Limites de débit

L’API applique sept limiteurs à fenêtre fixe d’une minute. Ils ne dépendent pas de l’offre souscrite et il n’existe pas, aujourd’hui, de quota horaire ou journalier par organisation.

Limiteur	Plafond	Compté par	Opérations concernées
auth-login	5 requêtes / minute	adresse IP	POST /auth/login, POST /auth/login/2fa et POST /auth/login/2fa/enrollment (un seul budget pour les trois)
auth-register	3 requêtes / minute	adresse IP	POST /auth/register et POST /auth/accept-invitation (un seul budget)
auth-forgot-password	3 requêtes / minute	adresse IP	POST /auth/forgot-password
auth-reset-password	5 requêtes / minute	adresse IP	POST /auth/reset-password
auth-refresh	60 requêtes / minute	adresse IP	POST /auth/refresh (renouvellement du jeton d’accès : assez large pour tous les onglets d’un même poste ou d’un même bureau derrière une adresse)
auth-change-password	5 requêtes / minute	utilisateur	PATCH /auth/me/password (changement de son mot de passe depuis le profil)
write	60 requêtes / minute	utilisateur (adresse IP pour un appel anonyme)	les écritures (POST, PUT, PATCH, DELETE) des opérations qui portent ce limiteur

Le limiteur d’écriture

• Il ne compte pas les lectures : GET, HEAD et OPTIONS ne sont jamais limités, même sur les opérations qui portent le limiteur.
• Les 60 écritures par minute forment un seul budget par utilisateur, partagé entre toutes les opérations concernées. Un script qui crée 100 actifs l’un après l’autre sera refusé à partir de la 61e requête de la minute.
• Il porte sur toutes les ressources rattachées à une entité (actifs, automatisations, contrôles, RGPD, EBIOS RM, incidents, politiques, rapports, risques, seuils de risque, fournisseurs, tâches et modèles de tâches), sur les entités, les utilisateurs, les invitations, les paramètres de l’organisation, l’administration du Trust Center, les notifications, les contrôles personnalisés des référentiels maîtres, l’analyse d’écart, le parcours d’accueil, l’acceptation des mises à jour de référentiels, les référentiels personnalisés, les modèles de questionnaires fournisseurs et de traitements, ainsi que sur les demandes d’accès du Trust Center public (comptées par adresse IP).
• Hors administration de la plateforme Conformitly, les seules écritures sans limiteur sont POST /auth/logout, les autres opérations /auth/me/… (profil, sessions, double authentification, préférences de notification) et celles du portail fournisseur /questionnaire/{token}/… (enregistrement, envoi et pièces jointes d’un questionnaire).

La référence de l’API indique, pour chaque opération, le limiteur qui s’applique.

Le budget est compté par compte utilisateur, toutes sessions confondues : un script qui s’authentifie avec le compte d’une personne partage les 60 écritures par minute de ce compte avec ce que cette personne fait au même moment dans l’interface. Il n’existe pas de compte de service ni de clé d’API (ticket #37) ; pour isoler le budget d’une intégration, utilisez un compte utilisateur dédié.

La réponse 429

Au-delà du plafond, l’API répond 429 Too Many Requests avec un corps vide. Elle n’envoie ni en-tête Retry-After, ni en-têtes X-RateLimit-*. La fenêtre étant fixe et d’une minute, attendez le début de la minute suivante (au plus 60 secondes) avant de réessayer, et espacez les écritures en masse (une par seconde reste sous le plafond).

Autres protections à connaître

• Verrouillage de compte : 5 échecs de connexion verrouillent le compte 15 minutes, indépendamment de l’adresse IP. Un mot de passe actuel erroné lors d’un changement de mot de passe compte comme un échec de connexion, et un compte verrouillé ne peut pas non plus changer son mot de passe (voir Authentification).
• Taille des documents importés : les imports de référentiels personnalisés et de modèles de questionnaires sont limités à 5 Mo (413, voir Erreurs).