レートリミット とは？

APIに制限がないと、一人のユーザーが1秒間に何万回もリクエストを送ってサーバーをダウンさせることができるんだ。悪意があるDoS攻撃だけじゃなく、バグがあって無限ループになったプログラムでも起きる。レートリミットはそういった過剰なアクセスからサーバーを守るためにあるよ。

HTTPのステータスコード429（Too Many Requests）が返ってくるよ。だいたい `Retry-After` というヘッダーで「○秒後に再試行してね」という情報も一緒に返されることが多いんだ。

IPアドレス単位・APIキー単位・ユーザー単位など色々あるよ。IPアドレスだとNATや共有ネットワークで複数人が同じIPになることがある。APIキーやユーザーIDが取れる場合はそちらの方が公平な制限ができるんだ。

これはアルゴリズムの話で、実は実装によって挙動がかなり違うんだ。固定ウィンドウ方式（例「1分間に100回」）は実装が簡単だけど、ウィンドウの切り替わり直前に集中的にアクセスされると実質2倍のリクエストが通ってしまう問題がある。スライディングウィンドウは過去60秒を常に見るので公平だけどメモリを多く使う。トークンバケットはバケツにトークンが一定速度で補充されて、リクエストごとに消費する方式でバーストアクセスをある程度許容できる。どのアルゴリズムを選ぶかで「バーストに強いか・公平か・実装コストか」がトレードオフになるよ。