Hız sınırlamasını nerede ve nasıl yapılandırırsınız?

Question

Accepted Answer

Hız sınırlaması, bir istemcinin belirli bir zaman penceresinde yapabileceği istek sayısını sınırlar. Bunu **birden fazla katmanda** uygulamanız gerekir çünkü her katman farklı şeyler görür ve bunu **kötüye kullanıcıyı tanımlayan herhangi bir şey** ile anahtarlanır.

## Bunu nerede yapılandırırsınız

- **Edge / CDN** — ilk savunma hattı, trafik size ulaşmadan önce. Uygulaması en ucuz (saldırgan asla kaynak sunucunuza erişemez) ancak kaba taneli, genellikle IP ile anahtarlanır.
- **Ters proxy** (nginx, Envoy) — CDN'yi geçen saldırılardan kaynağı korur, bölgeler ve patlamalar üzerinde ince kontrol sağlar.
- **Uygulama katmanı** — en akıllı katman: **kullanıcı, API anahtarı veya token** bilir, bu nedenle hesap başına kotalar uygulayabilir ve bir proxy'nin göremediği pahalı işlemleri koruyabilir.

## Bunu nasıl anahtarlanır ve şekillendirilir

- **Anahtar olarak** IP (anonim), API anahtarı (ortaklar) veya kimliği doğrulanmış kullanıcı (hesap başına adalet) kullanın.
- **Token bucket vs leaky bucket** — token bucket **patlamalar** için tokenleri biriktirerek izin verir, sonra sabitlenir; leaky bucket sabit bir hıza düzleştirir. Çoğu API, meşru patlamaların cezalandırılmaması için token bucket ister.
- **Sınırları temel + başlık boşluğundan seçin** — istemci başına normal tepe değerini ölçün, sonra gerçek kullanıcıların asla çarpmaması için sınırı rahatça yukarıya ayarlayın.
- **`429 Too Many Requests` ile `Retry-After` döndürün** böylece istemciler nezaketle geri çekilir ve sürekli çalışmaz.

## Örnek: nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

Burada her IP saniyede 10 istekle yenilenir, 20'ye kadar patlamaya izin verilir ve bunun ötesindeki her şey `429` alır.

## Neden önemli

Hız sınırlaması, Layer 7 saldırılarına, kimlik bilgisi doldurmasına ve kontrolsüz scraper'lara karşı en ucuz, her zaman açık savunmanızdır. Bunu katmanlandırma (hacim için edge, kaynak için proxy, iş mantığı için uygulama) ve doğru şekilde anahtarlama, kötüye kullanıcıları durdurur ve gerçek kullanıcılar — ve meşru patlamalar — sorunsuz geçer. Sınırları gerçek temeli üzerinden ayarlamak, kendi yapmanız halinde bir kesintiye dönüşmesini engeller.