Limitación de tasa
La limitación de tasa contiene la inundación de solicitudes HTTP y el abuso de uso. Cuenta solicitudes por cliente y devuelve 429 para lo que supere el límite — antes de que la solicitud consuma tu origen.
Rate limiting
| Parámetro | Opciones |
|---|---|
| Unidad | solicitudes por segundo, por minuto o por hora |
| Clave de conteo | dirección IP del cliente |
| Alcance | el dominio completo, una ruta exacta o un prefijo de ruta |
| Respuesta al exceso | 429 |
Configuras el límite en dos lugares: en la política del dominio, para el tráfico general, y en reglas personalizadas con acción RATE_LIMIT, para rutas específicas. Cuando los dos valen, el más restrictivo para esa ruta es el que decide.
El límite existe para contener abuso dentro de la capacidad de la plataforma — un formulario siendo barrido, un endpoint caro siendo martillado, un POST repetido por un único cliente. No es una cuota de contrato ni un medidor de consumo.
Límites por instancia
El límite se aplica por instancia de borda. Cuando el tráfico de un dominio se distribuye por varias instancias, el total efectivo aceptado puede ser mayor que el valor configurado — en proporción al número de instancias que atienden ese dominio en ese momento.
Dilo en voz alta antes de calibrar: un límite de 100 solicitudes por segundo configurado puede aceptar más de 100 por segundo en total. Si necesitas un techo global rígido para una ruta cara, configura el límite con holgura para el número de instancias y mantén la protección real en la aplicación, con autenticación y cuota por consumidor.
Limitación de tasa y DDoS
| Ataque | Quién lo contiene |
|---|---|
| Inundación de solicitudes HTTP (capa 7) | Limitación de tasa del WAF |
Barrido de formulario, POST repetido, abuso de endpoint | Limitación de tasa y reglas personalizadas |
| Inundación UDP o SYN (capa 3 y 4) | Protección de red delante del WAF |
| Saturación de enlace, ataque volumétrico | Protección de red delante del WAF |
La limitación de tasa del WAF no protege contra ataques volumétricos de capa 3 o 4. Un ataque de volumen debe absorberse en la red. Trata las dos cosas como capas distintas: el WAF se ocupa del contenido de la solicitud, la red se ocupa del volumen.
Diferencia con las cuotas del API Gateway
| Limitación de tasa del WAF | Cuota del API Gateway | |
|---|---|---|
| Qué cuenta | Solicitudes por IP de cliente | Consumo por consumidor y por clave de API |
| Para qué sirve | Contener abuso e inundación | Contrato comercial, fair use, facturación |
| Quién la configura | Quien administra el WAF | Quien administra el producto de API |
| Una solicitud bloqueada consume cuota | No | — |
Son productos diferentes: el WAF no consume cuota del API Gateway, y una solicitud bloqueada por el WAF no consume cuota de API. Quien necesita limitar un consumidor identificado por clave usa la cuota del Gateway; quien necesita contener inundación por IP usa la limitación de tasa del WAF.
Calibrando
- Mide el tráfico normal por ruta, en solicitudes por segundo, por minuto y por hora.
- Empieza con un límite generoso y acción de observación en las reglas, para ver quién se vería afectado.
- Aprieta poco a poco, siguiendo los eventos de 429.
- Recuerda el número de instancias de borda al definir el valor final.
- Avisa a los integradores antes de apretar un límite que afecte a una API pública.
Un pico de 429 en una ruta cara suele ser el límite funcionando. Trátalo como problema solo cuando el 429 alcanza a un cliente legítimo en volumen normal — en ese caso, el límite está bajo o la clave de conteo no sirve para tu caso.
Próximos pasos
- Reglas personalizadas — límite por ruta con acción
RATE_LIMIT. - Eventos y excepciones — leer los eventos de 429.
- Solución de problemas — cuando el 429 alcanza a un cliente legítimo.
Esta página ajudou?
Reportar um problema nesta páginaNão envie senhas, chaves, tokens ou dados de clientes.