Ограничение частоты запросов API
Определение
Ограничение частоты запросов API — правило, которое разрешает клиенту или ключу не больше заданного числа обращений за короткий интервал, а лишние отклоняет. Его не стоит путать с квотой: квота считает расход за длительный расчётный период.
Также ищут: API rate limiting · ограничитель запросов · регулирование нагрузки API
Зачем это знать
Оно сглаживает нагрузку и защищает ресурсы от исчерпания и чрезмерно активных соседей, но не проверяет право читать или менять объект.
Карта понятия
Что подтверждено
NIST определяет ограничение частоты как число запросов, разрешённых клиенту за заданный интервал, и отличает его от долгосрочной расчётной квоты.
Граница применимости: Ограничения во время работы API по NIST SP 800-228.
Ограничитель управляет потреблением и справедливым распределением ресурсов, а проверка прав решает, разрешены ли субъекту ресурс и действие; обе меры нужны независимо.
Граница применимости: Защита ресурсов API и решение о доступе.
Что проверить
- Выберите признак, по которому считается клиент.
- Задайте короткий интервал и допустимый всплеск.
- Отдельно примените проверку прав.
Первоисточники
- Guidelines for API Protection for Cloud-Native Systems
Задаёт API lifecycle controls для authentication, authorization, rate limits, resource limits, logging и monitoring.
- Security and Privacy Controls for Information Systems and Organizations
Содержит controls для authorization, least privilege, separation of duties, privileged functions и protection of audit information.
Утверждения: 02
- Additional HTTP Status Codes
Определяет 429 Too Many Requests и optional Retry-After, не задавая identity key или counting algorithm.