Volver a la demo
📖 GUÍA · ARQUITECTURA

Rate Limiting — guía de la demo

Todo lo que necesitas explicar: qué demuestra, cómo funciona el pipeline y el flujo de la presentación.

Diagrama de arquitectura

Cliente / Atacante 40 peticiones en 10s Cloudflare EDGE Reglas de Rate Limiting características: IP · cookie · header periodo 10s · umbral configurable Regla Block umbral excedido → 429 a TODO durante mitigation_timeout Regla Throttle solo el excedente recibe 429 las demás pasan · recuento continuo Origen (este Worker) /test-endpoint-block · /test-endpoint-throttle Security Events cada 429 queda registrado debajo del umbral registra decisiones ¿Qué cuenta y cómo? La regla cuenta peticiones que coinciden con la expresión, agrupadas por características (IP, cookie, headers) dentro del periodo. Clave para la demo: Block cierra la puerta (todo da 429 tras el umbral); Throttle solo recorta el excedente — las peticiones intercaladas vuelven a pasar. Complemento del WAF: protege disponibilidad y negocio.

Qué demuestra

El rate limiting de Cloudflare cuenta peticiones por cliente (IP, cookie, header…) en una ventana de tiempo y aplica una acción cuando se supera el umbral. La demo tiene dos reglas sobre endpoints de prueba para comparar los dos comportamientos:

Block: al superar el umbral, todas las peticiones siguientes reciben 429 durante el periodo de mitigación. Throttle: solo el excedente recibe 429; las demás pasan.

Cómo hacer la demo

  1. Revisa las dos tarjetas de reglas: Block y Throttle, con sus umbrales y periodos editables.
  2. En el simulador, 40 peticiones en 10 segundos → Iniciar prueba.
  3. Observa el gráfico en vivo: verdes dentro del umbral, rojos con 429.
  4. Cambia al endpoint Throttle y repite: las peticiones intercaladas vuelven a pasar.
  5. Abre Security Events en el dashboard para mostrar los 429 registrados.

Puntos de conversación

Características de conteo por IP, cookie o header. Casos de uso: fuerza bruta en login/checkout, abuso de APIs, scraping, protección de origen. El rate limiting protege disponibilidad y negocio; el WAF protege contra exploits — se complementan.