Rate Limiting

Rate Limiting nedir?

İstek hızını sayıp belirlediğin eşiği aşan istemcilere bir aksiyon uygulayan kural ailesi. WAF’ın http_ratelimit fazında, custom rules’tan sonra ve managed rules’tan önce çalışıyor.

Ama ürünü doğru kullanmanın anahtarı, adında olmayan bir ayrım: eşleşme ile sayma iki ayrı ifade.

Nasıl çalışır?

Sayaçlar veri merkezi başına

“Cloudflare tracks request rates by maintaining separate counters for each unique combination of values in a rule’s characteristics.”

Sayım karakteristikleri

IP with NAT support çerez tabanlı ve kendi tuzakları var:

“relies on a cookie-based visitor identification mechanism (_cfuvid cookie).”

“Visitors who clear cookies, use private browsing, or do not accept cookies will not be individually identified. Requests from these visitors share a single counter bucket, which can cause false positives in high-traffic NAT environments.”

“You cannot use both IP with NAT support and IP as characteristics of the same rate limiting rule.”

mitigation_timeout — iki anlamı birden taşıyor

Geçerli API değerleri (parametreler sayfası): 0, 10, 60, 120, 300, 600, 3600, 86400.

Challenge aksiyonlarında plan kısıtı:

“Customers on Free, Pro, and Business plans cannot select a duration when using a challenge action — their rate limiting rule will always perform request throttling… If you are on a Free, Pro, or Business plan and are using the API, you must enable request throttling by setting the mitigation_timeout value to 0 (zero).”

Ve throttling’in bir avantajı var: “When visitors pass a challenge, their corresponding request counter is set to zero.”

Cache ve sayım

Cache hariç tutmayı açtığında sayım yanıt fazına kayıyor ve iki yan etkisi oluyor:

1. Workers alt istekleri:

“Cloudflare may count Workers subrequests on the same zone as separate requests, which will cause a rate limiting rule to trigger sooner than expected.”

Çözüm: and (cf.worker.upstream_zone == "" or cf.worker.upstream_zone != "<ZONE>")

2. Origin Rules tuzağı:

“Request phase (rule matching): The expression is evaluated against the original request, where http.host contains the original hostname. The rule matches as expected. Response phase (counter increment): … Origin Rules have already rewritten the Host header… As a result, the rule matches requests but never increments the counter, and the rate limit is never enforced.”

Ayrıca: sayma ifadesinde bir yanıt alanı kullanmak origin’e gitmeyi zorluyor — “The request is sent to the origin, skipping any cached content, because the rate limiting rule includes a response field.”

Doğruluk ve fail-open

Yapılandırma kısıtları: filtre ifadesinde custom list varsa cache hariç tutmayı açmak zorunda kalıyorsun · filtre ifadesi yanıt alanı içeremiyor · sayma ifadesi yanıt alanı ve custom list’i aynı anda içeremiyor · “Rate limiting rules must appear at the end of the rules list.”

Aksiyonlar

Özel yanıt gövdesi en fazla 30 KB; içerik tipi application/json, text/html, text/xml veya text/plain.

Ne zaman kullanılır, ne zaman kullanılmaz

Kullanılır

• Giriş uçlarında kaba kuvveti yavaşlatmak için. Sayma ifadesiyle yalnızca başarısızları sayarsan meşru kullanıcıya dokunmuyorsun.
• Pahalı uçları korumak için — arama, rapor üretimi, dosya yükleme.
• Tek bir istemcinin API’ni dövmesini engellemek için.

Kullanılmaz

Meşru trafik dalgalanmalarında. Kampanya, bilet satışı, Kara Cuma — bunlar kuyruk problemi, ceza problemi değil. Doğru araç Waiting Room: “Waiting Room protects your origin server by preventing surges in legitimate traffic.”

