Allowlist × Rate limiting
Dois padrões que costumam ser trocados um pelo outro, e o que de fato os separa.
Em uma frase
Allowlist corta por *quem/onde* (origem, IP, URI): default deny. Rate limiting corta por *quanto*: volume acima do orçamento. Um não substitui o outro.
Critério a critério
O que mede?
- Allowlist
- Identidade de origem: está na lista ou não.
- Rate limiting
- Taxa: requisições/tokens por janela.
Qual a resposta típica?
- Allowlist
- 403 / CORS bloqueado / conexão recusada.
- Rate limiting
- 429 + Retry-After.
Serve para login abusivo?
- Allowlist
- Só se o atacante vier de fora da lista — IPs dinâmicos furam.
- Rate limiting
- Sim: limita tentativas por conta/IP mesmo sendo 'conhecido'.
Lista cresce como?
- Allowlist
- Cada parceiro/origem nova precisa entrar na lista.
- Rate limiting
- Calibra-se o teto; a chave (user, API key) escala melhor que IP.
Quando escolher cada um
Por que confundem
Achar que 'temos WAF/allowlist' e por isso o login não precisa de quota. Atacante na allowlist (ou atrás do mesmo NAT) ainda estoura tentativas.