Qu'est-ce que le rate limiting ?
Le rate limiting (limitation de debit) est un mecanisme de controle qui restreint le nombre de requetes qu'un client peut envoyer a un serveur dans un intervalle de temps donne. C'est une mesure de protection essentielle pour les API et les applications web, utilisee pour prevenir les abus, proteger contre les attaques par force brute et DDoS, et garantir une qualite de service equitable entre les utilisateurs.
Algorithmes de rate limiting
Fixed Window : un compteur par fenetre de temps fixe (ex: 100 requetes par minute). Simple mais permet des bursts aux frontieres de fenetre (200 requetes en 2 secondes a cheval sur deux fenetres). Sliding Window : combine les compteurs de la fenetre actuelle et precedente avec une ponderation. Plus precis que le fixed window. Token Bucket : un seau se remplit de tokens a un rythme constant. Chaque requete consomme un token. Autorise les bursts (seau plein) tout en limitant le debit moyen. Leaky Bucket : les requetes entrent dans un seau qui fuit a debit constant. Lisse le trafic, pas de burst.
Implementation technique
Le stockage des compteurs utilise generalement Redis (rapide, distribue, operations atomiques avec INCR et EXPIRE). L'implementation se fait dans un middleware (Express, Flask, ASP.NET) ou au niveau du reverse proxy (Nginx limit_req, Traefik). Les headers HTTP standards communiquent les limites : X-RateLimit-Limit (quota total), X-RateLimit-Remaining (requetes restantes), X-RateLimit-Reset (timestamp de reinitialisation), Retry-After (delai avant de retenter). Le code HTTP 429 Too Many Requests signale le depassement.
Strategies avancees
Rate limiting par couche : limites differentes au niveau IP, par utilisateur authentifie, et par API key. Limites differenciees : plus de requetes pour les comptes premium que pour les comptes gratuits. Rate limiting adaptatif : ajuster les limites en fonction de la charge du serveur. Distributed rate limiting : synchroniser les compteurs entre plusieurs instances de l'application via Redis ou un service dedie.
Rate limiting vs throttling vs DDoS protection
Le rate limiting refuse les requetes excessives (429). Le throttling ralentit les requetes au lieu de les refuser (mise en file d'attente). La protection DDoS opere a un niveau different : filtrage du trafic au niveau reseau/CDN (Cloudflare, AWS Shield) avant qu'il n'atteigne l'application. Les trois sont complementaires : DDoS protection en premiere ligne, rate limiting au niveau applicatif, throttling pour les degradations gracieuses.