Retour à la leçonMission
Mission : le rate limiting qui ne protège rien en production
Corriger un middleware sans matcher et diagnostiquer pourquoi son rate limiting en mémoire est illusoire à l'échelle.
Contexte
Un middleware.ts sans export const config a été déployé : il tourne désormais sur CHAQUE requête, y compris les images et le CSS servis depuis _next/static, ce qui ralentit tout le site. Ce même middleware utilise une Map en mémoire pour limiter chaque IP à 100 requêtes par minute. En production, l'application tourne sur 4 instances derrière un load balancer, et l'équipe constate que des IPs dépassent largement les 100 requêtes/minute sans être bloquées.