Mengamankan Verifikasi Identitas: Batas Kecepatan dan Pembatasan API

Melindungi dari PenyalahgunaanPembatasan kecepatan (rate limiting) dan pembatasan (throttling) adalah pertahanan penting terhadap serangan Denial-of-Service (DoS), upaya brute-force, dan credential stuffing pada API verifikasi identitas yang sensitif.

Memastikan Stabilitas SistemDengan mengontrol volume permintaan, mekanisme ini mencegah kelebihan beban API, memastikan kinerja yang konsisten dan ketersediaan sumber daya untuk pengguna yang sah.

Menjaga Integritas DataMencegah permintaan berlebihan membantu menjaga integritas data identitas dan akurasi proses verifikasi, seperti yang melibatkan Verifikasi ID dan Pemeriksaan Keaktifan (Liveness Checks).

Pertahanan Berlapis DiditDidit menerapkan batas kecepatan global dan spesifik endpoint yang komprehensif, bersama dengan header X-RateLimit yang jelas dan panduan klien, untuk mengamankan platform identitasnya secara efektif.

Peran Penting Pembatasan Kecepatan dalam Verifikasi Identitas

Dalam lanskap digital saat ini, verifikasi identitas sangat penting untuk kepercayaan dan keamanan. Bisnis mengandalkan API untuk melakukan pemeriksaan penting seperti Verifikasi ID, Deteksi Keaktifan (Liveness Detection), dan Penyaringan AML. Namun, endpoint yang kuat ini juga merupakan target utama bagi pelaku jahat. Tanpa perlindungan yang tepat, mereka dapat dieksploitasi untuk pencurian data, penipuan, atau hanya untuk mengganggu layanan melalui serangan Denial-of-Service (DoS). Di sinilah pembatasan kecepatan (rate limiting) dan pembatasan (throttling) API menjadi sangat diperlukan.

Pembatasan kecepatan adalah strategi untuk mengontrol jumlah permintaan yang dapat dilakukan klien ke API dalam jangka waktu tertentu. Pembatasan (throttling), konsep terkait, melibatkan penyesuaian dinamis laju permintaan berdasarkan kapasitas sistem atau batas yang telah ditentukan. Bersama-sama, keduanya membentuk garis pertahanan yang krusial, memastikan bahwa infrastruktur verifikasi identitas Anda tetap stabil, aman, dan tersedia untuk pengguna yang sah. Bayangkan sebuah skenario di mana penyerang mencoba melakukan brute-force jutaan pemeriksaan identitas menggunakan kredensial curian; tanpa batas kecepatan, ini dapat dengan cepat membanjiri sistem Anda, menyebabkan gangguan layanan dan potensi pelanggaran data. Didit, dengan platform identitas asli AI-nya, memahami tantangan ini secara mendalam dan menanamkan pembatasan kecepatan berlapis langsung ke dalam arsitekturnya.

Memahami Batas Global vs. Spesifik Endpoint

Pembatasan kecepatan yang efektif memerlukan pendekatan yang bernuansa, membedakan antara penggunaan API umum dan operasi berdampak tinggi. Batas satu ukuran untuk semua bisa terlalu ketat untuk operasi umum atau terlalu longgar untuk operasi yang intensif sumber daya. Oleh karena itu, sistem yang kuat menggunakan batas global dan spesifik endpoint.

Batas Global

Batas global berlaku di seluruh kategori permintaan API yang luas. Misalnya, Didit menerapkan batas global 300 permintaan per menit per aplikasi untuk semua endpoint GET dan 300 permintaan per menit lainnya untuk semua endpoint tulis/hapus (POST, PATCH, DELETE). Batas atas generik ini menyediakan lapisan perlindungan fundamental, bertindak sebagai pagar pembatas untuk konsumsi API secara keseluruhan. Batas-batas ini dirancang untuk mencegah penyalahgunaan yang meluas tanpa terlalu memengaruhi alur operasional normal.

Batas Spesifik Endpoint

Di luar batas global, operasi API tertentu secara inheren lebih intensif sumber daya atau sensitif, sehingga memerlukan kontrol yang lebih ketat. Platform Didit mendefinisikan cakupan tambahan yang lebih ketat untuk operasi berdampak tinggi tersebut. Contohnya:

• session-v2-create (POST /v2/session/): Endpoint ini, yang krusial untuk memulai alur kerja verifikasi identitas, memiliki batas khusus 600 permintaan per menit. Ini memastikan bahwa meskipun pembuatan sesi sering terjadi, itu tidak membanjiri mesin orkestrasi alur kerja.
• session-decision (GET /v2/session/<id>/decision/): Pengambilan keputusan sesi dibatasi hingga 100 permintaan per menit. Ini mencegah polling berlebihan yang dapat membebani sumber daya database, yang sangat penting untuk hasil real-time dari proses seperti Verifikasi ID dan Penyaringan AML.
• session-generate-pdf (GET /session/<id>/generate-pdf/): Pembuatan PDF adalah operasi yang terikat CPU, dan karenanya dibatasi hingga 100 permintaan per menit untuk mengelola biaya komputasi dan memastikan responsivitas.

