Limites de taxa
Quantas requisições um endereço IP pode fazer nos seus endpoints de auth, e como mudar isso.
Cinco ações de auth são limitadas por endereço IP. Elas existem para que um único chamador não consiga varrer senhas, queimar códigos de uso único ou descobrir quais e-mails têm conta.
Os limites são seus, por ambiente, no Console em Autenticação → Limites de taxa.
O que é contado
Logins30OptionalTentativas de sign-in. A que importa contra credential stuffing.
Renovações de token150OptionalRenovações de token de sessão. Mais alto porque um app ativo renova legitimamente.
Verificações30OptionalVerificações de OTP e link mágico.
Modo sudo5OptionalElevação de privilégio. O mais apertado, porque cada uma guarda uma ação sensível.
Consultas30OptionalChecagens de identificador — se este e-mail, telefone ou usuário existe. Limitado porque consulta sem limite é endpoint de enumeração de conta.
Como a janela funciona
Cada número é a contagem permitida numa janela fixa de cinco minutos, por
endereço IP — não por minuto. Um limite de sign-in de 30 significa trinta
tentativas de um endereço em cinco minutos, e rejeições até a janela virar.
Os cinco minutos são controlados pelo servidor e valem para todas as ações. A API
devolve isso como minutes junto dos limites, então o cliente nunca precisa
supor.
Por IP, não por usuário
Duas pessoas na mesma rede de escritório dividem o balde. Se os seus usuários se concentram atrás de NAT ou proxy corporativo, aumente os limites — o padrão assume tráfego residencial comum.
Quando o limite estoura
{
"status_code": 429,
"message": "rate limit exceeded",
"code": "rate_limit_exceeded",
"retryAfter": 300
}retryAfter vem em segundos e diz quando a janela libera. Espere esse tempo em
vez de tentar de novo na hora — um laço de retry contra endpoint limitado mantém
o balde vazio e transforma um limite passageiro em permanente.
E mostre isso para a pessoa. "Muitas tentativas, tente de novo em cinco minutos" é uma frase acionável; uma falha genérica manda ela para o suporte.
Escolhendo os valores
Aumente quando tráfego legítimo estiver sendo pego: redes compartilhadas, um app mobile que insiste no retry, ou um ambiente usado para teste de carga.
Diminua Logins e Consultas quando o projeto for alvo. São as duas em que um atacante aprende algo — uma testa credencial, a outra testa quais contas existem.
Deixe Renovações de token folgado. É a que uma sessão comum atinge sozinha, e limitá-la desloga gente no meio do uso.
Limitar taxa não é a defesa inteira
Limitar atrasa o atacante; não para quem é paciente ou distribuído. Combine com autenticação multifator e com a checagem de bot, que rejeitam em vez de adiar.
Envios têm cota separada
E-mail e SMS têm cota própria, por canal e por ambiente — outro mecanismo, com outra falha. Veja Comunicações.