For AI agents: fetch the complete documentation index at /llms.txt, the full documentation corpus at /llms-full.txt, the agent skill at /skill.md, or this page as Markdown at /es/docs/modules/rate-limiting.md (or send Accept: text/markdown).
Limitación de tasa
Un limitador para cada ruta sensible al abuso.
Guía paso a paso para principiantes
Requisitos previos: lea las dos guías para principiantes a continuación, finalice la configuración local web y abra este monorepo en la raíz de su editor. La configuración web pertenece a apps/web/.env.local; Next.js no lee la raíz .env. /dashboard en el modo falso predeterminado es una demostración sin base de datos; /auth necesita una base de datos migrada.
Términos breves: un espacio de trabajo son los usuarios, datos y configuraciones separados de un equipo. El servidor es el backend confiable; Mantenga las claves del proveedor fuera del código del navegador y del teléfono. Una migración es un cambio de base de datos versionada que crea o actualiza tablas. Un modelo de IA es el motor que responde; el catálogo de modelos es la lista del servidor de ID de modelos disponibles y precios. Un proveedor es un servicio externo, como inteligencia artificial, correo electrónico o servicio de facturación. Un derecho es una concesión que permite que un espacio de trabajo utilice una función. Un webhook es un mensaje que un servicio envía al URL de otro servicio.
1. En el entorno del servidor, elija RATE_LIMIT_STORE=postgres para depósitos de producción compartidos y configure PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0 para mantener la IA pública deshabilitada.
2. Configure TRUSTED_PROXY_COUNT solo en el número exacto de proxies controlados que agregan encabezados de reenvío; no copie 1 a menos que eso sea cierto para su host.
3. Verifique que una solicitud denegada devuelva un error de reintento seguro. Si los límites difieren entre instancias, verifique que compartan Postgres.
Para obtener código personalizado, comience con el prompts/README.md proporcionado y copie el mensaje más cercano: prompts/new-app-screen.md para una pantalla de aplicación o prompts/new-landing-page.md para una página pública. Para trabajos de servidor, base de datos o proveedor, asigne a su agente de codificación la tarea de esta guía y pídale que lea AGENTS.md, .ai/PROJECT_CONTEXT.md y los espejos .ai/ correspondientes; inspeccionar los archivos fuente exactos nombrados aquí; enumerar archivos y verificaciones antes de editarlos; preservar la propiedad del espacio de trabajo y los secretos exclusivos del servidor; y mostrarte la diferencia. Dígale el comportamiento que desea, los campos de entrada y salida, los roles permitidos, los éxitos y errores esperados y la cuenta, proveedor o dispositivo de prueba. Utilice valores de muestra; Nunca pegues un verdadero secreto.
Elige el almacén del limitador
RATE_LIMIT_STORE es memory o postgres. Si no se configura, production selecciona Postgres y los demás entornos eligen memory. Las filas compartidas rate_limit_bucket coordinan varios servidores; actualmente, los fallos del almacén permiten el paso para conservar la disponibilidad de la API.
Los límites de envío de IA por espacio de trabajo/usuario y el limitador de API pública/MCP protegen superficies distintas. Al añadir rutas, conserva las claves de bucket existentes específicas de cada consumidor.
Confía solo en saltos de proxy controlados
TRUSTED_PROXY_COUNT va de 0 a 10 y cuenta proxies inversos que añaden x-forwarded-for. Cero no confía en ninguno y usa un bucket desconocido compartido; normalmente se necesita 1 cuando hay un proxy controlado. Un recuento incorrecto permite que valores reenviados no confiables afecten al limitador.
Limita el gasto de proveedores anónimos
PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0 deshabilita las llamadas de IA públicas. Un límite diario UTC no negativo y configurado reserva gasto de la plataforma antes de las llamadas al proveedor y es independiente del presupuesto de cada espacio de trabajo. Prueba reservas simultáneas, límites de reinicio y denegaciones antes de cualquier intento facturable con un proveedor.
RATE_LIMIT_STORE=postgres
TRUSTED_PROXY_COUNT=1
PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0Configuración y ajustes
rate-limit-runtime proporciona limitadores compartidos conectados a las superficies sensibles — apiV1Limiter (600 peticiones/minuto) y authLimiter (300 peticiones/minuto) son los presets entregados. Los límites se clavean por identidad más bucket de ruta y responden con un 429 reintentable con Retry-After en lugar de un error genérico.
Extiende el limitador existente a nuevos endpoints sensibles — sign-in, OTP, checkout, envío de tareas, creación de claves — en lugar de inventar contadores por ruta que divergen.
export const apiV1Limiter = createNamedRateLimiter("api-v1", 600, 60_000);
export const authLimiter = createNamedRateLimiter("auth", 300, 60_000);Flujo de implementación
Elige la clave con cuidado: por usuario para acciones autenticadas, por clave de API para tráfico público, por IP solo como último recurso en endpoints anónimos. Las ráfagas legítimas reciben un Retry-After; los ataques chocan con un techo duro.
Mantén el limitador fail-closed en rutas sensibles — si el store es inalcanzable, mejor rechazar el trabajo caro que dejarlo pasar sin límite.
Verificación y solución de problemas
Ejercita un limitador hasta que devuelva 429 con un Retry-After razonable, verifica que distintos workspaces tienen buckets independientes y confirma que una ráfaga vuelve al éxito tras la ventana. Registra las denegaciones sin la carga sensible de la petición.