Warum Anmeldeversuche Begrenzt Werden

Die meisten erfahren erst von Anfragelimits, wenn sie eines erreichen: eine Meldung, dass es zu viele Versuche gab und man es später erneut versuchen soll. Das kann willkürlich wirken, doch die Limits in Invoice Generator sind bewusst für verschiedene Bereiche der App unterschiedlich hoch angesetzt. Wenn Sie wissen, welche Anfragen sich ein Limit teilen und wie lang der Zeitraum ist, sagt Ihnen die Meldung genau, was passiert ist.

Vier Getrennte Limits, Jeweils pro IP-Adresse

Der Server führt vier unabhängige Zähler, jeweils pro IP-Adresse:

• Authentifizierung: standardmäßig 10 Anfragen pro Stunde. Dazu gehören Registrierung, Anmeldung, die Prüfung des Zwei-Faktor-Codes bei der Anmeldung und Anfragen, eine Bestätigungs-E-Mail erneut zu senden.
• Die App selbst: im Produktivbetrieb 1.000 Anfragen pro 15 Minuten. Dazu gehören Rechnungen, Kunden, Zahlungen, Berichte, Ausgaben, Zeiteinträge, Arbeitsbereiche, das Kundenportal und die Entwickler-API.
• Das Kontaktformular: 10 Einsendungen pro Stunde.
• Der Bild-Proxy, der externe Logos für die PDF-Erstellung lädt: 500 Anfragen pro 15 Minuten.

Da es getrennte Zähler sind, wirkt sich das Ausschöpfen des einen nicht auf die anderen aus. Sperren Sie sich bei der Anmeldung aus, weil Sie Ihr Passwort mehrmals falsch eingegeben haben, kann jeder in Ihrem Netzwerk, der bereits angemeldet ist, weiterarbeiten. Deren Anfragen zählen zum Limit der App, nicht zu dem der Authentifizierung.

Warum die Authentifizierung das Strengste Limit Hat

Wer sich normal anmeldet, braucht einen Versuch, nach einem Tippfehler vielleicht zwei oder drei. Zehn pro Stunde reichen dafür völlig aus. Ein automatisiertes Programm, das Passwörter errät, braucht dagegen Tausende. Wenn die Anmeldung auf zehn Versuche pro Stunde und IP-Adresse begrenzt ist, wird aus einem schnellen Rateangriff einer, der Jahre dauern würde, ohne dass im normalen Gebrauch jemand einen Unterschied merkt.

Die Zwei-Faktor-Prüfung gehört aus demselben Grund in diese Gruppe. Ein sechsstelliger Code hat nur eine Million mögliche Werte. Ohne Limit ließen sie sich innerhalb der fünf Minuten, die das vorläufige Anmeldetoken gültig ist, schnell durchprobieren. Mit dem gemeinsamen Limit hat ein Angreifer, der das Passwort bereits kennt, etwa zehn Versuche für den Code und wird danach für eine Stunde gesperrt.

Das erneute Senden der Bestätigungs-E-Mail gehört dazu, weil jede Anfrage eine echte E-Mail verschickt. Ohne Grenze könnte man damit das Postfach eines anderen mit Bestätigungs-E-Mails überschwemmen, die er nie angefordert hat.

Warum das Limit für die App So Viel Höher Ist

Normale Nutzung des Dashboards erzeugt viele Anfragen. Beim Laden einer einzigen Seite können gleichzeitig Rechnungen, Kunden, Benachrichtigungen und das Unternehmensprofil abgerufen werden, und eine Massenaktion oder ein umfangreicher Bericht kommt noch hinzu. Tausend Anfragen pro 15-Minuten-Zeitraum lassen viel Raum für intensive Nutzung, stoppen aber ein außer Kontrolle geratenes Skript oder eine Integration in einer Endlosschleife, bevor andere darunter leiden.

Kontaktformular und Bild-Proxy

Das Kontaktformular hat ein eigenes Limit von 10 pro Stunde, weil jede Einsendung eine E-Mail an das Support-Team schickt. Ohne dieses Limit wäre das Formular ein einfacher Weg, Spam zu verschicken. Der Bild-Proxy hat ein eigenes Kontingent von 500 pro 15 Minuten, weil die PDF-Erstellung dasselbe externe Logo mehrmals abrufen kann. Mit einem eigenen Zähler geht das Erstellen von Dokumenten nicht auf Kosten Ihres normalen App-Limits.

Was Sie Sehen, Wenn Sie ein Limit Erreichen

Oberhalb des Limits antwortet der Server mit HTTP 429 und einer klaren Meldung wie "Too many authentication attempts, please try again after an hour". Die Antworten enthalten außerdem die üblichen RateLimit-Header, sodass eine API-Integration ablesen kann, wie viel vom Kontingent noch übrig ist und wann der Zeitraum neu beginnt, statt zu raten. Die Zeiträume haben eine feste Länge (eine Stunde für die Authentifizierung, 15 Minuten für die App). Wer die angegebene Zeit abwartet, ist also immer wieder freigeschaltet.

Ein Hinweis zu Gemeinsam Genutzten Netzwerken

Da pro IP-Adresse gezählt wird, teilen sich alle hinter derselben öffentlichen IP-Adresse ein Kontingent. Das kann ein Büro sein, ein Coworking-Space oder ein VPN-Ausgang. Für die App spielt das selten eine Rolle, aber zehn Anmeldungen pro Stunde können aufgebraucht sein, wenn sich ein ganzes Team gleichzeitig über einen Büroanschluss anmeldet. Können sich plötzlich mehrere Personen gleichzeitig nicht anmelden, ist das die wahrscheinlichste Ursache, und es behebt sich innerhalb einer Stunde von selbst.