2026-09-05
Limitação de taxa e controle de abuso: como projetar limites que barram força bruta e custos descontrolados
A limitação de taxa costuma falhar não porque o limite era frouxo demais, mas porque a pergunta errada foi feita. Três perguntas: quem você conta (o IP pode ser forjado e é compartilhado por usuários reais, então a identidade vem primeiro), o que você conta (só requisições deixam passar operações caras isoladas — custo, tamanho, número de registros) e o que acontece no teto (bloqueio rígido é uma negação de serviço contra usuários legítimos). O NIST limita as falhas consecutivas a 100 e pede atrasos e CAPTCHA em vez de trancar as pessoas do lado de fora; o OWASP inclui limites de gasto com terceiros, o controle final contra dano financeiro.