Dağıtık otomasyona karşı. Rate limiting sayıyor, sınıflandırmıyor. 10.000 IP’ye yayılmış bir botnet hiçbir zaman IP başına eşiği aşmıyor — ve sayaçlar veri merkezi başına olduğu için küresel dağılmış bir saldırgan daha da zor yakalanıyor: “Traffic distributed across many data centers may keep per-data-center rates below the threshold even when the aggregate rate exceeds it.” Doğru araç Bot Management.

Proxy’lemediğin bir formu korumak için. Turnstile Cloudflare’den trafik geçirmeden çalışıyor.

XHR/JSON API’de challenge aksiyonuyla. Challenge sayfaları HTML dönüyor ve fetch() çağrısını kırıyor. Turnstile Pre-clearance kullan.

Kesinlik gerektiren kotalarda. Faturalama, lisans sınırı, API planı kotası — hiçbiri için uygun değil. Kesin sayı garantisi yok ve fail-open sessiz.

Ücretsiz planda ciddi bir şey beklerken. 1 kural, yalnızca IP, sabit 10 saniye, sayma ifadesi yok, Log yok. Kaba bir yavaşlatıcı.

IP dışında sayım gerekiyorsa ve Enterprise değilsen. Kiracı, API anahtarı veya kullanıcı başına limit koyamıyorsun — ve bunun operasyonel bedeli Demo 2’de görünüyor.

Somut örnekler

Naif kural (her isteği sayıyor)

RULESET=$(curl -sS ".../zones/$ZONE_ID/rulesets/phases/http_ratelimit/entrypoint" \
  -H "Authorization: Bearer $CF_API_TOKEN" | jq -r '.result.id')

curl ".../zones/$ZONE_ID/rulesets/$RULESET/rules" --request POST \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "description": "Giris — naif",
    "expression": "(http.request.uri.path eq \"/giris\" and http.request.method eq \"POST\")",
    "action": "block",
    "ratelimit": {
      "characteristics": ["cf.colo.id", "ip.src"],
      "period": 60, "requests_per_period": 4, "mitigation_timeout": 60
    }
  }'

cf.colo.id API’de elle yazılmak zorunda — panelde otomatik ekleniyor.

Doğru kural (yalnızca başarısızları sayıyor)

curl ".../zones/$ZONE_ID/rulesets/$RULESET/rules/$RULE_ID" --request PATCH \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "description": "Giris — yalnizca basarisizlari say",
    "expression": "(http.request.uri.path eq \"/giris\" and http.request.method eq \"POST\")",
    "action": "managed_challenge",
    "ratelimit": {
      "characteristics": ["cf.colo.id", "ip.src"],
      "period": 60, "requests_per_period": 4,
      "mitigation_timeout": 0,
      "counting_expression": "http.request.uri.path eq \"/giris\" and http.request.method eq \"POST\" and http.response.code in {401 403}"
    }
  }'

Üç detay: sayma ifadesi eşleşme ifadesini tekrarlıyor · mitigation_timeout: 0 Business’ta challenge ile zorunlu · yanıt alanı kullanıldığı için sayım yanıt fazında yapılıyor.

Özel yanıt gövdesi

--json '{
  "action": "block",
  "action_parameters": { "response": {
    "status_code": 429,
    "content_type": "application/json",
    "content": "{\"hata\":\"cok fazla istek\",\"tekrar_dene\":60}"
  }}
}'

Workers alt isteklerini dışlamak

http.request.uri.path eq "/api/veri"
  and (cf.worker.upstream_zone == "" or cf.worker.upstream_zone != "ornek.com.tr")

Advanced Rate Limiting — kiracı başına sayım

{
  "characteristics": ["cf.colo.id", "http.request.headers[\"x-api-key\"]"],
  "period": 60, "requests_per_period": 100, "mitigation_timeout": 600
}

Bu, ARL olmadan reddediliyor. Demo 2 tam olarak bunu ölçüyor.

Karmaşıklık bazlı sınırlama (yalnızca ARL)

Origin’in her yanıtta sayısal bir skor başlığı döndürmesi gerekiyor:

“The value must be between 1 and 1,000,000… If the origin server does not provide the HTTP response header with a score value or if the score value is outside of the allowed range, the corresponding rate limiting counter will not be updated.”

