レートリミットRate Limiting

レートリミットは、IP・ユーザー・APIキー単位で「N リクエスト / 期間」の上限を設けて超過時に 429 Too Many Requests を返す制御で、ブルートフォース攻撃・スクレイピング・コスト膨張型DoS・APIアビューズの第一防御線です。アルゴリズムは Token Bucket / Leaky Bucket / Fixed Window / Sliding Window / Sliding Window Log が代表で、それぞれバースト許容度と精度のトレードオフがあります。レスポンスヘッダーには X-RateLimit-Limit / X-RateLimit-Remaining / X-RateLimit-Reset / Retry-After が業界慣習で、IETF RFC 9331 で標準化が進んでいます。Cloudflare Rate Limiting・AWS WAF Rate Rules・nginx limit_req・Redis + Lua 等で実装されます。ログイン・パスワードリセット・OTP送信・SMS等の高コスト操作には必須です。