Ошибка 429 Too Many Requests: причины и способы устранения

Что такое HTTP-ошибка 429?

HTTP-ошибка 429 — это код состояния клиентской ошибки, означающий Too Many Requests (слишком много запросов). Сервер сообщает, что вы отправили чрезмерное количество запросов за определённый промежуток времени, и временно отказывается их обрабатывать, пока вы не снизите интенсивность.

Этот код определён в RFC 6585 и является частью механизма ограничения частоты HTTP-запросов. Это одна из самых распространённых ошибок, с которой сталкиваются разработчики при работе с API, однако обычные пользователи тоже могут увидеть её при просмотре веб-страниц.

Код 429 отличается от других ошибок серии 4xx. Ошибка 403 означает, что доступ запрещён. Ошибка 401 — что вы не авторизованы. А ошибка 429 говорит о том, что с вашими учётными данными всё в порядке — вы просто отправляете запросы слишком быстро.

Когда сервер возвращает ответ 429, он может включить заголовок Retry-After, который точно указывает, сколько нужно подождать перед отправкой следующего запроса.

Как выглядит ошибка 429?

Ошибка 429 отображается по-разному в зависимости от браузера, приложения или API-клиента. Вот наиболее распространённые варианты:

В отличие от ошибок серии 500, которые указывают на проблему на стороне сервера, код 429 — это клиентская ошибка. Сервер работает нормально, но защищает себя от слишком большого количества запросов.

Как работает ограничение частоты запросов

Ограничение частоты запросов (rate limiting) — это техника, которую серверы используют для контроля количества запросов от одного клиента в заданном временном окне. При превышении лимита сервер отвечает кодом HTTP 429.

Существует несколько распространённых алгоритмов ограничения частоты:

• Фиксированное окно (Fixed Window) — сервер разрешает N запросов за фиксированный период (например, 100 запросов в минуту). Счётчик обнуляется через равные промежутки времени.

• Скользящее окно (Sliding Window) — аналогично фиксированному окну, но временное окно сдвигается с каждым запросом. Это предотвращает всплески на границах окон.

• Корзина токенов (Token Bucket) — сервер выдаёт токены, которые пополняются с постоянной скоростью. Каждый запрос расходует один токен. Когда токены заканчиваются, запросы отклоняются.

• Дырявое ведро (Leaky Bucket) — запросы обрабатываются с постоянной скоростью независимо от интенсивности потока. Избыточные запросы ставятся в очередь или отбрасываются.

Большинство API сообщают о лимитах через заголовки ответа. Типичные заголовки: X-RateLimit-Limit (максимальное количество запросов), X-RateLimit-Remaining (оставшееся количество запросов в текущем окне) и X-RateLimit-Reset (время сброса окна).

Понимание используемого сервисом алгоритма помогает спроектировать клиент так, чтобы он оставался в рамках лимитов и не получал ошибку 429.

Основные причины HTTP-ошибки 429

Ошибка 429 может возникать в самых разных ситуациях. Ниже приведены наиболее частые причины, сгруппированные по типу пользователей:

Как исправить ошибку 429 (для посетителей)

Если вы видите ошибку 429 при просмотре веб-сайта, попробуйте следующие решения. Начните с самого простого и двигайтесь по списку.

1. Подождите и повторите попытку

Самое простое решение — подождать. Ошибка 429 носит временный характер: сервер просит вас притормозить, а не блокирует навсегда.

Подождите от 30 секунд до нескольких минут и попробуйте снова. Большинство лимитов сбрасываются в течение 1–5 минут. Если страница по-прежнему показывает 429, подождите дольше — некоторые сервисы устанавливают почасовые или суточные ограничения.

Не обновляйте страницу многократно. Каждое обновление — это новый запрос, который может продлить период ограничения.

2. Очистите кэш и куки браузера

Иногда кэшированные данные или куки могут спровоцировать ограничение частоты запросов. Их очистка может помочь:

• Chrome: нажмите Ctrl+Shift+Delete (Windows) или Cmd+Shift+Delete (Mac), выберите «Файлы cookie» и «Кэшированные изображения», нажмите «Удалить данные»

• Firefox: нажмите Ctrl+Shift+Delete, выберите «Кэш» и «Куки», нажмите «Удалить сейчас»

• Edge: нажмите Ctrl+Shift+Delete, отметьте «Файлы cookie» и «Кэшированные данные», нажмите «Очистить»

• Safari: перейдите в Safari, затем «Настройки», далее «Конфиденциальность», затем «Управление данными веб-сайтов» и «Удалить все»

После очистки закройте и заново откройте браузер, прежде чем снова переходить на сайт.

