レートリミット とは？

短い時間に大量のリクエストが来ると、サーバーの処理や費用に負担がかかるからだよ。利用者やAPIごとに頻度を制限し、過剰な利用を抑える。ただし、制限を付けるだけで全ての攻撃や過負荷を防げるわけではないんだ。

HTTPでは429 Too Many Requestsで知らせる方法があるよ。でも、制限時に待ち行列へ入れたり、接続を切ったりする実装もある。Retry-Afterで待ち時間を知らせることもできるけど、このヘッダーは必須ではないよ。

ユーザーID、APIキー、IPアドレスやAPI全体など、目的に合わせて決めるよ。個別の利用者の上限と、サービス全体の上限を組み合わせる方法もある。誰のどの操作を制限するのかを、先に決めることが大切なんだ。

トークンバケットは一定のペースで許可用のトークンを補充し、要求ごとに消費するよ。容量までためられるので短時間の集中を許せる。固定ウィンドウは時間枠ごとに回数をリセットし、スライディングウィンドウは数える時間範囲をずらす。細かな挙動は実装や設定によるんだ。

すぐ何度も送り直すと負荷が増えるよ。サービスの案内やRetry-Afterを確認し、待ってから回数を抑えて再試行するんだ。また、サービスによって上限は厳密な保証ではなく目標として扱われる。AWS API Gatewayもそのように説明しているよ。