Parametreler: score_per_period, period, score_response_header_name.

Demo 1: Naif kuralın meşru kullanıcıyı kilitlediğini kanıtlamak

Adım 1 — Naif kuralı kur ve başarılı girişlerle dene

for i in $(seq 1 6); do
  curl -sS -o /dev/null -w "istek $i -> %{http_code}\n" "https://ornek.com.tr/giris" \
    -H 'Content-Type: application/x-www-form-urlencoded' \
    --data 'kullanici=ayse@ornek.com.tr&parola=DOGRU-PAROLA'
done

İlk dört isteğin 200, beşinci ve altıncının 429 döndüğü çıktı

Adım 2 — Sayma ifadesini ekle

Yukarıdaki PATCH çağrısını uygula.

Panelde “Increment counter when” alanının dolu göründüğü ve içinde eşleşme koşullarının tekrarlandığı

Adım 3 — Aynı testi tekrarla

Altı isteğin de 200 döndüğü çıktı

Adım 4 — Kaba kuvvet dene

for i in $(seq 1 6); do
  curl -sS -o /dev/null -w "hatali $i -> %{http_code}\n" "https://ornek.com.tr/giris" \
    -H 'Content-Type: application/x-www-form-urlencoded' \
    --data "kullanici=ayse@ornek.com.tr&parola=tahmin-$i"
done

İlk dördünün 401, sonrakilerin challenge veya 403 aldığı çıktı

Adım 5 — Sayma ifadesini eksik yazıp tuzağı göster

Sayma ifadesinden eşleşme koşullarını çıkar, yalnızca http.response.code in {401 403} bırak. Sonra sitenin başka bir yolunda 403 üret.

/giris ile ilgisi olmayan bir yoldan gelen 403'lerin sayacı artırdığını gösteren olay kaydı

Adım 6 — Veri merkezi etkisini ölç

for i in $(seq 1 20); do
  curl -sS -o /dev/null -D - "https://ornek.com.tr/giris" --data 'x=1' \
  | tr -d '\r' | awk 'tolower($1)=="cf-ray:"{print $2}'
done | awk -F- '{print $2}' | sort | uniq -c

cf-ray son eklerinin sayımı — IST ve varsa ADB dağılımı

Bu demoda ölçülenler:

Demo 2: Advanced Rate Limiting sınırını kanıta çevirmek

Bu demo bir tablo iddiasını gözlemlenebilir hâle getiriyor.

Adım 1 — Panelde seçenek listesini göster

ARL olmayan bir zone'da listede yalnızca IP ve IP with NAT support'un bulunması

Adım 2 — API’den header bazlı kural dene

curl -i ".../zones/$ZONE_ID/rulesets/$RULESET/rules" --request POST \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "description": "API anahtari basina limit — ARL gerektirir",
    "expression": "(starts_with(http.request.uri.path, \"/api/\"))",
    "action": "block",
    "ratelimit": {
      "characteristics": ["cf.colo.id", "http.request.headers[\"x-api-key\"]"],
      "period": 60, "requests_per_period": 100, "mitigation_timeout": 600
    }
  }'

API'nin döndürdüğü tam JSON hata gövdesi ve HTTP durum kodu

Adım 3 — Diğer ARL karakteristiklerini de dene

# JSON gövde alanı
"characteristics": ["cf.colo.id", "lookup_json_string(http.request.body.raw, \"kiraci_id\")"]
# Özel ifade
"characteristics": ["cf.colo.id", "lower(http.request.headers[\"x-kiraci\"][0])"]

