Toda API exposta na internet, mais cedo ou mais tarde, recebe um cliente que resolve chamar o mesmo endpoint mil vezes por segundo. Pode ser um bug num loop de retry, um script mal escrito ou alguém testando a sorte. Se você não tem nenhum limite, quem paga a conta é o banco, o CPU e os outros usuários. A boa notícia é que, desde o .NET 7, o rate limiting vem pronto no framework. Não precisa de pacote extra nem de biblioteca de terceiros. Neste post eu monto um exemplo pequeno com Minimal APIs, limite por IP, resposta 429 com Retry-After e testes de integração. A ideia central O middleware trabalha com dois conceitos: o limiter (o algoritmo: janela fixa, janela deslizante, token bucket ou concorrência) e a partição (quem está sendo limitado). Sem partição, o limite é global, e um cliente abusivo derruba o serviço para todo mundo. Particionando por IP, cada cliente tem o seu próprio balde. Você registra uma policy com nome e depois aplica nos endpoints que precisam. Endpoints...
Outubro é, oficialmente, o Mês da Conscientização em Cibersegurança. Em 2026, ele ganhou um apelido bem menos simpático: Black October . Em poucos dias, a gente viu uma falha crítica no PHP descoberta com ajuda de IA, uma autoridade certificadora saindo do mercado por causa de chaves privadas que dava para adivinhar e uma biblioteca popular de IA distribuindo malware pelo PyPI. Se você trabalha com software e não precisou atualizar nada nas últimas semanas, ou teve muita sorte ou não olhou direito. O que aconteceu O episódio mais barulhento foi o PHP2Shell . Pesquisadores da Wiz, com apoio da OpenAI e da Calif, encontraram falhas de segurança de memória no núcleo do PHP, ligadas ao jeito como a linguagem lida com erros fatais, principalmente estouro de memória. Uma requisição que falha pode deixar um estado interno corrompido, que outra requisição reaproveita depois. O resultado é execução remota de código sem autenticação, com nota de severidade até 9.2. O detalhe que mais chama a...