En 2026, deux incidents très différents apparaissent tous deux comme 429 Too Many Requests : les protections anti-brute-force d’authentification passerelle déclenchées par de mauvais jetons, et la limitation SaaS en amont parce que dix agents ont découvert cron la même minute. Si vous fusionnez ces signaux dans un seul tableau de bord, vous mal-réglez les limites—affaiblissant la sécurité ou affamant l’automatisation légitime. Cette matrice sépare les classes, documente les règles de backoff pour les en-têtes Retry-After et pose huit étapes adaptées à une passerelle Mac mini M4 dédiée sur NodeMac—SSH pour l’automatisation, VNC lorsque macOS exige encore une surface de consentement.
Durcissement associé : auth par jeton et dérive launchd, basculement multi-modèle et timeouts, sondes de disponibilité et SLO, proxy sortant et liste TLS. Observabilité : rotation des journaux et masquage ; triage : doctor. Tarifs ; aide.
Classifiez le 429 avant de tourner les boutons
Commencez chaque incident avec trois champs : famille de routes HTTP (admin, webhook, invocation d’outil), identité (espace de travail, jeton bot, IP) et fournisseur (Slack, Anthropic, CRM interne). Les limites d’auth doivent se déclencher sur des motifs d’identité suspects ; les limites fournisseur sur le QPS agrégé ou des fenêtres de rafale. Les mélanger pousse les opérateurs à augmenter les limites globales—élargissant exactement la fenêtre de brute-force.
- 429 d’auth : fenêtres glissantes courtes, verrouillages exponentiels, exemptez explicitement les scrapers de santé loopback.
- 429 d’outil : respectez
Retry-Afterdu fournisseur, limitez les appels d’outil parallèles par espace de travail, préférez file + worker aux boucles de retry aveugles. - Mixte : si les deux se déclenchent, corrigez d’abord l’auth—retry sur mauvais jetons amplifie les deux compteurs.
Matrice de réponse
| Symptôme | Classe probable | Première action |
|---|---|---|
| Pic uniquement depuis une IP / mauvais bearer | Brute-force d’auth ou rejeu de jeton divulgué | Révoquer le jeton, inspecter la dérive d’env launchd, relancer doctor |
| 429 alignés sur le trafic horaires ouvrés | Saturation de quota d’outil ou LLM | Réduire les outils concurrents, fragmenter les espaces de travail, monter de palier fournisseur |
| 429 seulement après déploiement | Nouveau timeout par défaut ou politique de retry trop agressive | Diff de config, canary sur un hôte, rollback des drapeaux passerelle |
Paramètres de backoff qui survivent à la revue
| Couche | Politique de départ | Notes |
|---|---|---|
| Échecs d’auth passerelle | Fenêtre glissante : bloquer les IP agressives après 10 échecs / 60 s | Exempter les sous-réseaux de scrapers de santé documentés |
| HTTP d’outil vers SaaS | Max 3 retries avec jitter, plafonner le sommeil à 60 s sauf Retry-After plus grand | Enregistrer la métrique de délai cumulé par espace de travail |
| Appels d’outil concurrents | Défaut 4 par espace de travail sur hôtes M4 Pro | Baisser lorsque CPU > 85% pendant > 2 minutes |
Astuce Apple Silicon : les handshakes TLS et le parsing JSON ne sont pas gratuits—des retries en rafale peuvent saturer un cœur de performance et augmenter la latence de queue. Préférez une file avec métriques de profondeur visibles au fan-out illimité.
Huit étapes de déploiement
- Étiqueter les journaux avec la famille de route en bordure si un proxy existe.
- Instrumenter des compteurs séparés pour échecs d’auth vs 429 en amont.
- Implémenter l’analyse Retry-After dans le client HTTP partagé des outils.
- Ajouter une sonde de chat synthétique déclenchant un outil inoffensif toutes les cinq minutes.
- Documenter un interrupteur gel désactivant les effets de bord d’outil sans arrêter la santé.
- Test de charge avec le trafic de pointe enregistré avant les pushes marketing.
- Aligner avec la sécurité sur les listes IP des surfaces admin exposées au-delà du loopback.
- Scaler avec une passerelle Mac mini M4 NodeMac supplémentaire lorsque la profondeur de file monte sur un sprint entier.
FAQ
Pourquoi des tableaux sains avec des 429 côté chat ?
Les sondes frappent des routes différentes des appels d’outil pilotés par l’utilisateur. Étendez les sondes pour couvrir légèrement les chemins d’outil.
Partager les compteurs auth et outils ?
Non—des compteurs séparés évitent les lockouts collatéraux et clarifient la cause racine.
Pourquoi du matériel NodeMac dédié ?
Réseau stable, CPU toujours allumé pour les rafales TLS, placement régional proche des fournisseurs et des utilisateurs.