1 artículo con esta etiqueta
Un sitio cuya búsqueda llama a una API externa en cada consulta vio que el tráfico de búsqueda subía unas 20 veces en pocos días, y casi todas las búsquedas devolvían 503. La primera suposición, que un límite por IP lo contendría, era errónea. Las unas 60.000 búsquedas de un día procedían de unas 60.000 IP distintas, así que cada IP envió alrededor de una solicitud y nunca alcanzó ningún límite. El user agent era un navegador común, el Referer era el propio sitio y las consultas eran nombres reales de productos, por lo que probablemente se trataba de recopilación de precios. La cuota diaria de la API externa se agotó temprano en el día y los visitantes normales no pudieron buscar durante gran parte de él. Las soluciones: llamar a la API externa solo cuando la solicitud lleve un token firmado emitido por la propia página del sitio, excluir las búsquedas sin token del ranking de búsquedas populares y fijar límites horarios globales y por token. Los 503 llegaron a cero tras la publicación. Un token no es autenticación; solo eleva el coste para el atacante.