レート制限 — 誰を、どの単位で、どこで止めるか

What — 何を「1人」と数えるか

レート制限は、ある単位ごとに、一定時間あたりのリクエスト数に上限を設け、超えたら断る仕組みです。

上限の数字より先に決めるべきなのは、何を単位に数えるかです。単位を間違えると、どんな数字にしても、止めたいものは止まらず、止めたくないものが止まります。

冒頭の事故は、「利用者を区別したい」のに「IP」で数えていたことから来ています。

429 Too Many Requests

上限を超えたことを伝えるステータスコード。待てば通る、という意味を含む。

Retry-After

何秒後に再試行してよいかを伝えるヘッダー。

トークンバケット

一定の速さで補充されるトークンを1回ごとに1つ使う方式。短い集中を許しつつ、平均の速さを抑える。

クレデンシャルスタッフィング

他で流出した ID とパスワードの組を、別のサービスで大量に試す攻撃。

数え方でも、通る量が変わる

同じ「毎分100回」でも、どう数えるかで実際に通る量が変わります。

12:00:00〜12:00:59 で 100 回 → 12:01:00 に 0 へ戻る

Why — なぜ単位を1つに決められないのか

レート制限には、目的が少なくとも3つあり、それぞれ適切な単位が違います。

• 自分たちのサービスを守る — 誰が送ってきたかに関係なく、処理しきれない量を断る。単位はサービス全体や API ごと
• 利用者どうしを公平にする — 1人の使いすぎで他の人が遅くならないようにする。単位は利用者や API キー
• 悪用を止める — 総当たりや大量取得を止める。単位は狙われているもの（ログインならアカウント）と、送ってくる元（IP）の両方

冒頭の制限は「悪用を止める」ために入れたのに、単位が IP だけでした。IP は送ってくる元の目安にはなりますが、1つの IP の後ろに何百人もいることも、1人の攻撃者が数千の IP を使うこともあります。

ログインでは「締め出し」が武器になる

ログインの総当たりを防ぐために、アカウントごとに失敗5回でロックするのはよくある対策です。これは総当たりには効きますが、別の攻撃を可能にします。

攻撃者は、他人のアカウントにわざと5回間違えたパスワードを送るだけで、その人をログインできなくできます。メールアドレスの一覧さえあれば、全員を締め出せます。

アカウントごとの上限は、ロックではなく遅延にするほうが安全です。失敗が続くほど次の試行までの待ち時間を伸ばし、正しいパスワードでの成功で解除する。追加の確認（メールでの確認コードなど）を求める手もあります。

台数ぶん、上限が増える

API のサーバーが複数台あるとき、回数を各サーバーのメモリで数えると、上限は台数ぶん増えます。ロードバランサがリクエストを振り分けるので、それぞれのサーバーは全体の一部しか見ていないからです。

上限: 毎分100回、サーバー5台、各サーバーのメモリで数える
→ 各サーバーが「100回まで」を許すので、全体では最大 500回

複数台で正確に数えるには、回数を共有の置き場所（キャッシュ用の高速なストア）で数えるか、全台の手前（ゲートウェイ、CDN）で数えます。

演習 — まず自分で判断する

解説を読む前に、まず自分で判断してみてください。ここで一度詰まっておくと、 次の節の判断軸が「なるほど」ではなく「そう来たか」に変わります。