Pendekatan berjenjang ini memungkinkan kontrol yang terperinci, mengoptimalkan kinerja dan keamanan di seluruh siklus hidup verifikasi identitas.

Praktik Terbaik Sisi Klien untuk Menangani Batas Kecepatan

Meskipun penyedia API menerapkan pembatasan kecepatan yang kuat, klien juga memainkan peran penting dalam menghormati batas ini dan membangun aplikasi yang tangguh. Ketika API mengembalikan respons 429 Too Many Requests, itu bukan kegagalan tetapi indikasi untuk menyesuaikan pola permintaan Anda. API Didit, misalnya, menyertakan header penting dalam respons 429 untuk memandu klien:

• X-RateLimit-Limit: Jumlah maksimum permintaan yang diizinkan dalam jendela saat ini.
• X-RateLimit-Remaining: Jumlah permintaan yang tersisa dalam jendela saat ini.
• X-RateLimit-Reset: Waktu (dalam detik epoch) ketika jendela batas kecepatan saat ini diatur ulang.
• Retry-After: Menentukan berapa lama harus menunggu sebelum membuat permintaan baru.

Untuk membangun integrasi yang kuat, klien harus:

1. Memantau Header Batas Kecepatan: Secara aktif memantau X-RateLimit-Remaining dan mulai membatasi permintaan ketika turun di bawah ambang batas tertentu (misalnya, 15% dari X-RateLimit-Limit).
2. Menerapkan Exponential Backoff: Untuk respons 429, jangan langsung mencoba lagi. Sebaliknya, terapkan strategi backoff eksponensial, meningkatkan penundaan antar percobaan ulang (misalnya, 5 detik → 10 detik → 20 detik → 40 detik). Ini mencegah kelebihan beban API lebih lanjut dan memungkinkannya pulih.
3. Mencatat dan Memberi Peringatan: Catat instans respons 429 dan percobaan ulang yang dipicu. Ini membantu mengidentifikasi lonjakan berkelanjutan atau potensi masalah dalam pola permintaan aplikasi Anda, memungkinkan tim Anda untuk menyelidiki dan mengoptimalkan.

Mematuhi praktik-praktik ini memastikan aplikasi Anda terintegrasi dengan lancar dan andal dengan layanan verifikasi identitas, bahkan dalam kondisi beban yang bervariasi.

Bagaimana Didit Membantu Mengamankan Alur Kerja Identitas Anda

Didit menyediakan platform identitas asli AI yang komprehensif, dirancang dari awal dengan keamanan dan skalabilitas. Pembatasan kecepatan berlapis kami hanyalah salah satu contoh bagaimana kami melindungi operasi dan data pengguna sensitif Anda. Dengan Didit, Anda mendapatkan manfaat dari:

• Perlindungan API yang Kuat: Batas kecepatan global dan spesifik endpoint kami melindungi dari penyalahgunaan, memastikan stabilitas untuk layanan penting seperti Verifikasi ID, Liveness Pasif & Aktif, Pencocokan Wajah 1:1, dan Penyaringan & Pemantauan AML.
• Alur Kerja yang Terorkestrasi: Konsol Bisnis tanpa kode kami memungkinkan Anda merancang perjalanan verifikasi yang kompleks, dan backend kami secara cerdas mengelola panggilan API yang mendasarinya, menghormati semua batas. Misalnya, saat membuat Tautan Verifikasi atau Unilink, sistem menangani pembuatan sesi dan pemeriksaan selanjutnya secara efisien.
• Pendekatan Mengutamakan Pengembang: Didit menawarkan API yang bersih dan dokumentasi yang komprehensif, termasuk panduan terperinci tentang pembatasan kecepatan, memungkinkan pengembang untuk membangun integrasi yang tangguh sejak hari pertama. Arsitektur modular kami berarti Anda dapat plug-and-play pemeriksaan identitas tanpa khawatir tentang infrastruktur yang mendasarinya.
• Skalabilitas dan Keandalan: Dengan mengelola lalu lintas API secara proaktif, Didit memastikan ketersediaan dan kinerja tinggi, bahkan selama beban puncak. Platform asli AI kami dibangun untuk menskalakan secara global, menangani jutaan verifikasi tanpa mengorbankan keamanan atau kecepatan.

Komitmen Didit terhadap keamanan melampaui pembatasan kecepatan, mencakup fitur-fitur seperti KYC Inti Gratis, tanpa biaya pengaturan, dan model bayar-per-pemeriksaan-berhasil, menjadikan verifikasi identitas yang kuat dapat diakses dan efisien untuk bisnis dari semua ukuran.

Siap Memulai?

Siap melihat Didit beraksi? Dapatkan demo gratis hari ini.

Mulai verifikasi identitas secara gratis dengan tingkat gratis Didit.