O Rate Limit é uma ferramenta de segurança da GoCache que permite limitar a quantidade de requisições realizadas por um mesmo endereço IP em determinado intervalo de tempo. Ele auxilia na proteção contra acessos excessivos, ataques de negação de serviço (DoS) e tentativas de autenticação por força bruta.

1. Como funciona o Rate Limit?

O Rate Limit contabiliza as requisições de cada endereço IP que atendem aos critérios definidos em uma regra.

Por exemplo, ao configurar um limite de 30 requisições a cada 30 segundos, a regra poderá aplicar a ação selecionada quando determinado IP atingir esse volume de acessos no intervalo configurado.

A contabilização ocorre de maneira distribuída entre os pontos de presença da GoCache. Por isso, pode haver alguns segundos de atraso entre o atingimento do limite e a propagação do bloqueio. 

2. Quais ações estão disponíveis?

As regras de Rate Limit possuem três ações:

Todas essas ações geram eventos de segurança, que podem ser consultados no Threat Hub. 

3. O Rate Limit contabiliza requisições atendidas pelo cache?

Não. O Rate Limit da GoCache atua exclusivamente sobre requisições respondidas pela hospedagem de origem. Portanto, requisições atendidas diretamente pelo cache não entram nessa contabilização. 

Entretanto, recursos que não estejam armazenados em cache e precisem ser solicitados à origem poderão contribuir para o limite configurado.

4. O que acontece quando duas regras de Rate Limit são acionadas simultaneamente?

Quando duas regras possuem critérios que se sobrepõem, uma mesma requisição pode atender às condições de ambas. Nesses casos, a prioridade é determinada da seguinte forma:

1. Tipo de ação: quando as regras possuem ações diferentes, a ordem de prioridade é Bloquear > Desafiar > Simular.
2. Limite de requisições: quando as regras possuem a mesma ação e a mesma janela de contagem, mas limites diferentes para a quantidade de requisições por tempo definido, a regra com o menor limite será acionada primeiro, desde que a requisição atenda aos critérios de ambas.
3. Ordem das regras: quando as regras possuem critérios equivalentes, a mesma ação, o mesmo limite e a mesma janela de contagem, a prioridade é definida pela posição delas na lista, sendo priorizada a regra posicionada acima.

Exemplo: se duas regras de bloqueio permitem 30 requisições a cada 30 segundos e ambas se aplicam ao mesmo acesso, a regra posicionada acima terá prioridade.

Para evitar sobreposições indesejadas, recomendamos utilizar critérios específicos para delimitar o escopo de cada regra, especialmente quando elas possuem tempos de bloqueio diferentes.

5. Quais critérios podem ser utilizados?

É possível configurar regras com base em diferentes características das requisições, como endereço IP, URL, método HTTP, país de origem, ASN, User-Agent, cookies e cabeçalhos HTTP.

Por exemplo, você pode criar uma regra específica para a rota de autenticação de um site, aplicando um limite diferente daquele utilizado nas demais páginas. 

6. Como definir um limite adequado para minha aplicação?

Não existe um limite único que seja adequado a todos os sites. É importante analisar o volume habitual de requisições, os endpoints mais acessados e o comportamento esperado dos visitantes.

Para reduzir a possibilidade de bloqueios indevidos, recomendamos inicialmente utilizar a ação Simular, analisar os eventos gerados e ajustar o limite antes de ativar uma ação de bloqueio ou desafio.

Também é importante considerar acessos legítimos realizados por integrações, ferramentas automatizadas e usuários que compartilham um mesmo IP público.

7. Por que um IP conseguiu realizar mais requisições do que o limite configurado antes de ser bloqueado?

O Rate Limit contabiliza as requisições de maneira distribuída entre múltiplos pontos de presença da GoCache. Por esse motivo, existe uma latência na sincronização da contabilização. Quando um endereço IP ultrapassa o limite configurado, o bloqueio pode levar alguns segundos para ser propagado completamente.

8. Como identificar qual regra bloqueou determinado IP?

Os eventos gerados pelas regras de Rate Limit podem ser consultados no Threat Hub, disponível no painel da GoCache. 

Para identificar a regra responsável pelo bloqueio, filtre os eventos pelo endereço IP e pelo período em que o bloqueio ocorreu. Em seguida, verifique o ID da regra registrado no evento e compare-o com os IDs das regras configuradas na seção Rate Limit do painel.

Dessa forma, é possível identificar qual regra foi acionada.

9. O que acontece quando altero uma regra de Rate Limit?

Qualquer alteração em uma regra de Rate Limit, incluindo sua desativação, remove os bloqueios preexistentes. Por isso, antes de alterar limites, critérios ou tempos de bloqueio, é importante considerar o impacto sobre os bloqueios ativos.

10. Qual é a diferença entre Rate Limit e Smart Rules de Firewall?

O Rate Limit controla o volume de requisições realizado por um mesmo IP em um intervalo de tempo.

Já o Firewall de Smart Rules permite aplicar ações de segurança com base nas características das requisições, independentemente de elas atingirem um limite de frequência.

Por exemplo, se o objetivo é bloquear todos os acessos a uma rota específica, uma Smart Rule de Firewall pode ser mais adequada. Se o objetivo é permitir o acesso, mas restringir um volume excessivo de requisições, o Rate Limit atende a essa necessidade.

11. É possível criar regras diferentes para áreas específicas do site?

Sim. É possível utilizar critérios como URL e método HTTP para criar limites específicos para diferentes áreas da aplicação. 

Por exemplo, uma rota de login pode possuir um limite mais restritivo, enquanto as demais páginas utilizam limites compatíveis com o tráfego habitual.

É importante revisar os critérios para evitar sobreposições desnecessárias entre as regras.

12. Onde encontro mais informações?

Para conhecer todas as opções disponíveis e os procedimentos de configuração, consulte a documentação oficial:

Introdução ao Rate Limit  e Configuração de regras de Rate Limit.

Em caso de dúvidas ou problemas durante a migração, entre em contato com o time técnico da GoCache via suporte@gocache.com.br ou através do nosso Chat no canto inferior direito do nosso painel! 🖤