Itnetic TechnologiesNaší hlavní obranou je prohlížečová výzva — mezistránka, která spustí trochu JavaScriptu a vrátí podepsanou cookie. Skutečný prohlížeč ji vyřeší okamžitě. curl, SDK, mobilní aplikace ani webhook ji vyřešit nedokážou. Když se tedy doména během útoku přepnula do režimu výzvy, její API endpointy spadly s ní — a protože API klienti neukládají cookies, vypadali pro naše detektory záplav také jako útočníci.
API zóny to řeší. Definujte prefixy cest — /api/, /graphql, cokoli váš strojový provoz používá — a požadavky odpovídající zóně jsou od začátku do konce brány jako strojový provoz. Nikdy nedostanou výzvu ani tag cookies a nekrmí prohlížečové detektory záplav, takže poctiví API klienti přestanou být počítáni jako útočníci.
Místo toho je chrání limity na klienta — token bucket klíčovaný podle hlavičky dle vaší volby (obvykle Authorization, hašováno, takže se surový údaj nikdy neukládá) s fallbackem na IP — plus strop pro záplavu v celé zóně, který aktivuje krátké útočné okno. Každá odpověď je korektní API: omezený klient dostane 429 s hlavičkou Retry-After, ne HTML přesměrování.
Vy volíte, co útočné okno dělá: Signatury (blokuje označené signatury útočníků), Striktní klíč (navíc odmítá požadavky bez vaší klíčové hlavičky) nebo Jen log — detekuje a nic neblokuje, takže můžete týden ladit limity před zapnutím vynucování. Neplatná konfigurace zóny se bezpečně vrací do běžné webové pipeline, takže špatná zóna nikdy neshodí váš web.
Vše spravujete z nové sekce API na stránce domény. Princip je jednoduchý: API klient nedokáže prokázat, že je člověk, takže se neptáme — ověřujeme, že je identifikovaný a omezený. Přečtěte si Co je Layer 7 DDoS útok?