LABORATORIO 05 · TRÁFICO
Un servidor ficticio, «api.tiendaficticia.es», atiende a sus clientes. Lanza una ráfaga de bots desde cuatro direcciones y mira cómo se satura; después activa el límite por IP y el WAF y observa qué se bloquea, dónde y cuánto tarda en responder. Es una simulación con cifras inventadas que corre entera en tu navegador.
Tu navegador no dibuja la escena animada. Los contadores, la tabla y el panel se actualizan igual.
clientebotrechazada por el límitedescartada por el WAFservidor
| Dirección | Peticiones | Estado |
|---|---|---|
| Aún no hay tráfico. | ||
Peticiones de los últimos veinte segundos; se muestran las seis direcciones con más. Son rangos reservados para documentación: no pertenecen a nadie.
LÍMITES POR IP Y POR DÍA
Esta misma web aplica límites de ese tipo a su chat y a sus formularios: una cuota por dirección IP en una ventana corta y otra por día. Las cifras concretas importan menos que el principio: el abuso choca con la puerta antes de costar servidor, dinero o datos, y quien usa la web con normalidad no llega nunca al tope.
Frena la ráfaga. Cada dirección tiene una cuota en una ventana corta; superada, el servidor contesta con un 429 («demasiadas peticiones») y una cabecera que dice cuándo volver a intentarlo, sin gastar nada en atender la petición. Un cliente normal no llega a la cuota ni queriendo.
429 · Retry-After: 30Frena el goteo. Un bot paciente que se mantiene por debajo del límite por minuto puede sumar miles de peticiones al cabo del día. Una cuota diaria por dirección corta ese abuso lento; en un chat con inteligencia artificial, donde cada respuesta cuesta dinero, el tope diario protege también la factura.
cuota diaria agotada → mensaje claro y vuelta mañanaCada puerta con su límite. El formulario de contacto, el chat, el inicio de sesión y la búsqueda no tienen el mismo coste ni el mismo riesgo. Un límite por recurso frena el formulario abusado sin tocar el resto de la web, y un mensaje honesto («has enviado demasiadas veces, inténtalo en un rato») evita que el cliente real crea que la web está rota.
contacto · chat · acceso · búsqueda: cada uno con su cuotaLo que un límite por IP no resuelve: un ataque repartido entre miles de direcciones, cada una por debajo de la cuota. Para eso están el WAF, la red de entrega que absorbe el volumen y el bloqueo por reputación. El límite es la primera capa, no la única.
Demo didáctica con datos ficticios: no analiza tu web ni tus contraseñas; nada sale de tu navegador.