3. Отключите VPN или прокси

Если вы используете VPN или прокси, ваш IP-адрес может быть общим для сотен других пользователей. Когда их суммарные запросы превышают лимит сервера, все пользователи на этом IP попадают под ограничение.

Попробуйте отключить VPN и зайти на сайт через обычное интернет-соединение. Если ошибка 429 пропадёт, значит, проблема была в IP-адресе VPN.

Если VPN необходим, попробуйте переключиться на другой сервер, чтобы получить новый IP-адрес.

4. Отключите расширения браузера

Некоторые расширения браузера отправляют фоновые запросы без вашего ведома. Блокировщики рекламы, инструменты сравнения цен, SEO-расширения и плагины автообновления — все они могут генерировать дополнительные запросы, провоцирующие ограничение.

Для проверки откройте сайт в режиме инкогнито (в котором большинство расширений отключены по умолчанию). Если ошибка 429 исчезнет, значит, виновато одно из расширений.

Отключайте расширения по одному, чтобы найти проблемное. В Chrome перейдите на chrome://extensions/ и отключайте их поочерёдно.

5. Подключитесь к другой сети

Если ничего из вышеперечисленного не помогло, возможно, сервер ограничивает именно ваш IP-адрес. Попробуйте следующее:

Переключитесь с Wi-Fi на мобильный интернет (это даст вам другой IP-адрес). Попробуйте зайти на сайт из другой сети. Если вы находитесь в корпоративной или учебной сети, попробуйте из дома — такие сети используют один публичный IP для всех пользователей.

Проверить свой текущий IP-адрес можно с помощью нашего инструмента Какой у меня IP.

Как исправить ошибку 429 (для разработчиков)

Если вы разрабатываете приложение, обращающееся к API, ошибка 429 означает, что ваш код отправляет запросы слишком быстро. Вот как правильно обработать эту ситуацию.

1. Реализуйте экспоненциальную задержку

Экспоненциальная задержка (exponential backoff) — это стандартная стратегия повторных попыток. Вместо немедленного повтора после получения 429, время ожидания прогрессивно увеличивается:

Первая попытка: ждём 1 секунду. Вторая: 2 секунды. Третья: 4 секунды. Четвёртая: 8 секунд. И так далее.

Вот базовая реализация на JavaScript:

async function fetchWithBackoff(url, options = {}, maxRetries = 5) {
  for (let attempt = 0; attempt < maxRetries; attempt++) {
    const response = await fetch(url, options);
    
    if (response.status !== 429) return response;
    
    // Check Retry-After header first
    const retryAfter = response.headers.get('Retry-After');
    const delay = retryAfter
      ? parseInt(retryAfter) * 1000
      : Math.pow(2, attempt) * 1000; // Exponential backoff
    
    console.log(`Rate limited. Retrying in ${delay / 1000}s...`);
    await new Promise(resolve => setTimeout(resolve, delay));
  }
  throw new Error('Max retries exceeded');
}

Добавьте джиттер (случайное отклонение) к задержке, чтобы предотвратить одновременный повтор запросов от нескольких клиентов. Замените формулу расчёта задержки на Math.pow(2, attempt) * 1000 + Math.random() * 1000.

2. Учитывайте заголовок Retry-After

Когда сервер возвращает ответ 429, он часто включает заголовок Retry-After, который точно указывает, сколько нужно подождать. Этот заголовок может содержать количество секунд или HTTP-дату:

Retry-After: 60 означает «подождите 60 секунд». Retry-After: Thu, 06 Mar 2026 12:00:00 GMT означает «подождите до указанного времени».

Всегда проверяйте этот заголовок, прежде чем применять собственную логику задержки. Сервер лучше знает, сколько вам нужно ждать.

import requests
import time

def make_request(url):
    response = requests.get(url)
    
    if response.status_code == 429:
        retry_after = response.headers.get('Retry-After', '5')
        wait_time = int(retry_after)
        print(f"Rate limited. Waiting {wait_time} seconds...")
        time.sleep(wait_time)
        return make_request(url)  # Retry after waiting
    
    return response

3. Кэшируйте ответы API

Если ваше приложение выполняет одинаковые API-вызовы многократно, кэшируйте ответ вместо того, чтобы каждый раз обращаться к API. Это радикально снижает количество запросов.