İki denemenin de hata döndürdüğü çıktı

Adım 4 — Operasyonel bedeli göster

Aynı IP’den, farklı API anahtarlarıyla iki kiracı:

for i in $(seq 1 60); do curl -sS -o /dev/null -w '%{http_code} ' \
  "https://ornek.com.tr/api/kayitlar" -H "x-api-key: kiraci-A"; done; echo
for i in $(seq 1 60); do curl -sS -o /dev/null -w '%{http_code} ' \
  "https://ornek.com.tr/api/kayitlar" -H "x-api-key: kiraci-B"; done; echo

kiraci-B'nin isteklerinin, kiraci-A'nın trafiği yüzünden 429 alması

Adım 5 — Business’ta neyin olduğunu da göster

Sayma ifadesi ve cache hariç tutma ARL değil, Business özelliği. İkisini de Business zone’unda kur ve çalıştığını göster.

counting_expression içeren kuralın Business zone'unda başarıyla oluşturulması

Bu demoda ölçülenler:

Fiyatlandırma

“Enterprise customers must have application security on their contract to get access to rate limiting rules. The number of rules depends on the exact contract terms.”

Lisanslama ve hukuki çerçeve

Hizmet tescillidir ve Cloudflare Hizmet Şartları’na tabidir.

_cfuvid çerezi. “IP with NAT support” karakteristiğini kullanıyorsan Cloudflare bir çerez yerleştiriyor. Teknik olarak zorunlu bir güvenlik çerezi — tek işi aynı IP arkasındaki ziyaretçileri ayırt etmek. Çerez politikanda zorunlu çerezler altında listele. Ama şunu bil: çerezi reddeden ziyaretçiler “share a single counter bucket” — yani gizliliğini koruyan kullanıcılar birbirini etkiliyor.

IP adresi işleme. Varsayılan sayım karakteristiği ip.src — yani her rate limiting kuralı IP adresi işliyor. Bu KVKK kapsamında kişisel veri. İşleme amacı güvenlik ve meşru menfaat çerçevesinde değerlendirilebilir, ama aydınlatma metninde belirtilmesi gerekiyor. Cloudflare bu konuda hiçbir Türkiye’ye özgü metin yayımlamıyor.

Kaynak IP adli incelemesi. Bir kullanıcı engellendiğinde bunu Security Events’ten görebiliyorsun — ama saklama süresi kısa: Free ve Pro 24 saat, Business 3 gün, Enterprise 30 gün. Bir şikâyet üzerine geriye dönüp “bu kullanıcı neden engellendi” sorusuna cevap vermen gerekiyorsa Logpush ile kendi deponuza aktarman gerekiyor.

Sık yapılan hatalar

Sayma ifadesine eşleşme ifadesini eklememek. Sayaç tüm zone’daki eşleşmeleri sayıyor.

API’de cf.colo.id’yi unutmak. Panel otomatik ekliyor, API eklemiyor.

requests_to_origin’i panel seçeneğiyle aynı anlamda sanmak. Tersi.

API’de header adını büyük harfle yazmak. Küçük harf zorunlu.

Eksik alan ile boş değeri karıştırmak. Ayrı sayaç kovaları oluşuyor; len(...) > 0 ekle.

IP ile IP with NAT support’u aynı kuralda kullanmak. Yasak.

Free, Pro veya Business’ta challenge aksiyonuna süre vermek. mitigation_timeout mutlaka 0.

Origin Rules ile Host’u yeniden yazıp sayma ifadesinde eski hostname’i kullanmak. Kural eşleşiyor ama sayaç hiç artmıyor.

Workers alt isteklerini dışlamamak. Kural beklenenden erken tetikleniyor.

Sayaçların küresel olduğunu varsaymak. Veri merkezi başına — Türkiye’de iki şehir var.

Kesin sayı garantisi beklemek. Birkaç saniyelik gecikme ve sinyalsiz fail-open.

Verified bot’lara rate limit uygulayıp SEO’yu bozmak. Eski sürümdeki muafiyet yeni sürümde yok.

Eski cloudflare_rate_limit Terraform resource’unu kullanmak. 15 Haziran 2025’te kapandı.

Business’taki sayma ifadesini ARL sanıp gereksiz eklenti almak. Sayma ifadesi ve cache hariç tutma Business özelliği.