Лишние запросы к API не доходят до сервера

AegisX считает запросы по ключам API, проверяет токены и сверяет каждый запрос с описанием вашего API. Запросы, которых там быть не должно, останавливаются ещё у нас.

Защитить сайт бесплатно Посмотреть цены

GET /api/v1/ordersПропущено
POST /api/v1/orders ×900Остановлено: лимит ключа
GET /api/v1/admin/usersОстановлено: нет токена
DELETE /api/v1/payments/7Остановлено: нет в описании API
GET /api/v1/items?limit=abcОстановлено: неверный параметр

Как это работает

Лимиты на ключ, а не на адрес

Запросы считаются по ключу API: из заголовка, cookie, параметра или токена. Клиенты за одним NAT не делят лимит, а ключ, который используют с сотни адресов, всё равно ограничен.

Подбор ключей не помогает

Адрес, который перебирает ключи, считается одним клиентом. У запросов без ключа свой лимит.

Проверка токенов до сервера

Для выбранных путей нужен действующий JWT. Подпись, срок действия, издателя и аудиторию проверяем мы. Подходит и общий секрет, и открытые ключи по ссылке JWKS.

Описание API как список разрешённого

Загрузите описание OpenAPI 3 или Swagger 2 в JSON. Запросы с неизвестным методом или путём или с параметром не того типа блокируются или только записываются в журнал, как выберете.

Описание из реального трафика

Нет готового описания? Кабинет соберёт черновик из запросов, которые уже приходят к API.

Остальная защита тоже работает

WAF, защита от ботов и лимиты сайта действуют и для API. Ваши интеграции можно пропускать без проверки браузера.

Видно, кто и как пользуется API

Адреса API, которые реально вызываются.
Причина каждой блокировки: лимит, токен или описание.
Режим «только журнал», чтобы проверить настройки до блокировки.

Обзор Все сайты под защитойПример

Запросы, 24 ч

1.84M

+6.2%

Заблокировано

412K

22.4%

Из кэша

61%

статики

Трафик и заблокированные запросы

Частые вопросы

Ответы о подключении, DNS, SSL и аккаунте в разделе Помощь.

Мобильное приложение продолжит работать?

Да. Отключите проверку браузера для путей API, и приложения и интеграции будут проходить без неё. Лимиты и токены проверяются незаметно для пользователя.

Что получает клиент сверх лимита?

Ответ 429 с заголовком Retry-After: через сколько секунд можно повторить.

Нужно менять код API?

Нет. Ключи и токены остаются вашими, AegisX только проверяет их. Секрет для проверки токенов хранится в зашифрованном виде и в кабинете больше не показывается.

На каком тарифе доступно?

На всех тарифах.

Первый сайт бесплатно

Зарегистрируйтесь, добавьте домен и поменяйте одну DNS-запись.

Создать аккаунт Сравнить тарифы