Rate limiting

Rate limiting houdt in dat een server bewust verzoeken weigert omdat ze te snel achter elkaar binnenkomen. In plaats van af te remmen wijzen de meeste servers de extra verzoeken direct af en antwoorden ze met de HTTP-statuscode 429 Too Many Requests.

Limieten worden meestal afgedwongen door een CDN, firewall of hostingplatform in plaats van door de websitesoftware zelf, zodat ze voor een heel domein tegelijk kunnen gelden en zonder waarschuwing kunnen veranderen. Een response kan een Retry-After header bevatten die de aanroeper vertelt hoe lang er gewacht moet worden voordat opnieuw geprobeerd mag worden.

Rate limiting is gericht op misbruikend verkeer, maar maakt geen onderscheid naar intentie - een legitieme crawler die in korte tijd veel pagina's leest, lijkt sterk op een aanval. Daarom kan een pagina die in je browser direct laadt tijdens geautomatiseerde tests toch worden geweigerd.

Meer informatie

• 429 Too Many Requests - MDN's referentie voor de statuscode
• RFC 6585: Additional HTTP Status Codes - de specificatie die 429 definieert
• Retry-After - de header die servers gebruiken om om een wachttijd te vragen
• Crawler