Rate Limiting

Définition

Le Rate Limiting (limitation de débit) est un mécanisme de contrôle qui restreint le nombre de requêtes qu'un client peut effectuer vers une API ou un service dans une fenêtre de temps donnée. C'est un contrôle de sécurité fondamental qui protège contre les attaques par force brute (sur les endpoints d'authentification), les attaques DDoS applicatives, l'extraction massive de données (data harvesting), et les abus des APIs. Dans le contexte DevSecOps, le Rate Limiting est un contrôle de sécurité clé à implémenter systématiquement. Les algorithmes de Rate Limiting les plus courants sont le Token Bucket (les requêtes consomment des tokens; les tokens se rechargent à débit constant; les pics courts sont tolérés dans la limite du bucket), le Leaky Bucket (les requêtes s'écoulent à débit constant, les surplus sont mis en file d'attente ou rejetés), le Fixed Window Counter (comptage de requêtes sur une fenêtre temporelle fixe; susceptible aux attaques exploitant les frontières de fenêtre), et le Sliding Window Counter (hybride combinant précision et performance). Le Rate Limiting peut s'appliquer à différents niveaux de granularité : par adresse IP (protection contre les attaques depuis une source unique), par API key ou token d'authentification (contrôle de l'usage des intégrations), par endpoint spécifique (limites différentes selon la sensibilité : /auth/login beaucoup plus restrictif que /api/products), par tenant ou organisation (dans les architectures multi-tenant), et par combinaison de critères. Les réponses HTTP standardisées pour le Rate Limiting utilisent le code 429 Too Many Requests avec des headers informatifs : Retry-After (secondes avant pouvoir réessayer), X-RateLimit-Limit (limite globale), X-RateLimit-Remaining (requêtes restantes dans la fenêtre), et X-RateLimit-Reset (timestamp de réinitialisation du compteur). Ces headers permettent aux clients bien conçus de s'adapter sans générer de charge inutile. L'implémentation du Rate Limiting peut se faire à différentes couches : dans l'API Gateway (Kong, AWS API Gateway, Nginx), dans des middlewares applicatifs (express-rate-limit pour Node.js, flask-limiter pour Python), ou dans des solutions dédiées (Redis avec rate-limiter-flexible, Envoy avec local/global rate limiting).