Limitación de tasa
Qué hace
Sección titulada «Qué hace»Cuenta las solicitudes de cada dirección IP dentro de una ventana de tiempo y responde HTTP 429 (Too Many Requests) cuando se supera el límite. Se ajusta por ruta, así que podés limitar con fuerza /api/login sin afectar al resto del sitio.
El conteo se hace por dirección IP, dominio y los dos primeros segmentos del path. Por ejemplo, /api/auth/login y /api/auth/register comparten el cupo de /api/auth, mientras que /api/productos tiene el suyo.
La ventana es deslizante: el conteo pondera la ventana actual y la anterior, de modo que un visitante no puede duplicar su cupo concentrando solicitudes en el cambio de ventana.
Cuándo usarlo
Sección titulada «Cuándo usarlo»- Rutas de autenticación (
/login,/register,/wp-login.php). - Endpoints de envío de correo, SMS o formularios de contacto.
- API públicas donde querés acotar el abuso por visitante.
- Defensa ante relleno de credenciales y extracción de contenido de bajo volumen.
Qué definís
Sección titulada «Qué definís»- Activación: la limitación está desactivada por defecto y se enciende donde la necesitás.
- Límite: cantidad de solicitudes permitidas por ventana.
- Ventana: período de medición en segundos (por ejemplo, 60).
Estos tres valores se fijan por sub-ruta, ruta o cuenta, y gana el nivel más específico (ver Conceptos). Así podés partir de un límite conservador para toda la cuenta y subirlo en una API puntual.
Cómo responde
Sección titulada «Cómo responde»| Situación | Respuesta |
|---|---|
| Dentro del límite | La solicitud pasa normalmente |
| Límite superado | 429 sin cuerpo, con Retry-After igual a la duración de la ventana en segundos |
Redes y paths exentos
Sección titulada «Redes y paths exentos»A nivel de servicio se pueden eximir redes de confianza (por ejemplo, tu monitoreo o un sistema que integra contra tu API) y prefijos de path. Una red exenta no cuenta contra el límite, pero sigue pasando por el WAF, el geo-bloqueo y la reputación de IP. Se coordina con el soporte de Host Admin.
Limitaciones
Sección titulada «Limitaciones»- La unidad de medición es la dirección IP del visitante. Detrás de una traducción de red corporativa (NAT), muchos usuarios aparecen como una sola IP.
- El cuerpo del
429no se personaliza. Si tu front necesita mostrar un mensaje, detectá el código de estado.