1 статья с этим тегом
Ограничение частоты обычно не срабатывает не потому, что лимит слишком мягкий, а потому, что задан не тот вопрос. Три вопроса: кого считать (IP можно подделать, и его делят настоящие пользователи, поэтому главное — идентичность), что считать (одно число запросов пропускает дорогие одиночные операции — стоимость, размер, число записей) и что происходит у предела (грубая блокировка — это отказ в обслуживании для законных пользователей). NIST ограничивает неудачные попытки подряд сотней и просит задержки и CAPTCHA вместо блокировки; OWASP включает лимиты расходов у сторонних сервисов — последний рубеж против финансового ущерба.