HTTP DDoS è un attacco denial-of-service che inonda un'applicazione web con richieste HTTP, di solito al livello applicativo invece che al livello di rete. Le richieste possono sembrare normali a prima vista, ma vengono inviate in volumi tali da costringere server, bilanciatori di carico o codice dell'applicazione a spendere risorse per ciascuna di esse.
Questo è importante perché le richieste web spesso costano poco a un attaccante da generare e molto a un difensore da elaborare. Un sito può avere ancora larghezza di banda sufficiente mentre la sua applicazione diventa lenta o non disponibile. Negli attacchi reali, i difensori rispondono con limitazione del rate, rilevamento dei bot, caching, sistemi di challenge e filtraggio del traffico per separare gli utenti reali dalle raffiche abusive di richieste. HTTP DDoS è particolarmente importante negli ambienti moderni perché molti servizi critici dipendono da applicazioni web, API e front end cloud che possono essere messi sotto stress molto prima che la rete sottostante sia saturata.