حدود الطلبات

100 طلب/دقيقة لكل IP. كافٍ للاستخدام البشري الطبيعي + معظم التكاملات. الحدود محسوبة على نافذة منزلقة (sliding window).

كل استجابة تحوي:

X-RateLimit-Limit: 100
X-RateLimit-Remaining: 73
X-RateLimit-Reset: 1716800000

• X-RateLimit-Limit — الحد الأقصى في النافذة.
• X-RateLimit-Remaining — كم متبقّي قبل 429.
• X-RateLimit-Reset — Unix timestamp لمتى يُعاد التعداد.

HTTP/1.1 429 Too Many Requests
Retry-After: 47

{
  "statusCode": 429,
  "message": "ThrottlerException: Too Many Requests"
}

الترويسة Retry-After تخبرك بعدد الثواني قبل المحاولة مجدّداً.

المسارات الحسّاسة (مثل /api/auth/login) عليها throttle أشد لمنع brute-force. هذه الحدود مطبّقة على مستوى الـ controller عبر @Throttle().