> ## Documentation Index
> Fetch the complete documentation index at: https://supastack.dev/llms.txt
> Use this file to discover all available pages before exploring further.
> For the full documentation corpus in one file, fetch: https://supastack.dev/llms-full.txt

# レート制限

乱用に弱いすべてのルートに1つのリミッター。

## 初心者向けのウォークスルー

前提条件: 以下の 2 つの初心者向けガイドを読み、Web ローカルのセットアップを完了し、エディターでルートにあるこのモノリポジトリを開きます。 Web 設定は `apps/web/.env.local` に属します。 Next.js はルート `.env` を読み取りません。デフォルトのフェイク モードの `/dashboard` はデータベースなしのデモです。 `/auth` には移行されたデータベースが必要です。

簡単に説明すると、ワークスペースは 1 つのチームの個別のユーザー、データ、設定です。サーバーは信頼できるバックエンドです。プロバイダー キーがブラウザーや電話コードに含まれないようにします。移行は、テーブルを作成または更新する、バージョン管理されたデータベースの変更です。 AI モデルは答えを返すエンジンです。モデル カタログは、使用可能なモデル ID と価格のサーバーのリストです。プロバイダーは、AI、電子メール、請求サービスなどの外部サービスです。資格は、ワークスペースで機能を使用できるようにする付与です。 Webhook は、あるサービスが別のサービスの URL に送信するメッセージです。

1. サーバー環境で、共有実稼働バケットに `RATE_LIMIT_STORE=postgres` を選択し、パブリック AI を無効のままにするために `PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0` を設定します。

2. `TRUSTED_PROXY_COUNT` を、転送ヘッダーを追加する制御プロキシの正確な数にのみ設定します。ホストに当てはまらない限り、`1` をコピーしないでください。

3. 拒否されたリクエストが再試行しても安全なエラーを返すことを確認します。インスタンス間で制限が異なる場合は、それらが Postgres を共有していることを確認してください。

カスタム コードの場合は、提供された `prompts/README.md` から始めて、最も近いプロンプト (アプリ画面の場合は `prompts/new-app-screen.md`、パブリック ページの場合は `prompts/new-landing-page.md`) をコピーします。サーバー、データベース、またはプロバイダーの作業については、コーディング エージェントにこのガイドのタスクを与え、`AGENTS.md`、`.ai/PROJECT_CONTEXT.md`、および一致する `.ai/` ミラーを読み取るように依頼します。ここで指定されている正確なソース ファイルを調べてください。ファイルをリストし、編集前にチェックします。ワークスペースの所有権とサーバーのみの秘密を保持します。そして差分を見せてください。必要な動作、入力フィールドと出力フィールド、許可されるロール、予想される成功とエラー、テスト アカウント、プロバイダー、またはデバイスを指定します。サンプル値を使用します。絶対に本当の秘密を貼り付けないでください。

[始める前に](https://supastack.dev/ja/docs/web/before-you-start.md)

【端末の基本】(/docs/web/terminal-basics)

[Webローカル設定](https://supastack.dev/ja/docs/web/ship-in-5-minutes.md)

[エージェント プロンプトとプロジェクト メモリ](https://supastack.dev/ja/docs/web/agents.md)


## リミッターストアを選択してください

`RATE_LIMIT_STORE` はメモリまたは postgres です。設定を解除すると、運用環境では Postgres が選択され、その他の環境ではメモリが選択されます。共有 `rate_limit_bucket` 行は複数のサーバーを調整します。ストアの障害は現在、API の可用性を維持するためにフェールオープンされています。

ワークスペース/ユーザー AI 送信制限とパブリック API/MCP リミッターは、それぞれの個別のサーフェスを保護します。ルートを追加するときに、既存の発信者固有のバケット キーを保持します。


## 制御されたプロキシ ホップのみを信頼する

`TRUSTED_PROXY_COUNT` の範囲は 0 ～ 10 で、`x-forwarded-for` を追加するリバース プロキシをカウントします。 Zero は何も信頼せず、共有の不明なバケットを使用します。通常、1 つの制御されたプロキシには 1 が必要です。カウントが正しくないと、信頼できない転送値がリミッターに影響を与える可能性があります。


## 匿名プロバイダーの支出を制限する

`PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0` はパブリック AI 呼び出しを無効にします。構成された非負の日次 UTC 上限は、プロバイダーが呼び出す前にプラットフォームの支出を予約し、各ワークスペースの予算とは別のものです。課金対象のプロバイダーが試行する前に、同時予約をテストし、境界と拒否をリセットします。

```
RATE_LIMIT_STORE=postgres
TRUSTED_PROXY_COUNT=1
PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0
```


## インストールとセットアップ

rate-limit-runtime は乱用に弱い面に配線された共有リミッターを提供します——apiV1Limiter（600 リクエスト/分）と authLimiter（300 リクエスト/分）が出荷済みプリセットです。上限はアイデンティティ＋ルートバケットでキーされ、汎用エラーではなく Retry-After 付きの再試行可能な 429 で応答します。

新しい乱用に弱いエンドポイント——サインイン、OTP、チェックアウト、タスク送信、キー作成——には、ルートごとのカウンターを発明するのではなく既存のリミッターを拡張してください。

```
export const apiV1Limiter = createNamedRateLimiter("api-v1", 600, 60_000);
export const authLimiter = createNamedRateLimiter("auth", 300, 60_000);
```


## 実装ワークフロー

キーは慎重に選びます：認証済みアクションはユーザー単位、公開トラフィックは API キー単位、匿名エンドポイントの IP 単位は最終手段です。正当なバーストは Retry-After を受け取り、攻撃は硬い上限に当たります。

乱用に弱いルートではリミッターを fail-closed に保ってください——ストアに到達できない場合、無制限に通すより高コストの処理を拒否する方を選びます。


## 検証とトラブルシューティング

リミッターを 429 と健全な Retry-After が返るまで動かし、異なるワークスペースが独立したバケットを得ること、バースト後にウィンドウ経過で成功へ戻ることを確認します。拒否はリクエストの機微なペイロードなしで記録してください。


## 次へ

[AI とバックグラウンドジョブ](https://supastack.dev/ja/docs/modules/ai.md)