Identifier la limite réellement atteinte
Le statut HTTP 429 indique un excès de requêtes ; il peut être accompagné de Retry-After. Le calcul et le périmètre de la limite restent propres au service. Une moyenne basse n’empêche pas une rafale de dépasser une limite courte.
| Notion | Ce qu’elle borne | Action utile |
|---|---|---|
| Quota | Volume sur une période | Planifier le budget partagé. |
| Cadence | Arrivées dans une fenêtre courte | Étaler les départs. |
| Concurrence | Opérations en cours | Limiter les traitements simultanés. |
| Retry-After: 120 | Attente de 120 secondes | Vérifier le délai total et la possibilité de reprise. |
Organiser la charge autorisée
- Vérifiez la clé de comptage : compte, projet, utilisateur, route ou autre périmètre. Contrôlez fuseau de remise à zéro, coûts par opération et partage entre applications.
- Lissez les rafales avec une file bornée et limitez séparément les opérations en cours. Propagez les annulations et abandonnez les tâches devenues inutiles.
- Interprétez Retry-After comme une date HTTP ou un délai en secondes. Respectez ce signal avec un budget de temps ; prévoyez une attente bornée lorsqu’il manque.
Évaluer une reprise sans contourner la protection
Un statut 429 ne prouve pas qu’une opération est rejouable. Contrôlez l’idempotence, la durée totale et le nombre de tentatives. Mesurez les refus et la longueur de file ; si la demande durable dépasse le contrat, réduisez le besoin ou convenez d’une capacité adaptée.
Références primaires
Rate limiting : rendre les abus observables
Une limite d’appels protège mieux lorsqu’elle distingue le client légitime d’un comportement anormal et qu’elle produit un événement interprétable. Les seuls codes d’erreur ne montrent pas toujours le début, la durée ni la portée d’un abus.
- Journaliser seuil, décision, route et contexte minimal sans stocker de secret.
- Corréler refus successifs et effets sur les utilisateurs légitimes.
- Tester que l’alerte déclenche une investigation ou un réglage proportionné.
Référence primaire : ACSC and partners — Event logging and threat detection. Méthode connexe : consulter le guide pratique.