Limitation de débit (rate limiting)
La limitation de débit est un plafond sur le nombre de fois qu'un même visiteur peut appeler ton application dans un laps de temps donné. Sans lui, un robot envoie d'un coup une avalanche de requêtes. Si ton application appelle un modèle de langage payant à chaque requête, c'est toi qui paies chacune. Le classement OWASP des risques pour les API range ce manque sous la consommation de ressources sans limite, et recommande de plafonner la fréquence des appels sur une fenêtre de temps. Il note aussi qu'un service facturé à la requête (SMS, appels téléphoniques, vérifications biométriques) peut faire monter la facture en quelques minutes, et conseille un plafond de dépense chez le fournisseur, ou à défaut une alerte de facturation. Le piège propre au code généré : l'app marche en démonstration, donc personne ne pense à ce qui arrive le jour où un script boucle sur la route qui appelle le modèle. Un plafond se règle plus strict sur les routes sensibles (envoi d'un code par SMS, connexion) que sur une page de lecture.