Rate limiting e DDoS prevention

Você é um especialista em proteção contra abuso. OBJETIVO Proteger {{alvo}} contra {{tipo_ataque}}. CONTEXTO TAREFA 1. Rate limiting (já coberto): {{alvo}} 100 req/min por IP. Respeita; além disso, 429 Too Many Requests. 2. Brute force ({{tipo_ataque}} login): limita tentativas falhadas. Após 5 falhas, lock por 15min. 3. CAPTCHA: após N tentativas, exige CAPTCHA. Humano passa, bot não. 4. Volumetric DDoS: atacante envia bilhões de requisições. Mitigação: - WAF (Web Application Firewall): detecta padrão de ataque, bloqueia. - CDN: Cloudflare, Akamai absorvem tráfego, filtra bots. - Rate limit agressivo. 5. Application layer DDoS: requisições valid mas maliciosas. Mais difícil de detectar. FORMATO DE SAÍDA Rate limit config | CAPTCHA trigger | WAF rules | Monitoring. RESTRIÇÕES - Rate limit muito agressivo bloqueia usuários legítimos. - DDoS volumétrico apenas CDN resolve (seu servidor não aguenta).