och löpande skrapare. Lagring av den (edge för volym, proxy för origin, app för affärslogik) och korrekt identifiering stoppar abusörer medan verkliga användare — och legitima burst — passar igenom opåverkade. Att ställa gränser från verkliga baslinjer är vad som håller det från att bli ett avbrott av din egen skapelse.