Die erreichte Grenze bestimmen
HTTP 429 bezeichnet zu viele Anfragen und kann Retry-After enthalten. Zählweise und Geltungsbereich sind dienstabhängig. Ein niedriger Durchschnitt verhindert keine Überschreitung in einem kurzen Zeitfenster.
| Begriff | Begrenzte Größe | Sinnvolle Maßnahme |
|---|---|---|
| Kontingent | Volumen über einen Zeitraum | Gemeinsames Budget planen. |
| Rate | Ankünfte im kurzen Zeitfenster | Starts zeitlich verteilen. |
| Parallelität | Laufende Vorgänge | Gleichzeitige Arbeit begrenzen. |
| Retry-After: 120 | 120 Sekunden warten | Gesamtfrist und Wiederholbarkeit prüfen. |
Zulässige Last einplanen
- Zählschlüssel wie Konto, Projekt, Nutzer oder Route feststellen. Rücksetzzeitzone, Kosten je Vorgang und gemeinsam genutzte Budgets prüfen.
- Spitzen durch begrenzte Warteschlangen glätten und laufende Vorgänge separat begrenzen. Abbrüche weitergeben und überflüssige Aufgaben verwerfen.
- Retry-After als HTTP-Datum oder Sekundenwartezeit auswerten. Innerhalb des Gesamtzeitbudgets beachten und bei fehlendem Header begrenzt warten.
Wiederholen ohne Schutzmechanismen zu umgehen
429 beweist keine sichere Wiederholbarkeit. Idempotenz, Gesamtfrist und Versuchszahl prüfen. Ablehnungen und Warteschlange messen; bei dauerhaft zu hoher Nachfrage Bedarf senken oder passende Kapazität vereinbaren.
Primärquellen
Machen Sie den Missbrauch von Ratenbegrenzungen sichtbar.
Anforderungslimits sind effektiver, wenn sie legitime Nutzung von abnormalem Verhalten unterscheiden und ein interpretierbares Ereignis erzeugen. Fehlercodes allein können Beginn, Dauer und Ausmaß eines Missbrauchsmusters verschleiern.
- Protokollieren Sie Schwellenwert, Entscheidung, Route und minimalen Kontext ohne Geheimnisse.
- Korrelieren Sie wiederholte Ablehnungen mit den Auswirkungen auf legitime Nutzer.
- Testen Sie, ob Warnmeldungen zu Untersuchungen oder verhältnismäßigen Anpassungen führen.
Primärquelle: ACSC and partners — Event logging and threat detection. Verwandte Methode: den praktischen Leitfaden lesen.