2026-11-01
Quando limites de taxa por IP não bloquearam um bot de busca espalhado por dezenas de milhares de IPs
Um site cuja busca chama uma API externa a cada consulta viu o tráfego de busca subir cerca de 20 vezes em poucos dias, e quase todas as buscas retornaram 503. A primeira suposição, de que um limite por IP conteria o problema, estava errada. As cerca de 60.000 buscas de um dia vieram de cerca de 60.000 IPs diferentes, então cada IP enviou aproximadamente uma requisição e nunca atingiu nenhum limite. O user agent era um navegador comum, o Referer era o próprio site e as consultas eram nomes reais de produtos, então a coleta de preços era provável. A cota diária da API externa acabou cedo no dia e visitantes comuns não conseguiram buscar durante a maior parte dele. As correções: chamar a API externa somente quando a requisição trouxer um token assinado emitido pela própria página do site, deixar as buscas sem token fora do ranking de buscas populares e definir limites horários globais e por token. Os 503 caíram para zero após a liberação. Um token não é autenticação; ele apenas aumenta o custo do atacante.