Co je rate limit? Rate limit je pravidlo, které omezuje, kolik požadavků smí jeden návštěvník poslat za daný čas. Česky se mu říká omezení počtu požadavků. Když někdo limit překročí, systém ho na chvíli zpomalí nebo odmítne s hláškou o příliš mnoha pokusech.

Je to jako turniket na nádraží. Pustí dovnitř plynulý proud lidí, ale nedovolí, aby se do dveří nacpalo padesát lidí najednou. Bez turniketu by jeden agresivní návštěvník zabral kapacitu, která patří všem ostatním.

Před čím Vás omezení požadavků chrání?

  • Před hádáním hesel – útočník, který zkouší tisíce kombinací, dostane po pár pokusech stopku. To je základní obrana proti útoku popsanému v hesle brute force.
  • Před zahlcením serveru – lavina požadavků dokáže web položit. Souvisí s tím útok DDoS.
  • Před vysáváním obsahu – roboti, kteří stahují celý katalog e-shopu, aby ho zkopírovali jinam.
  • Před spamem ve formulářích – omezení počtu odeslání z jedné IP adresy doplňuje ochranu, kterou nabízí CAPTCHA.

Kde se s limitem setkáte jako uživatel? Typicky ve chvíli, kdy se několikrát po sobě spletete v hesle a služba Vám na pár minut zablokuje další pokusy. Nebo když pracujete s API nějaké služby, protože skoro každé API má stanoveno, kolik dotazů smí program poslat za minutu. Sáhne li přes limit, dostane odpověď s číselným kódem 429, což znamená příliš mnoho požadavků.

Jak to funguje u nás? Weby na našem webhostingu stojí za ochrannou vrstvou Cloudflare, včetně pravidel WAF, která nezvyklé nápory požadavků filtrují ještě dřív, než dorazí na server. Zároveň každý web běží v odděleném prostředí, takže nápor na jeden web nepoloží weby sousední. Na úrovni vlastního webu si limit můžete přidat sami, u WordPressu nejsnáz bezpečnostním pluginem, který ohlídá přihlašovací stránku.

Nemůže limit blokovat i slušné návštěvníky? Když je nastavený příliš přísně, ano. Proto se hodnoty volí tak, aby běžnému čtenáři nikdy nevadily, a pro citlivé části webu se používá spíš omezení přístupu na povolené adresy podle whitelistu. Omezení požadavků samo o sobě web nezabezpečí, je to jeden z dílů obrany popsané v hesle zabezpečení webu.