Rate Limiting Nedir?
Yayın: · Son güncelleme:
Rate Limiting Nedir? Kısaca
Rate limiting (hız sınırlama), bir kullanıcının, IP adresinin ya da uygulamanın belirli bir sürede bir sisteme gönderebileceği istek sayısını sınırlayan güvenlik ve kaynak yönetimi yöntemidir.
Rate limiting nedir?
Rate limiting, "bir dakikada en fazla şu kadar istek" gibi bir kural koyarak sistemin aşırı yüklenmesini ve kötüye kullanılmasını önler. Mantık basittir. Sınır aşıldığında sunucu yeni istekleri bir süre reddeder. Web servislerinde bu durumda genellikle "429 Too Many Requests" yanıtı döner.
Neye karşı korur?
En önemli kullanım alanı giriş sayfalarıdır. Bir saldırgan bir hesabın parolasını tahmin etmek için saniyede yüzlerce deneme yapabilir. Hız sınırı, bu kaba kuvvet saldırısını pratikte imkânsız hâle getirecek kadar yavaşlatır.
SMS doğrulama kodu gönderimi, şifre sıfırlama ve API kullanımı da sık sınırlandırılır. Böylece hem güvenlik artar hem de sistem kaynakları birkaç kişi tarafından tüketilmez.
Örnek bir kural
Bir uygulamanın şöyle bir kuralı olduğunu varsayalım: aynı hesap için 15 dakikada en fazla 5 hatalı giriş. Altıncı denemede kullanıcı "Çok fazla deneme yaptınız, lütfen daha sonra tekrar deneyin" uyarısı alır. Gerçek kullanıcı birkaç dakika bekleyip devam eder; otomatik araç ise durur.
Sınırlar hesaba, IP adresine ya da API anahtarına göre konabilir. Yalnızca IP'ye bakmak yeterli değildir, çünkü saldırganlar çok sayıda farklı adres kullanabilir.
Geliştiriciler için ipucu
Sınırı koyarken kullanıcıya ne kadar beklemesi gerektiğini bildirin. Ayrıca kritik uç noktalara (giriş, ödeme, kod gönderimi) genel API'den daha sıkı limitler verin. Bu tek ayar, birçok otomatik saldırıyı daha başlamadan zayıflatır.
Sıkça Sorulan Sorular
429 hatası ne demek?
429 Too Many Requests, kısa sürede çok fazla istek gönderdiğiniz için sunucunun sizi geçici olarak sınırladığını gösterir. Bir süre bekleyip tekrar denemek genellikle sorunu çözer.
Rate limiting DDoS saldırısını durdurur mu?
Küçük ölçekli kötüye kullanımı azaltır, ama binlerce farklı kaynaktan gelen büyük DDoS saldırılarını tek başına durduramaz. Bunun için ayrı DDoS koruma hizmetleri gerekir.