トークンバケットとスライディングウィンドウはどう使い分けますか?

トークンバケットは制御されたバースト(バケット容量まで)を許可してから、定常レートに従います。ときどきのバーストが許容される API に適しています。スライディングウィンドウは、どのウィンドウでも厳密な上限を強制します。ログインのようなセキュリティ上重要なエンドポイントに適しています。バーストが許容できるかどうかで選んでください。

分散環境でのレート制限はどう扱えばよいですか?

共有ストア(Redis、Memcached)を使い、すべてのサーバーが同じカウンターを参照するようにします。高スループットが必要な場合は、Redis の Lua スクリプトによるスライディングウィンドウ(アトミックなチェック&インクリメント)を使います。エッジでのグローバルなレート制限には、CDN の機能(Cloudflare、AWS WAF)を使ってください。

ブルートフォース攻撃を防ぐレート制限を実装する

レート制限は時間あたりのリクエスト数に上限を設け、ブルートフォース、クレデンシャルスタッフィング、DoS 攻撃を防ぎます。トークンバケットとスライディングウィンドウのアルゴリズムを学びましょう。

1

レート制限は、クライアントが時間枠内に送れるリクエスト数を制限します。一般的なアルゴリズム:(1) 固定ウィンドウ — シンプルですが、ウィンドウ境界でのバーストを許します。(2) スライディングウィンドウ — より滑らかで、ローリングウィンドウでリクエストを追跡します。(3) トークンバケット — 容量までのバーストを許可し、一定のレートで補充されます。
2

ハッシュ計算ツール →
クライアント識別子(IP、ユーザー ID、API キー)をハッシュして、レート制限キーとして使います。生の IP を保存しないために SHA-256 を使ってください。ハッシュは、高速なストア(Redis、インメモリマップ)内のカウンターに対応付けられます。
3

HMAC ジェネレーター →
レート制限の状態(カウント、ウィンドウ開始時刻)を HMAC で署名して、改ざんを防ぎます。クライアント側のレート制限(例: JWT ベース)を使う場合、署名付きトークンによって、クライアントが自分のカウンターをリセットできなくなります。
4

ログインのブルートフォース対策として、アカウントごとに 15 分あたり 5 回、IP ごとに 10 回に制限します。指数バックオフを使い、失敗のたびに待ち時間が増えるようにします。5 回失敗したらアカウントをロックし、メール認証を要求してください。API レート制限では、無料枠は毎分 100 リクエスト、有料は 1000 リクエストにします。429 Too Many Requests と Retry-After ヘッダーを返してください。

よくある質問

トークンバケットとスライディングウィンドウはどう使い分けますか?: トークンバケットは制御されたバースト(バケット容量まで)を許可してから、定常レートに従います。ときどきのバーストが許容される API に適しています。スライディングウィンドウは、どのウィンドウでも厳密な上限を強制します。ログインのようなセキュリティ上重要なエンドポイントに適しています。バーストが許容できるかどうかで選んでください。
分散環境でのレート制限はどう扱えばよいですか?: 共有ストア(Redis、Memcached)を使い、すべてのサーバーが同じカウンターを参照するようにします。高スループットが必要な場合は、Redis の Lua スクリプトによるスライディングウィンドウ(アトミックなチェック&インクリメント)を使います。エッジでのグローバルなレート制限には、CDN の機能(Cloudflare、AWS WAF)を使ってください。