Rate limiting и защита API

Один клиент может уронить API пачкой запросов, а один скрипт — брутфорсить пароли. Открытый endpoint без ограничений — часы до неприятностей.

Лимит запросов за окно

import { rateLimit } from "express-rate-limit";

// 100 запросов с одного IP за 10 минут
const limiter = rateLimit({
  windowMs: 10 * 60 * 1000,
  max: 100,
  standardHeaders: true
});
app.use("/api/", limiter);

Превысили — ответ 429 Too Many Requests с заголовками, когда можно снова.

Распределённый лимит на Redis

// Счётчик с TTL — скользящее окно между нодами
await redis.incr(`rl:${ip}:${window}`);
await redis.expire(`rl:${ip}:${window}`, 600);