Qu'est-ce que la limitation de débit des API SaaS ?

L'API SaaS d'une application basée sur le cloud limite le nombre d'appels d'API à un service pendant une certaine période pour un appareil client, un utilisateur, une adresse IP, une clé ou un locataire. Le client est configuré pour envoyer un nombre spécifique de requêtes. Ce type de limitation d'API a des implications pour la capacité de l'infrastructure de service, car il aide également à la limitation de l'accès des utilisateurs et à la gestion des dépenses cloud.

Dans les mécanismes de limitation de débit, la surveillance des messages « 429 Too Many Requests » est une pratique courante, qui se produit lorsque les serveurs les transmettent aux clients une fois leur seuil de requêtes atteint. Dans de nombreux cas, les serveurs utilisent l'en-tête « Retry-After » pour informer les clients du délai recommandé entre les tentatives de requêtes.

Voici ce que la limitation de débit fait spécifiquement :

• Elle est associée à la résolution de problèmes opérationnels potentiels du système pouvant découler d'un volume élevé de requêtes provenant d'une origine imprévue.
• Elle prévient des activités telles que le web scraping ou les attaques par force brute.
• Elle permet de gérer les coûts découlant de l'autoscaling ou de l'utilisation des ressources par les systèmes en aval.

1. Suivez les instructions fournies dans les en-têtes Retry-After.
2. Utilisez un backoff exponentiel avec une composante aléatoire.
3. « Mettez en file d'attente » les requêtes ou répartissez la charge en cas de forte simultanéité.
4. Vous pouvez implémenter un seau à jetons pour la gestion du trafic et des files d'attente côté client pour les charges de travail qui nécessitent ​‍​‌‍​‍‌du parallélisme.

Une solution typique implique diverses couches : passerelle API, plateforme de sécurité en périphérie et système de contrôle des services ou de quotas. Les modèles suivants peuvent être applicables :

• Limites par clé
• Limites par locataire
• Limites spécifiques aux points de terminaison
• Plans à plusieurs niveaux

Dans les cas où la limitation du taux de requêtes entraîne un nombre plus élevé de contacts clients pour le personnel de support, il est conseillé d'expliquer la base des limitations de requêtes. Il est recommandé aux fournisseurs de :
· Utiliser des codes d'état HTTP distincts.
· Afficher les en-têtes Retry-After et rate-limit.
· Les limites spécifiées dans les documents doivent être communiquées aux développeurs.
· Dans la mesure du possible, afficher les statistiques d'utilisation du client ou son quota restant.

La limitation de débit gère les abus, les coûts et l'équité, mais son efficacité à résoudre les problèmes dans les systèmes distribués peut avoir des limites. L'intégration de la limitation de débit avec d'autres contrôles mérite d'être prise en considération :

• Quotas
• Protection WAF ou contre les bots
• Authentification et idempotence
• Surveillance