К основному содержимому

Мобильные

Rate limiting для публичных API: токены, скользящие окна и UX клиентов

429, заголовки Retry-After и защита от DDoS на уровне приложения

Автор: Кирилл Орлов Проверено редакцией

Источник: IETF HTTP · материал источника: 2026-02-01

  • API
  • лимиты
  • безопасность
  • SRE
Rate limiting для публичных API: токены, скользящие окна и UX клиентов

Алгоритмы

Фиксированное окно прост, но даёт пики на границе. Скользящее или token bucket сглаживает нагрузку.

Идентификация

API keys привязывают лимит к клиенту; IP-only ломается за NAT. Комбинируйте сигналы осторожно.

Ответы

Ясные заголовки лимита и retry-after снижают шторм повторов. Документируйте политику в openapi.

Итог

Лимиты защищают и клиентов, и инфраструктуру. Тестируйте под нагрузкой до продакшена.

Читать подробнее в источнике

Обсуждение

Публичные комментарии на сайте временно отключены: мы перенастраиваем модерацию и защиту от спама. Смысловые замечания и указания на ошибки присылайте на editor@techmedia.space — письма с конкретной ссылкой на материал и цитатой фрагмента обрабатываются в приоритетном порядке.