Hız Sınırlama (Rate Limiting) Nedir?
Hız sınırlama, bir kullanıcı ya da IP adresinin belirli sürede gönderebileceği istek sayısını sınırlayarak kötüye kullanımı ve aşırı yüklenmeyi önleyen güvenlik ve altyapı yöntemidir.
Hız Sınırlama (Rate Limiting) Nasıl Çalışır?
Hız sınırlama, her istemci için bir istek kotası belirler: örneğin dakikada belirli sayıda giriş denemesi ya da arama isteği. Kota aşıldığında sunucu isteği reddeder, yavaşlatır ya da ek doğrulama ister. Sınır; IP adresi, kullanıcı hesabı ya da API anahtarı bazında uygulanabilir.
Sınır uygulamanın hassasiyetine göre belirlenir. Giriş ve şifre sıfırlama gibi kritik uç noktalarda düşük, ürün listeleme gibi genel sayfalarda daha yüksek kota kullanılır. Reddedilen isteğe uygun bir hata kodu ve bekleme süresi bilgisi dönülür.
- Giriş ve şifre sıfırlama sınırlaması
- Arama ve API uç noktası sınırlaması
- Aşımda yavaşlatma, engelleme ya da ek doğrulama
Hız Sınırlama (Rate Limiting) Neden Önemlidir?
Hız sınırlama, otomatik saldırıların etkisini azaltır. Parola deneme, kart test saldırısı ve içerik kazıma gibi saldırılar çok sayıda istekle çalışır; sınırlama bu hızı keser. Aşırı yük durumunda da sitenin tamamının çökmesini önleyerek DDoS saldırılarına karşı bir katman oluşturur.
Aşırı sıkı sınır meşru kullanıcıyı da engeller. Aynı ofis ağından gelen birçok müşteri tek IP altında göründüğü için IP bazlı sınır haksız engel üretebilir. Karar noktası, sınırları gerçek kullanım verisine göre belirlemek ve engellenen isteklerin kayıtlarını düzenli incelemektir.
Arama motoru botlarının taranması engellenmemeli; meşru botlar için ayrı kural tanımlanır. Ayrıca bot yönetimi ile birlikte kullanılır.
Sınır aşıldığında kullanıcıya anlaşılır bir mesaj gösterilmeli ve ne kadar beklemesi gerektiği söylenmelidir. Belirsiz hata sayfası, meşru müşterinin siteyi bozuk sanıp ayrılmasına yol açar.
Hız Sınırlamada Sık Yapılan Hatalar
- Giriş uç noktasını sınırlamamak. Parola deneme saldırısı sürer.
- Sınırı çok sıkı koymak. Meşru müşteri engellenir.
- Arama motoru botunu engellemek. Tarama ve dizine ekleme zarar görür.
- Kayıtları izlememek. Yanlış engeller fark edilmez.
Hız Sınırlama Hakkında Sık Sorulan Sorular
Hız sınırlamada kota uç noktaya göre nasıl belirlenir?
Kota, uç noktanın ne kadar hassas olduğuna göre seçilir: giriş ve şifre sıfırlamada dar, ürün listeleme gibi genel sayfalarda daha geniş tutulur. Sınır IP adresi, kullanıcı hesabı ya da API anahtarı bazında uygulanabilir; değerler gerçek kullanım verisine göre seçilir ve arama motoru botları için ayrı kural tanımlanır.
Hız sınırlama hangi saldırılara karşı korur?
Parola deneme, kart deneme, kazıma ve aşırı istekle yüklenme gibi otomatik saldırıların etkisini azaltır.
Hız sınırlama meşru kullanıcıyı engeller mi?
Sınır çok sıkı ya da ortak IP kullanılıyorsa engelleyebilir; sınırlar gerçek kullanım verisine göre belirlenmelidir.