2026-09-05
Límite de peticiones y control de abusos: cómo diseñar límites que frenen la fuerza bruta y los costes desbocados
El límite de peticiones suele fallar no porque el límite fuera demasiado laxo, sino porque se hizo la pregunta equivocada. Tres preguntas: a quién cuentas (la IP se puede falsificar y la comparten usuarios reales, así que la identidad va primero), qué cuentas (contar solo peticiones no ve operaciones caras aisladas: coste, tamaño, número de registros) y qué pasa al llegar al tope (un bloqueo tosco es una denegación de servicio contra usuarios legítimos). NIST fija en 100 el máximo de fallos consecutivos y pide retrasos y CAPTCHA en lugar de dejar fuera a la gente; OWASP incluye los límites de gasto con terceros, el último control contra el daño económico.