Masalah
Threshold yang terlalu rendah memblokir pengguna valid, sedangkan threshold terlalu tinggi tidak menahan abuse. Nilai yang tepat bergantung pada endpoint, pola client, dan periode pengukuran.
Cloudflare / Security Guide
Cloudflare Rate Limiting: cara menentukan threshold tanpa memblokir user normal
Gunakan baseline traffic, endpoint scope, counting characteristics, dan rollout bertahap untuk merancang rate limit yang defensif.
Tujuan latihan
Membuat metode penentuan threshold yang berbasis traffic nyata dan dapat diuji sebelum memakai Block.
PersiapanAkses analytics/security events dan pemahaman endpoint yang akan dilindungi. Angka contoh bukan rekomendasi universal.
Traffic baseline→
Rate threshold→
Mitigation action
1. Pilih endpoint spesifik
Mulai dari route yang memang punya risiko abuse seperti login, password reset, search mahal, atau API tertentu. Hindari satu threshold global untuk semua path tanpa alasan.
2. Bangun baseline
Ambil distribusi request per characteristic selama periode normal dan peak. Perhatikan percentile atau kelompok pengguna besar, bukan hanya average.
3. Pilih counting characteristic
IP address mudah digunakan tetapi tidak selalu cocok untuk NAT besar atau mobile carrier. Pada API authenticated, identifier aplikasi atau user dapat lebih representatif bila fitur dan plan mendukungnya.
4. Pilih action bertahap
Mulai dengan observasi, Log, Managed Challenge, atau pendekatan non-terminal yang sesuai sebelum Block jika Anda belum yakin dengan false positive. Pastikan action tersedia pada plan Anda.
5. Tentukan window dan threshold
Contoh 100 request per menit hanya contoh. Gunakan baseline untuk menempatkan threshold di atas perilaku legitimate yang diharapkan tetapi di bawah pola abuse yang ingin ditahan.
6. Uji burst
Aplikasi nyata sering mengirim burst. Uji login refresh, SPA parallel requests, mobile retry, dan NAT shared users agar rule tidak memblokir traffic normal.
Verifikasi
Pantau jumlah mitigasi, endpoint, client yang terdampak, dan ticket pengguna. Review threshold setelah perubahan aplikasi atau kampanye traffic besar.
Pelajaran
Rate limiting adalah kontrol perilaku, bukan sekadar angka. Threshold yang baik berasal dari baseline, scope sempit, karakteristik yang tepat, dan feedback setelah rollout.