Rate limiting: por que toda API que vale a pena ter trava de quantas vezes você pode chamar ela

Rate limiting é o mecanismo que restringe quantas vezes um mesmo usuário, aplicativo ou endereço pode chamar uma API dentro de um intervalo de tempo determinado. Praticamente toda API pública de peso, Google, redes sociais, provedor de pagamento, aplica algum tipo de limite desse tipo, e a ausência dele costuma ser sinal de serviço mal preparado pra escala real.

Por que uma API sem limite é um risco

Sem trava nenhuma, uma integração com bug, um laço de repetição que nunca termina, por exemplo, pode disparar milhares de chamada por segundo sem intenção nenhuma de causar dano, só por erro de programação. O resultado é o mesmo de um ataque deliberado de negação de serviço: o servidor sobrecarrega e para de responder pra todo mundo, não só pra quem causou o problema.

Como o limite costuma ser aplicado

O modelo mais comum define um número máximo de chamada por minuto ou por hora, por chave de API ou por usuário autenticado. Ao ultrapassar esse limite, a API responde com um código de erro específico, o 429 Too Many Requests é o padrão da web, geralmente indicando quanto tempo esperar antes de tentar de novo. Serviço mais sofisticado também aplica limite diferente por tipo de operação, permitindo mais leitura de dado, menos custosa pro servidor, do que escrita ou processamento pesado.

O que isso significa pra quem constrói ou consome uma API

Quem constrói uma API deveria tratar rate limiting como parte do desenho desde o início, não como remendo depois que o primeiro incidente de sobrecarga acontecer. Quem consome uma API de terceiro precisa ler a documentação de limite antes de integrar, porque estourar o limite sem tratamento adequado no próprio código pode derrubar a integração inteira bem no momento de maior uso real do sistema.

Referências

• Cloudflare: What is rate limiting?