Hız sınırlama (rate limiting)

Hız sınırlama nedir?

Hız sınırlama (rate limiting), bir istemcinin belirli bir sürede yapabileceği istek sayısına üst sınır koyan korumadır. Sınır aşıldığında ek istekler yavaşlatılır veya reddedilir. Böylece kaba kuvvet denemeleri, kötüye kullanım ve aşırı yük sunucuya zarar vermeden önce kontrol altına alınır.

Sınır genellikle IP adresi, kullanıcı hesabı ya da API anahtarı bazında tutulur. Meşru kullanıcıların rahatça çalışmasına izin verirken otomatik ve kötü niyetli trafiğin hızını keser.

Nasıl çalışır?

Sistem her istemci için bir sayaç tutar. Pencere içinde sayaç sınıra ulaştığında yeni istekler genellikle 429 Too Many Requests durum koduyla yanıtlanır. Sınırı hesaplamak için birkaç yaygın algoritma kullanılır:

• Sabit pencere: her dakikada en fazla N istek gibi basit sayaç.
• Kayan pencere: zaman içinde kayan daha adil bir hesap.
• Token bucket: ani artışlara kısa süre izin veren, ortalamayı sınırlayan yöntem.
• Leaky bucket: istekleri sabit bir hızla işler.

Yanıt başlığında Retry-After gibi bilgiler vererek istemciye ne kadar beklemesi gerektiğini bildirmek iyi bir uygulamadır.

Sunucu ve hosting ortamında

Nginx’te limit_req ve limit_conn modülleri, Apache’de mod_evasive veya benzeri modüller istek hızını sınırlamak için kullanılır. WordPress sitelerinde wp-login.php ve xmlrpc.php en çok hedeflenen uç noktalardır; buralara özel sınır koymak kaba kuvvet saldırılarını ciddi biçimde azaltır.

Fail2ban gibi araçlar günlüklerde tekrarlayan hataları görünce ilgili IP’yi güvenlik duvarında geçici olarak engeller. cPanel, Plesk ve DirectAdmin sunucularında ise ek olarak sunucu tabanlı güvenlik duvarları (örneğin CSF/LFD) giriş denemelerini sınırlayabilir. CDN ve WAF hizmetleri de uç noktada hız sınırı kuralları sunar.

Nasıl uygulanır?

• Giriş, parola sıfırlama ve arama gibi hassas uç noktalara daha sıkı sınır koyun.
• Sınırı yalnızca IP’ye değil, mümkünse hesap veya API anahtarına göre de uygulayın.
• Aşıldığında 429 kodu ve Retry-After başlığı döndürün.
• Sınırlamaları günlüğe kaydedip izleyin; yanlış engellemeleri ayıklayın.
• Ters vekil veya CDN arkasındaysanız gerçek istemci IP’sini doğru okuduğunuzdan emin olun.
• Meşru botlar (arama motorları, izleme servisleri) için gerekirse izin listesi tanımlayın.

Sık yapılan hatalar

• Sınırı çok düşük koyup gerçek kullanıcıları engellemek.
• Ters vekil arkasında tüm istekleri aynı IP gibi görüp herkesi birlikte engellemek.
• Yalnızca giriş sayfasını korumak, API uç noktalarını unutmak.
• Sınırları hiç test etmeden canlıya almak.