rate_limiting_gateway

El rate limiting en el gateway es la defensa primaria contra ataques de fuerza bruta, scraping y credential stuffing. Se implementa con ventana deslizante en Redis para ser preciso y distribuido entre múltiples instancias de Nginx.

When to use

Aplicar en todos los endpoints del API. Los límites del gateway son más laxos que los del antifraud_agent (que aplica límites específicos por documento/dispositivo).

Instructions

1. Usar ngx_http_limit_req_module de Nginx para rate limiting simple:

   limit_req_zone $binary_remote_addr zone=kyc_api:10m rate=10r/s;
   limit_req zone=kyc_api burst=20 nodelay;
   limit_req_status 429;
   

2. Para rate limiting distribuido entre instancias, usar lua-resty-limit-traffic con Redis:

   local limit_req = require "resty.limit.req"