La limitazione della frequenza delle API è un controllo che limita quante richieste un client può inviare a un'interfaccia di programmazione applicativa in una determinata finestra temporale. I limiti possono essere impostati per indirizzo IP, account, token, dispositivo o endpoint, e possono essere fissi, scorrevoli o adattivi. L'obiettivo è mantenere stabili i servizi, prevenire abusi e rendere più costoso l'abuso automatizzato.
Nella sicurezza informatica, la limitazione della frequenza aiuta a difendersi da accessi con forza bruta, credential stuffing, scraping, traffico di denial-of-service e raccolta di output dell'IA. Senza di essa, un attaccante può inviare grandi quantità di prompt o query per estrarre dati, testare credenziali rubate o sondare un sistema alla ricerca di vulnerabilità. Negli ambienti IA, limiti di frequenza rigorosi possono rallentare l'abuso del model distillation rendendo più difficile nascondere o scalare interrogazioni ripetute e ad alto volume. I difensori spesso affiancano la limitazione della frequenza al rilevamento delle anomalie, alle quote di richieste, alle sfide CAPTCHA e alla revisione degli abusi per distinguere l'uso normale dell'applicazione dai tentativi coordinati di estrazione.