Bir API için rate limiter nasıl tasarlanır? Hangi algoritmalar kullanılır?

Rate limiter, bir istemcinin belirli sürede yapabileceği istek sayısını sınırlar: kötüye kullanımı, brute force'u ve aşırı yükü önler. Limit aşıldığında 429 Too Many Requests ve Retry-After başlığı döner.

Algoritmalar

Dağıtık uygulama

Birden fazla sunucu olduğunda sayaç ortak bir yerde, genelde Redis'te tutulur:

// Fixed window: kullanıcı başına dakikada 100 istek
async function allow(userId) {
  const key = `rl:${userId}:${Math.floor(Date.now() / 60000)}`;
  const count = await redis.incr(key);
  if (count === 1) await redis.expire(key, 60);
  return count <= 100;
}

Token bucket gibi çok adımlı mantıkta yarış durumunu önlemek için işlem Lua script ile atomik yapılır.

Tasarım kararları

• Anahtar: kullanıcı ID, API key veya IP (girişsiz istekler için).
• Nerede: API gateway (Nginx, Kong, Cloudflare) veya uygulama middleware'i.
• Redis erişilemezse: fail-open (izin ver) mi fail-closed mu, kararı açıkça verilmeli.
• Yanıtta X-RateLimit-Remaining gibi başlıklarla istemciye bilgi verilir.