総当り攻撃

レート制限と濫用対策 — 「回数を絞る」だけでは、総当りもコスト暴走も止まらない

レート制限の失敗は『緩すぎ』より『問いを立て違えた』ことで起きる。設計に必要な問いは3つ——誰を数えるか（IPは偽装され得るので、何を識別子にするかが先）、何を数えるか（回数だけでなくコスト・サイズ・件数）、上限に達したらどうするか（拒否は正規利用者へのDoSにもなる）。NISTは連続失敗100回までを上限としつつ、遅延やCAPTCHAで正規利用者を締め出すなと明記。OWASPはAPIの上限に『支出上限』を含めており、これが金銭被害の最後の砦になる。