> ## Documentation Index
> Fetch the complete documentation index at: https://supastack.dev/llms.txt
> Use this file to discover all available pages before exploring further.
> For the full documentation corpus in one file, fetch: https://supastack.dev/llms-full.txt

# Limitazione di frequenza

Un limiter per ogni rotta sensibile agli abusi.

## Procedura dettagliata per principianti

Prerequisiti: leggi le due guide per principianti di seguito, completa la configurazione locale del Web e apri questo monorepo alla radice nel tuo editor. Le impostazioni Web appartengono a `apps/web/.env.local`; Next.js non legge la radice `.env`. `/dashboard` nella modalità falsa predefinita è una demo senza database; `/auth` necessita di un database migrato.

Termini rapidi: uno spazio di lavoro è costituito da utenti, dati e impostazioni separati di un team. Il server è il backend affidabile; mantenere le chiavi del provider fuori dal browser e dal codice del telefono. Una migrazione è una modifica del database con versione che crea o aggiorna tabelle. Un modello AI è il motore che risponde; il catalogo dei modelli è l'elenco del server degli ID e dei prezzi dei modelli disponibili. Un fornitore è un servizio esterno come un servizio di intelligenza artificiale, posta elettronica o fatturazione. Un diritto è una concessione che consente a un'area di lavoro di utilizzare una funzionalità. Un webhook è un messaggio che un servizio invia allo URL di un altro servizio.

1. Nell'ambiente server, scegli `RATE_LIMIT_STORE=postgres` per i bucket di produzione condivisi e imposta `PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0` per mantenere l'IA pubblica disabilitata.

2. Imposta `TRUSTED_PROXY_COUNT` solo sul numero esatto di proxy controllati che aggiungono intestazioni di inoltro; non copiare `1` a meno che ciò non sia vero per il tuo host.

3. Verificare che una richiesta negata restituisca un errore di sicurezza. Se i limiti differiscono tra le istanze, verifica che condividano Postgres.

Per il codice personalizzato, inizia con `prompts/README.md` in dotazione e copia il prompt più vicino: `prompts/new-app-screen.md` per la schermata di un'app o `prompts/new-landing-page.md` per una pagina pubblica. Per il lavoro su server, database o provider, assegna al tuo agente di codifica il compito di questa guida e chiedigli di leggere `AGENTS.md`, `.ai/PROJECT_CONTEXT.md` e i mirror `.ai/` corrispondenti; controllare gli esatti file sorgente nominati qui; elencare file e controlli prima della modifica; preservare la proprietà dello spazio di lavoro e i segreti solo del server; e mostrarti la differenza. Indicagli il comportamento desiderato, i campi di input e output, i ruoli consentiti, i successi e gli errori previsti e l'account, il fornitore o il dispositivo di prova. Utilizzare valori campione; non incollare mai un vero segreto.

[Prima di iniziare](https://supastack.dev/it/docs/web/before-you-start.md)

[Nozioni di base sui terminali](https://supastack.dev/it/docs/web/terminal-basics.md)

[Configurazione locale Web](https://supastack.dev/it/docs/web/ship-in-5-minutes.md)

[Messaggi dell'agente e memoria del progetto](https://supastack.dev/it/docs/web/agents.md)


## Scegli il negozio del limitatore

`RATE_LIMIT_STORE` è memoria o postgres. Quando non impostato, la produzione seleziona Postgres e gli altri ambienti selezionano la memoria. Le righe `rate_limit_bucket` condivise coordinano più server; gli errori di archiviazione attualmente non si aprono per preservare la disponibilità di API.

I limiti di invio AI dell'area di lavoro/utente e il limitatore pubblico API/MCP proteggono le loro superfici separate. Conserva le chiavi del bucket esistenti specifiche del chiamante quando aggiungi percorsi.


## Affidati solo agli hop proxy controllati

`TRUSTED_PROXY_COUNT` varia da 0 a 10 e conta i proxy inversi che aggiungono `x-forwarded-for`. Zero non si fida di nessuno e utilizza un bucket sconosciuto condiviso; un proxy controllato in genere richiede 1. Un conteggio errato consente ai valori inoltrati non attendibili di influenzare il limitatore.


## Limita la spesa del fornitore anonimo

`PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0` disabilita le chiamate AI pubbliche. Un limite UTC giornaliero non negativo configurato riserva la spesa della piattaforma prima delle chiamate del fornitore ed è separato dal budget di ciascuna area di lavoro. Testare prenotazioni simultanee, reimpostare limiti e rifiuti prima di qualsiasi tentativo fatturabile da parte del fornitore.

```
RATE_LIMIT_STORE=postgres
TRUSTED_PROXY_COUNT=1
PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0
```


## Installazione e configurazione

rate-limit-runtime fornisce limiter condivisi collegati alle superfici sensibili agli abusi — apiV1Limiter (600 richieste/minuto) e authLimiter (300 richieste/minuto) sono i preset distribuiti. I limiti fanno key su identità più bucket di rotta e rispondono con un 429 ritentabile con Retry-After invece di un errore generico.

Estendi il limiter esistente a nuovi endpoint sensibili agli abusi — sign-in, OTP, checkout, invio task, creazione chiavi — invece di inventare contatori per rotta che divergono.

```
export const apiV1Limiter = createNamedRateLimiter("api-v1", 600, 60_000);
export const authLimiter = createNamedRateLimiter("auth", 300, 60_000);
```


## Flusso di implementazione

Scegli la key con cura: per-utente per azioni autenticate, per-API-key per traffico pubblico, per-IP solo come ultima risorsa per endpoint anonimi. I burst legittimi ricevono un Retry-After; gli attacchi colpiscono un tetto rigido.

Mantieni il limiter fail-closed sulle rotte sensibili agli abusi — se lo store è irraggiungibile, preferisci rifiutare lavoro costoso piuttosto che lasciarlo passare senza limiti.


## Verifica e risoluzione dei problemi

Esercita un limiter finché restituisce 429 con un Retry-After sensato, verifica che workspace diversi ricevano bucket indipendenti e conferma che un burst torni al successo dopo la finestra. Registra i dinieghi senza il payload sensibile della richiesta.


## Successivo

[AI e job in background](https://supastack.dev/it/docs/modules/ai.md)