O que é Limitação de Taxa de API SaaS?

A API SaaS de uma aplicação baseada na nuvem limita o número de chamadas de API a um serviço por um determinado período para um dispositivo cliente, utilizador, IP, chave ou inquilino. O cliente é configurado para enviar um número específico de pedidos. Este tipo de limitação de API tem implicações na capacidade da infraestrutura do serviço, pois também auxilia na limitação do acesso de utilizadores e ajuda na gestão dos gastos na nuvem.

Nos mecanismos de limitação de taxa, o monitoramento de mensagens ‘429 Too Many Requests’ é uma prática comum, ocorrendo quando os servidores as transmitem aos clientes após o limite de requisições ser atingido. Em muitos casos, os servidores utilizam o cabeçalho “Retry-After” para informar aos clientes qual atraso é recomendado entre as novas tentativas de requisição.

Aqui está o que a limitação de taxa faz especificamente:

• Está associado a abordar potenciais problemas operacionais do sistema que podem surgir de um alto volume de requisições de uma origem imprevista.
• Previne atividades como raspagem de dados ou ataques de força bruta.
• Aborda o custo decorrente do dimensionamento automático ou do uso de recursos por sistemas a jusante.

1. Siga as instruções indicadas nos cabeçalhos Retry-After.
2. Experimente a retentativa exponencial com um componente aleatório.
3. “Enfileire” as requisições ou distribua a carga em alta concorrência.
4. Você pode implementar um token bucket para gerenciamento de tráfego e fila no lado do cliente para cargas de trabalho que exigem paralelismo.

Uma solução típica envolve várias camadas: gateway de API, plataforma de segurança de borda e sistema de controle de serviço ou cota. Os seguintes padrões podem ser aplicáveis:

• Limites por chave
• Limites por inquilino
• Limites específicos de endpoint
• Planos escalonados

Nos casos em que a limitação de taxa contribui para um maior número de contatos de clientes para a equipe de suporte, é aconselhável explicar a base para as limitações de requisições. Aconselha-se aos provedores que:
· Utilizar códigos de status HTTP distintos.
· Exibir os cabeçalhos 'Retry-After' e de limite de taxa.
· Os limites especificados nos documentos devem ser comunicados aos desenvolvedores.
· Sempre que possível, exibir as estatísticas de uso do cliente ou a sua cota restante.

A limitação de taxa gerencia abusos, custos e justiça, mas sua eficácia na resolução de problemas em sistemas distribuídos pode ter limites. A integração da limitação de taxa com outros controles merece consideração:

• Cotas
• WAF ou proteção contra bots
• Autenticação e idempotência
• Monitoramento