> ## Documentation Index > Fetch the complete documentation index at: https://supastack.dev/llms.txt > Use this file to discover all available pages before exploring further. > For the full documentation corpus in one file, fetch: https://supastack.dev/llms-full.txt # Limitation de débit Un limiteur pour chaque route sensible aux abus. ## Parcours pas à pas pour débuter Prérequis : Lisez les deux guides pour débutants ci-dessous, terminez la configuration locale du Web et ouvrez ce monorepo à sa racine dans votre éditeur. Les paramètres Web appartiennent à `apps/web/.env.local` ; Next.js ne lit pas la racine `.env`. `/dashboard` dans le mode faux par défaut est une démo sans base de données ; `/auth` nécessite une base de données migrée. Termes rapides : un espace de travail est constitué des utilisateurs, des données et des paramètres distincts d'une équipe. Le serveur est le backend de confiance ; gardez les clés du fournisseur hors du code du navigateur et du téléphone. Une migration est une modification de base de données versionnée qui crée ou met à jour des tables. Un modèle d'IA est le moteur qui répond ; le catalogue de modèles est la liste du serveur des identifiants de modèles et des prix disponibles. Un fournisseur est un service externe tel qu'un service d'IA, de messagerie ou de facturation. Un droit est une subvention qui permet à un espace de travail d'utiliser une fonctionnalité. Un webhook est un message qu'un service envoie au URL d'un autre service. 1. Dans l'environnement du serveur, choisissez `RATE_LIMIT_STORE=postgres` pour les compartiments de production partagés et configurez `PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0` pour que l'IA publique soit désactivée. 2. Définissez `TRUSTED_PROXY_COUNT` uniquement sur le nombre exact de proxys contrôlés qui ajoutent des en-têtes de transfert ; ne copiez pas `1` sauf si cela est vrai pour votre hôte. 3. Vérifiez qu'une demande refusée renvoie une erreur de nouvelle tentative. Si les limites diffèrent selon les instances, vérifiez qu'elles partagent Postgres. Pour le code personnalisé, commencez par le `prompts/README.md` fourni et copiez l'invite la plus proche : `prompts/new-app-screen.md` pour un écran d'application ou `prompts/new-landing-page.md` pour une page publique. Pour le travail sur un serveur, une base de données ou un fournisseur, confiez à votre agent de codage la tâche de ce guide et demandez-lui de lire les miroirs `AGENTS.md`, `.ai/PROJECT_CONTEXT.md` et `.ai/` correspondants ; inspectez les fichiers sources exacts nommés ici ; lister les fichiers et les vérifications avant de les modifier ; préserver la propriété de l'espace de travail et les secrets du serveur ; et je vous montre la différence. Indiquez-lui le comportement souhaité, les champs d'entrée et de sortie, les rôles autorisés, les succès et erreurs attendus, ainsi que le compte, le fournisseur ou l'appareil de test. Utilisez des exemples de valeurs ; ne collez jamais un vrai secret. [Avant de commencer](https://supastack.dev/fr/docs/web/before-you-start.md) [Bases du terminal](https://supastack.dev/fr/docs/web/terminal-basics.md) [Configuration locale Web](https://supastack.dev/fr/docs/web/ship-in-5-minutes.md) [Invites de l'agent et mémoire du projet](https://supastack.dev/fr/docs/web/agents.md) ## Choisir le stockage du limiteur `RATE_LIMIT_STORE` vaut memory ou postgres. Sans valeur définie, la production choisit Postgres et les autres environnements choisissent memory. Les lignes partagées `rate_limit_bucket` coordonnent plusieurs serveurs ; les pannes du stockage laissent actuellement passer les requêtes pour préserver la disponibilité de l’API. Les limites de soumission d’IA par espace/utilisateur et le limiteur de l’API publique/MCP protègent des surfaces distinctes. Lorsque vous ajoutez des routes, conservez les clés de compartiment propres à chaque appelant. ## Faire confiance uniquement aux sauts de proxy contrôlés `TRUSTED_PROXY_COUNT` va de 0 à 10 et compte les proxys inverses qui ajoutent `x-forwarded-for`. Zéro n’en approuve aucun et utilise un compartiment inconnu partagé ; un proxy maîtrisé nécessite généralement la valeur 1. Un mauvais nombre permet à des valeurs transférées non fiables d’influencer le limiteur. ## Limiter les dépenses anonymes des fournisseurs `PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0` désactive les appels à l’IA publique. Un plafond quotidien UTC configuré et positif réserve les dépenses de la plateforme avant les appels fournisseur ; il est distinct du budget de chaque espace de travail. Testez les réservations simultanées, le changement de journée et le refus avant toute tentative fournisseur facturable. ``` RATE_LIMIT_STORE=postgres TRUSTED_PROXY_COUNT=1 PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0 ``` ## Configuration et paramètres rate-limit-runtime fournit les limiteurs partagés câblés aux surfaces sensibles — apiV1Limiter (600 requêtes/minute) et authLimiter (300 requêtes/minute) sont les presets livrés. Les limites se basent sur l'identité plus le bucket de route et répondent par un 429 rejouable portant Retry-After plutôt qu'une erreur générique. Étendez le limiteur existant aux nouveaux endpoints sensibles — sign-in, OTP, checkout, soumission de tâches, création de clés — au lieu d'inventer des compteurs par route qui dérivent. ``` export const apiV1Limiter = createNamedRateLimiter("api-v1", 600, 60_000); export const authLimiter = createNamedRateLimiter("auth", 300, 60_000); ``` ## Processus d’implémentation Choisissez la clé avec soin : par utilisateur pour les actions authentifiées, par clé d'API pour le trafic public, par IP en dernier recours pour les endpoints anonymes. Les bursts légitimes reçoivent un Retry-After ; les attaques heurtent un plafond dur. Gardez le limiteur fail-closed sur les routes sensibles — si le store est injoignable, préférez rejeter le travail coûteux plutôt que de le laisser passer sans borne. ## Vérification et dépannage Exercez un limiteur jusqu'à obtenir un 429 avec un Retry-After sensé, vérifiez que des workspaces différents ont des buckets indépendants, et confirmez qu'un burst redevient un succès après la fenêtre. Journalisez les refus sans la charge sensible de la requête. ## Suivant [IA et tâches en arrière-plan](https://supastack.dev/fr/docs/modules/ai.md)