Technical Tutorials

Uygulama güvenliği yalnızca yetkisiz erişimi önlemekle ilgili değildir; aynı zamanda yük altında kullanılabilirliği ve kararlılığı sağlamakla da ilgilidir. Kötüye kullanım, brute-force saldırıları ve Hizmet Reddi (DoS) olaylarına karşı en kritik savunma mekanizmalarından biri hız sınırlamadır (rate limiting). Geliştiricilerin çoğu temel throttling (hız kısıtlama) uygulamakla birlikte, üretim kalitesindeki uygulamalar için gereken ayrıntılı yapılandırmayı yapan çok az kişi vardır. Bu yazıda, hız sınırlamanın mekaniklerini, popüler algoritmaları ve pratik uygulama stratejilerini keşfedeceğiz.

Neden Hız Sınırlama Önemlidir?

Hız sınırlama, bir kullanıcının veya IP adresinin belirli bir zaman dilimi içinde bir API'ye yapabileceği istek sıklığını kontrol eder. Bu kontroller olmadan, kötü niyetli aktörler hizmetlerinizi kolayca aşırı yükleyebilir, hesaplama kaynaklarını tüketebilir veya hızlı kimlik doğrulama denemeleri aracılığıyla veri bütünlüğünü tehlikeye atabilir. Güvenliğin ötesinde, hız sınırlama bir kapasite planlama aracı olarak da hizmet verir; meşru trafiğin diğer kullanıcıların kaynaklardan mahrum kalmasını önler.

Doğru Algoritmanın Seçimi

Tüm hız sınırlama stratejileri eşit değildir. Algoritma seçimi, spesifik kullanım durumunuza bağlıdır; örneğin, sıkı katı sınırlar uygulamak mı yoksa ara sıra trafik patlamalarına izin vermek mi gerektiği gibi.

Sabit Pencere Sayacı

Bu, en basit yaklaşımdır. Zamanı sabit pencerelere (örneğin bir dakika) bölersiniz ve her penceredeki istek sayısını sayarsınız. Sayı sınırı aşarsa, pencere sıfırlanana kadar sonraki istekler reddedilir.

Dezavantaj: Bu yöntem "sınır problemi"nden muzdariptir. Bir kullanıcı bir dakikanın sonunda 100 istek ve iki dakikanın başında 100 istek yaparsa, iki saniye içinde etkili bir şekilde 200 istek göndermiş olur ve dakikalık sınırınızı aşmış olur.

Kayan Pencere Günlüğü

Sınır sorununu ele almak için, kayan pencere günlüğü her istek için zaman damgasını kaydeder. Yeni bir istek geldiğinde, sunucu geçmiş N saniye içinde kaç istek yapıldığını hesaplar ve bunu sınırla karşılaştırır.

Dezavantaj: Bu yöntem bellek yoğun bir işlemdir. Milyonlarca kullanıcı için her zaman damgasını saklamak, eski günlükleri verimli bir şekilde temizlemek için önemli depolama ve işlem gücü gerektirir.

Jeton Havuzu Algoritması

Genel amaçlı hız sınırlama için genellikle altın standart olarak kabul edilen jeton havuzu algoritması, uzun vadeli bir ortalamayı korurken patlamalara izin verir. Maksimum bir kapasiteye sahip bir havuzu hayal edin. Jetonlar sabit bir hızda havuza eklenir. Her istek bir jeton tüketir. Havuz boşsa, istek reddedilir. Bu yaklaşım esnektir çünkü kullanıcının zaman içinde havuzu doldurması koşuluyla, bir aktivite patlaması için jetonları "biriktirmesine" izin verir.

Redis ile Pratik Uygulama

Dağıtık sistemler için durumu yerel olarak sürdürmek yetersizdir. Merkezi ve yüksek performanslı bir depolama birimine, örneğin Redis'e ihtiyacınız vardır. Aşağıda, diğer diller için uyarlanabilecek Node.js'te Sabit Pencere Sayacı desenini kullanan kavramsal bir uygulama bulunmaktadır.

const redis = require('redis');
const client = redis.createClient();

const RATE_LIMIT = 100; // Maksimum istek
const WINDOW_MS = 60000; // 1 dakika

async function checkRateLimit(userId) {
    const key = `ratelimit:${userId}`;
    
    // Mevcut sayacı al
    let count = await client.get(key);
    
    if (count === null || count === undefined) {
        // Bu penceredeki ilk istek, ayarla
        await client.setex(key, WINDOW_MS / 1000, 1);
        return { allowed: true, remaining: RATE_LIMIT - 1 };
    }
    
    count = parseInt(count);
    
    if (count >= RATE_LIMIT) {
        return { allowed: false, remaining: 0 };
    }
    
    // Sayacı artır
    await client.incr(key);
    
    return { allowed: true, remaining: RATE_LIMIT - (count + 1) };
}

// Express middleware'de kullanım
app.use(async (req, res, next) => {
    const userId = req.headers['x-user-id'] || req.ip;
    const result = await checkRateLimit(userId);
    
    if (!result.allowed) {
        return res.status(429).json({ error: 'Too Many Requests' });
    }
    
    // Kalan kota istemci geri bildirimi için başlıklara aktar
    res.set('X-RateLimit-Remaining', result.remaining);
    next();
});

Üretim İçin En İyi Uygulamalar

Kodu uygulamak savaşın sadece yarısıdır. Hız sınırlama stratejinizin etkili olduğundan emin olmak için aşağıdakileri göz önünde bulundurun:

Yanıt Veren Başlıklar: Her zaman X-RateLimit-Limit, X-RateLimit-Remaining ve Retry-After başlıklarını dahil edin. Bu şeffaflık, geliştiricilerin API'nizle entegrasyonuna yardımcı olur ve istemcilere sınırlara ulaştıklarında bilgi verir.
Kademeli Bozulma: Hız sınırlama mantığınızın kendi başına bir darboğaz haline gelmediğinden emin olun. Redis işlemleri, gecikme patlamalarını önlemek için engelleme yapmamalı veya asenkron olarak işlenmelidir.
Kademeli Sınırlar: Kullanıcı kademelerine (örneğin ücretsiz vs. premium kullanıcılar) veya API uç noktalarına (örneğin salt okunur vs. yazma işlemleri) göre farklı sınırlar uygulayın.

Sonuç

Hız sınırlama, hem altyapınızı hem de kullanıcılarınızı koruyan uygulama güvenliğinin temel bir bileşenidir. Farklı algoritmalar arasındaki ödünleşimleri anlamak ve Redis gibi güçlü araçlardan yararlanmak, kötüye kullanıma karşı dirençli olurken meşru trafiğe adil kalan bir sistem oluşturmanızı sağlar. Unutmayın, en iyi güvenlik uygulaması, korumayı kullanıcı deneyimiyle dengeleyen ve API'nizin tüm koşullar altında kullanılabilir ve yanıt verici kalmasını sağlayan uygulamadır.