Límites de tasa y vigilancia como defensa

Un límite de tasa acota cuántas peticiones deja pasar la API en un intervalo. Contra la extracción no la impide, pero la encarece y la hace lenta: si una imitación necesita cien mil respuestas y la API da veinte mil por semana, el trabajo pasa de días a meses. Lo decisivo es sobre qué se cuenta. Contar por clave sirve de poco si el mismo cliente puede crear muchas claves. Lo que se quiere acotar es a la persona u organización que está detrás: por organización, por contrato, por medio de pago o por identidad verificada.

El mismo razonamiento vale para la vigilancia. Una alerta que mira cada clave por separado no ve el total de una organización que reparte su volumen.

Un plan de prueba generoso es una buena herramienta comercial y una puerta cómoda para la extracción: alta con solo un correo, respuestas detalladas y varias claves por cliente. Cada una de esas facilidades tiene sentido sola; juntas permiten que un único cliente multiplique el límite por el número de claves que le dejan crear.

Lee los límites del plan en el que estaba el cliente sospechoso.

Para dimensionar el caso se suma lo que pasó por todas las claves de la organización. Esa cifra es la que se compara con lo que necesita una imitación y la que se presenta a la dirección, no la de una sola clave.

Las alertas que mejor separan la extracción del uso intenso miran el patrón: cuántos tipos distintos de caso recorre un cliente, cuántas entradas son nuevas, cuántas claves crea en pocos días y si pide probabilidades. El riesgo es que la alerta moleste a los clientes grandes y alguien la apague en lugar de ajustarla, por ejemplo midiendo por organización y excluyendo integraciones conocidas.

Revisa el estado de las alertas.

Las medidas se ordenan por lo que cierran sin castigar a los clientes reales. Un límite por organización y menos claves en la prueba quitan la multiplicación. Responder por defecto solo con la etiqueta, y reservar las probabilidades a contratos que las justifiquen, reduce lo que enseña cada respuesta. Reactivar la alerta de cobertura medida por organización, y sumar una de claves nuevas, avisa del próximo intento. Bloquear una dirección no sirve de mucho: el mismo cliente puede volver desde otra.