Verificação de Identidade Segura: Limites de Taxa e Throttling de API (PT-BR)

Proteja Contra Abusos
Limitação de taxa e throttling são defesas essenciais contra ataques de Negação de Serviço (DoS), tentativas de força bruta e credential stuffing em APIs sensíveis de verificação de identidade.

Garanta a Estabilidade do Sistema
Ao controlar o volume de requisições, esses mecanismos previnem a sobrecarga da API, garantindo desempenho consistente e disponibilidade de recursos para usuários legítimos.

Mantenha a Integridade dos Dados
Prevenir requisições excessivas ajuda a salvaguardar a integridade dos dados de identidade e a precisão dos processos de verificação, como os que envolvem Verificação de ID e Checagens de Prova de Vida.

Defesa Multicamadas da Didit
A Didit implementa limites de taxa abrangentes globais e específicos por endpoint, juntamente com cabeçalhos X-RateLimit claros e orientações ao cliente, para proteger sua plataforma de identidade de forma eficaz.

O Papel Crítico da Limitação de Taxa na Verificação de Identidade

No cenário digital atual, a verificação de identidade é primordial para a confiança e segurança. As empresas dependem de APIs para realizar verificações críticas como Verificação de ID, Detecção de Prova de Vida e Triagem AML. No entanto, esses poderosos endpoints também são alvos preferenciais para atores mal-intencionados. Sem as salvaguardas adequadas, eles podem ser explorados para roubo de dados, fraude ou simplesmente para interromper serviços através de ataques de Negação de Serviço (DoS). É aqui que a limitação de taxa e o throttling de API se tornam indispensáveis.

A limitação de taxa é uma estratégia para controlar o número de requisições que um cliente pode fazer a uma API dentro de um determinado período. O throttling, um conceito relacionado, envolve ajustar dinamicamente a taxa de requisições com base na capacidade do sistema ou em limites predefinidos. Juntos, eles formam uma linha de defesa crucial, garantindo que sua infraestrutura de verificação de identidade permaneça estável, segura e disponível para usuários legítimos. Imagine um cenário onde um invasor tenta forçar milhões de verificações de identidade usando credenciais roubadas; sem limites de taxa, isso poderia rapidamente sobrecarregar seus sistemas, levando a interrupções de serviço e possíveis violações de dados. A Didit, com sua plataforma de identidade nativa de IA, compreende profundamente esses desafios e incorpora a limitação de taxa multicamadas diretamente em sua arquitetura.

Compreendendo Limites Globais vs. Específicos por Endpoint

Uma limitação de taxa eficaz exige uma abordagem detalhada, distinguindo entre o uso geral da API e operações de alto impacto. Um limite único para todos pode ser muito restritivo para operações comuns ou muito permissivo para operações que consomem muitos recursos. Portanto, um sistema robusto emprega limites globais e específicos por endpoint.

Limites Globais

Os limites globais se aplicam a amplas categorias de requisições de API. Por exemplo, a Didit implementa limites globais de 300 requisições por minuto por aplicativo para todos os endpoints GET e outros 300 requisições por minuto para todos os endpoints de escrita/exclusão (POST, PATCH, DELETE). Esses tetos genéricos fornecem uma camada fundamental de proteção, atuando como uma barreira para o consumo geral da API. Eles são projetados para prevenir abusos generalizados sem impactar indevidamente os fluxos operacionais normais.

Limites Específicos por Endpoint

Além dos limites globais, certas operações de API são inerentemente mais intensivas em recursos ou sensíveis, justificando controles mais rigorosos. A plataforma da Didit define escopos adicionais e mais restritivos para essas operações de alto impacto. Por exemplo:

• session-v2-create (POST /v2/session/): Este endpoint, crucial para iniciar fluxos de verificação de identidade, possui um limite dedicado de 600 requisições por minuto. Isso garante que, embora a criação de sessão seja frequente, ela não sobrecarregue o mecanismo de orquestração de fluxo de trabalho.
• session-decision (GET /v2/session/<id>/decision/): A recuperação de decisões de sessão é limitada a 100 requisições por minuto. Isso evita a sondagem excessiva que poderia sobrecarregar os recursos do banco de dados, o que é particularmente importante para resultados em tempo real de processos como Verificação de ID e Triagem AML.
• session-generate-pdf (GET /session/<id>/generate-pdf/): A geração de PDF é uma operação que consome CPU e, portanto, é limitada a 100 requisições por minuto para gerenciar custos computacionais e garantir a capacidade de resposta.

