Il Rate Limiting di Cloudflare conteggia il numero di richieste inviate da un singolo client verso un determinato percorso entro una finestra temporale definita (da 10 secondi a 1 ora), applicando una contromisura quando viene superata la soglia specificata.
Per configurarlo riducendo al minimo i falsi positivi:
- Isola endpoint sensibili ad alto rischio abuso, come /login, /api/v1/auth o percorsi di recupero password, anziche applicare soglie aggressive all'intero sito
- Definisci la chiave di conteggio: per impostazione predefinita e l'IP del client (ip.src), ma per API autenticate e consigliabile aggregare per token o cookie di sessione per non penalizzare utenti dietro NAT o reti aziendali condivise
- Come azione, prediligi la Managed Challenge rispetto al blocco secco (HTTP 429), permettendo a utenti legittimi di risolvere un controllo invisibile senza interrompere il servizio.