¿Qué es la Limitación de Tasa de API en SaaS?

La API de SaaS de una aplicación basada en la nube limita el número de llamadas a la API a un servicio durante un período determinado para un dispositivo cliente, un usuario, una IP, una clave o un inquilino. El cliente está configurado para enviar un número específico de solicitudes. Este tipo de limitación de la API tiene implicaciones para la capacidad de la infraestructura del servicio, ya que también ayuda con la limitación del acceso de usuarios y contribuye a la gestión del gasto en la nube.

Dentro de los mecanismos de limitación de tasa, el monitoreo de mensajes ‘429 Too Many Requests’ es una práctica común, que ocurre cuando los servidores los transmiten a los clientes una vez que se ha alcanzado su umbral de solicitudes. En muchos casos, los servidores usan el encabezado “Retry-After” para informar a los clientes qué retraso se recomienda entre reintentos de solicitudes.

Esto es lo que hace específicamente la limitación de tasa:

• Se asocia con la resolución de posibles problemas operativos del sistema que pueden surgir de un alto volumen de solicitudes de un origen imprevisto.
• Evita actividades como el web scraping o el hacking de fuerza bruta.
• Aborda el coste derivado del autoescalado o del uso de recursos por parte de sistemas descendentes.

1. Sigue las instrucciones dadas en los encabezados Retry-After.
2. Prueba la retirada exponencial con un componente aleatorio.
3. Pon en cola las solicitudes o distribuye la carga en alta concurrencia.
4. Puedes implementar un token bucket para la gestión del tráfico y la cola en el lado del cliente para cargas de trabajo que requieran paralelismo.

Una solución típica implica varias capas: gateway API, plataforma de seguridad perimetral y sistema de control de servicios o cuotas. Los siguientes patrones pueden ser aplicables:

• Límites por clave
• Límites por inquilino
• Límites específicos de punto final
• Planes escalonados

En los casos en que la limitación de la tasa contribuya a un mayor número de contactos de clientes para el personal de soporte, es aconsejable explicar el motivo de las limitaciones de solicitudes. Se debe aconsejar a los proveedores que:
· Utilicen códigos de estado HTTP distintos.
· Muestren los encabezados Retry-After y de límite de tasas.
· Las limitaciones especificadas en los documentos deben comunicarse a los desarrolladores.
· Cuando sea factible, muestren las estadísticas de uso del cliente o su cuota restante.

La limitación de tasa gestiona el abuso, el costo y la equidad, pero su eficacia para resolver problemas en sistemas distribuidos puede tener límites. La integración de la limitación de tasa con otros controles merece consideración:

• Cuotas
• WAF o protección contra bots
• Autenticación e idempotencia
• Monitoreo