Essa abordagem em camadas permite um controle refinado, otimizando o desempenho e a segurança em todo o ciclo de vida da verificação de identidade.

Melhores Práticas do Lado do Cliente para Lidar com Limites de Taxa

Enquanto os provedores de API implementam uma limitação de taxa robusta, os clientes também desempenham um papel crucial no respeito a esses limites e na construção de aplicativos resilientes. Quando uma API retorna uma resposta 429 Too Many Requests, não é uma falha, mas uma indicação para ajustar seu padrão de requisição. A API da Didit, por exemplo, inclui cabeçalhos críticos em respostas 429 para orientar os clientes:

• X-RateLimit-Limit: O número máximo de requisições permitidas na janela atual.
• X-RateLimit-Remaining: O número de requisições restantes na janela atual.
• X-RateLimit-Reset: O tempo (em segundos epoch) quando a janela de limite de taxa atual é redefinida.
• Retry-After: Especifica quanto tempo esperar antes de fazer uma nova requisição.

Para construir uma integração robusta, os clientes devem:

1. Monitorar Cabeçalhos de Limite de Taxa: Observar ativamente X-RateLimit-Remaining e começar a limitar as requisições quando ele cair abaixo de um certo limite (por exemplo, 15% de X-RateLimit-Limit).
2. Implementar Backoff Exponencial: Para respostas 429, não tente novamente imediatamente. Em vez disso, implemente uma estratégia de backoff exponencial, aumentando o atraso entre as novas tentativas (por exemplo, 5s → 10s → 20s → 40s). Isso evita sobrecarregar ainda mais a API e permite que ela se recupere.
3. Registrar e Alertar: Registrar instâncias de respostas 429 e novas tentativas acionadas. Isso ajuda a identificar picos sustentados ou possíveis problemas nos padrões de requisição do seu aplicativo, permitindo que sua equipe investigue e otimize.

Aderir a essas práticas garante que seu aplicativo se integre de forma suave e confiável com os serviços de verificação de identidade, mesmo sob condições de carga variáveis.

Como a Didit Ajuda a Proteger Seus Fluxos de Trabalho de Identidade

A Didit oferece uma plataforma de identidade abrangente e nativa de IA, projetada desde o início com segurança e escalabilidade em mente. Nossa limitação de taxa multicamadas é apenas um exemplo de como protegemos suas operações e dados de usuários sensíveis. Com a Didit, você se beneficia de:

• Proteção Robusta da API: Nossos limites de taxa globais e específicos por endpoint protegem contra abusos, garantindo estabilidade para serviços críticos como Verificação de ID, Prova de Vida Passiva e Ativa, Correspondência Facial 1:1 e Triagem e Monitoramento AML.
• Fluxos de Trabalho Orquestrados: Nosso Console de Negócios sem código permite que você projete jornadas de verificação complexas, e nosso backend gerencia inteligentemente as chamadas de API subjacentes, respeitando todos os limites. Por exemplo, ao gerar Links de Verificação ou Unilinks, o sistema lida com a criação de sessão e verificações subsequentes de forma eficiente.
• Abordagem Desenvolvedor-First: A Didit oferece APIs limpas e documentação abrangente, incluindo orientação detalhada sobre limitação de taxa, permitindo que os desenvolvedores construam integrações resilientes desde o primeiro dia. Nossa arquitetura modular significa que você pode conectar e usar verificações de identidade sem se preocupar com a infraestrutura subjacente.
• Escalabilidade e Confiabilidade: Ao gerenciar proativamente o tráfego da API, a Didit garante alta disponibilidade e desempenho, mesmo durante picos de carga. Nossa plataforma nativa de IA é construída para escalar globalmente, lidando com milhões de verificações sem comprometer a segurança ou a velocidade.

O compromisso da Didit com a segurança vai além da limitação de taxa, abrangendo recursos como KYC Core Gratuito, sem taxas de configuração e um modelo de pagamento por verificação bem-sucedida, tornando a verificação de identidade robusta acessível e eficiente para empresas de todos os tamanhos.

Pronto para Começar?

Pronto para ver a Didit em ação? Obtenha uma demonstração gratuita hoje.

Comece a verificar identidades gratuitamente com o plano gratuito da Didit.