ボット対策

IP単位の制限が効かなかった検索ボット：数万のIPに分散したアクセスで検索が止まった話と対策

検索のたびに外部APIを呼ぶサイトで、検索数が数日で約20倍に増え、大半が503になった。最初は『IP単位の上限で収まる』と考えたが誤りだった。1日に約6万件の検索が約6万の別々のIPから来ており、1IPあたり1回では上限に触れない。UAは普通のブラウザ、Refererは自サイト、検索語は実在の商品名で、価格収集とみられた。外部APIの1日の枠が早い時間に尽き、通常の訪問者は1日の大半で検索できなかった。対策は、自サイトのページが出す署名付きトークンがない検索では外部APIを呼ばないこと、トークンなしの検索を人気検索の集計から外すこと、全体とトークン別の1時間あたり上限。公開後に503は0になった。トークンは認証ではなく、攻撃側の費用を上げる手段にすぎない。