総当り攻撃

レート制限と濫用対策：総当たり攻撃と過剰な課金を防ぐ設計

レート制限の失敗は『緩すぎ』より、考えるべき点を取り違えたことで起きる。設計に必要な問いは3つ。誰を数えるか（IPは偽装され得るので、何を識別子にするかが先）、何を数えるか（回数だけでなくコスト・サイズ・件数）、上限に達したらどうするか（拒否は正規利用者へのDoSにもなる）。NISTは連続失敗100回までを上限としつつ、遅延やCAPTCHAで正規利用者を締め出すなと明記。OWASPはAPIの上限に『支出上限』を含めており、これが金銭被害を止める最後の対策になる。