しつこいアクセスを止める：レートリミット

レン

ログイン画面に、同じ人から何百回もアクセスがあるんだけど…

ウィルスン

ワタシだ。パスワードを1つずつ試している。何百回で足りなければ何万回でも試す。機械にとって疲れるということはないのでな。

レン

何万回！？いつか当たっちゃうよ！

プロクラ

だから回数を制限するんだ。「同じ相手からは10分に5回まで」のように上限を決めて、それを超えたら弾く。これがレートリミットだよ。何万回試せるという前提を壊してしまうわけだね。

どこに入れるか

• ログイン画面（最優先。総当たりを直接止められる）
• お問い合わせフォーム・コメント欄（スパム投稿の抑制）
• パスワード再設定の申請（大量送信の踏み台にされるのを防ぐ）
• APIを公開している場合はその窓口

設計するときの注意

プロクラ

いくつか落とし穴があるよ。まず、同じ回線を共有している人たち（会社や学校など）は、外から見ると同じ相手に見える。厳しくしすぎると、無関係な人まで巻き込んでしまう。

• 正規の利用者が困らない範囲に設定する（厳しすぎると問い合わせが増える）
• 上限に達したとき、何が起きたか分かるメッセージを出す
• 攻撃側が接続元を変えてくることもあるので、これ単独では完全ではない
• SSHへの総当たりには、専用の遮断ツールを併用するのが定番

レン

完全じゃないなら、意味はあるの？

プロクラ

十分あるよ。攻撃の大半は「手当たり次第に試して、手応えのある所だけ深追いする」やり方だからね。面倒だと分かった時点で、次の標的に移ってくれることが多いんだ。完璧でなくても、割に合わなくすることに価値があるよ。