Що таке обмеження швидкості запитів до API SaaS?

SaaS API хмарного застосунку обмежує кількість викликів API до сервісу протягом певного періоду для клієнтського пристрою, користувача, IP-адреси, ключа або орендаря. Клієнт налаштований надсилати певну кількість запитів. Цей тип обмеження API має наслідки для пропускної здатності інфраструктури сервісу, оскільки він також сприяє обмеженню доступу користувачів та допомагає в управлінні витратами на хмарні послуги.

У механізмах обмеження частоти запитів моніторинг повідомлень ‘429 Too Many Requests’ є поширеною практикою, що виникає, коли сервери передають їх клієнтам після досягнення порогу запитів. У багатьох випадках сервери використовують заголовок “Retry-After”, щоб повідомити клієнтам, яка затримка рекомендується між повторними спробами запитів.

Ось що саме робить обмеження швидкості:

• Це пов'язано з вирішенням потенційних операційних проблем системи, що можуть виникнути через великий обсяг запитів з непередбаченого джерела.
• Це запобігає таким діям, як веб-скрейпінг або хакерські атаки методом перебору.
• Це враховує витрати, що виникають внаслідок автомасштабування або використання ресурсів нижчими системами.

1. Дотримуйтесь інструкцій, наданих у заголовках Retry-After.
2. Спробуйте експоненційну витримку з випадковим компонентом.
3. “Поставте в чергу” запити або розподіліть навантаження при високому паралелізмі.
4. Ви можете реалізувати механізм маркерного кошика для керування трафіком і чергами на стороні клієнта для робочих навантажень, що вимагають паралелізму.

Типове рішення включає різні рівні: API-шлюз, граничну платформу безпеки та систему керування послугами або квот. Можуть бути застосовані такі патерни:

• Поключові ліміти
• Поорендарні ліміти
• Ліміти за кінцевою точкою
• Багаторівневі плани

У випадках, коли обмеження частоти запитів призводить до збільшення кількості звернень клієнтів до персоналу підтримки, доцільно пояснити підстави для таких обмежень. Постачальникам слід рекомендувати:
· Використовувати різні коди стану HTTP.
· Показувати заголовки Retry-After та rate-limit.
· Ліміти, зазначені в документах, мають бути доведені до відома розробників.
· Де це можливо, відображати статистику використання клієнта або його залишок квоти.

Обмеження швидкості запитів керує зловживаннями, витратами та справедливістю, але його ефективність у вирішенні проблем у розподілених системах може мати межі. Інтеграція обмеження швидкості запитів з іншими засобами контролю потребує розгляду:

• Квоти
• WAF або захист від ботів
• Аутентифікація та ідемпотентність
• Моніторинг