Используйте кэш в памяти (Redis или обычный Map) для часто запрашиваемых данных. Установите разумный TTL (время жизни) в зависимости от того, как часто данные обновляются.

Например, если вы проверяете DNS-записи домена, результаты вряд ли изменятся в ближайшие 5 минут — кэшируйте их.

const cache = new Map();
const CACHE_TTL = 5 * 60 * 1000; // 5 minutes

async function cachedFetch(url) {
  const cached = cache.get(url);
  if (cached && Date.now() - cached.time < CACHE_TTL) {
    return cached.data;
  }
  
  const response = await fetch(url);
  const data = await response.json();
  cache.set(url, { data, time: Date.now() });
  return data;
}

4. Используйте вебхуки вместо опроса

Если вы постоянно опрашиваете API для проверки обновлений (например, проверяете статус заказа каждые 10 секунд), переключитесь на вебхуки, если сервис их поддерживает.

При использовании вебхуков сервер сам отправляет уведомления в ваше приложение при изменении данных — нет необходимости в постоянном опросе. Это может сократить количество API-вызовов с тысяч в час до считанных единиц.

Большинство современных API (Stripe, GitHub, Twilio, Shopify) поддерживают вебхуки. Проверьте документацию API для настройки вебхуков.

5. Запросите повышенные лимиты

Если вам объективно нужно больше API-вызовов, обратитесь к провайдеру сервиса. Многие API предлагают повышенные лимиты для платных тарифов или верифицированных приложений.

При запросе повышения лимитов опишите свой сценарий использования и предоставьте оценку ожидаемого объёма запросов. Такие сервисы, как Google APIs, Twitter API и GitHub API, имеют процедуры для запроса повышенных лимитов.

Некоторые API также предоставляют пакетные эндпоинты, позволяющие получить несколько ресурсов одним запросом, что снижает общее количество вызовов.

Как исправить ошибку 429 (для владельцев сайтов)

Если ваши посетители или потребители API получают ошибку 429, проблема кроется в конфигурации сервера. Вот как диагностировать и устранить её.

1. Настройте ограничения частоты запросов

Если легитимные пользователи сталкиваются с ошибкой 429, ваши лимиты могут быть слишком строгими. Пересмотрите и скорректируйте их.

В Nginx модуль ограничения частоты (ngx_http_limit_req_module) управляет интенсивностью запросов:

# Define rate limit zone: 10 requests per second per IP
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # Allow bursts of 20, no delay for first 10
        limit_req zone=api burst=20 nodelay;
        limit_req_status 429;
    }
}

Параметр burst играет ключевую роль — он допускает кратковременные всплески трафика без активации ошибки 429. Без него даже обычные паттерны просмотра сайта могут превысить лимит.

В Apache используйте mod_ratelimit или mod_evasive. В Node.js — пакеты вроде express-rate-limit.

2. Добавьте доверенные IP в белый список

Если определённые клиенты (сервисы мониторинга, платёжные системы, ваши собственные микросервисы) попадают под ограничение, добавьте их IP-адреса в белый список.

В Nginx можно использовать директиву map для обхода ограничений для доверенных IP:

geo $rate_limit {
    default        1;
    192.168.0.0/16 0;  # Internal network
    10.0.0.0/8     0;  # Internal network
    203.0.113.50   0;  # Payment processor
}

map $rate_limit $limit_key {
    0 "";
    1 $binary_remote_addr;
}

limit_req_zone $limit_key zone=api:10m rate=10r/s;

Также добавьте в белый список ботов поисковых систем (Googlebot, Bingbot), если они попадают под ограничение — их блокировка вредит SEO. Подлинность ботов можно проверить с помощью обратного DNS-запроса.

3. Проверьте настройки WAF и CDN

Если вы используете Cloudflare, AWS WAF, Sucuri или другой сервис безопасности, их правила ограничения частоты могут быть источником ошибок 429, а не ваш основной сервер.

В Cloudflare проверьте Security, затем WAF, затем Rate Limiting Rules. Там можно увидеть, какие правила срабатывают, и скорректировать пороговые значения. Режим Cloudflare «I'm Under Attack» особенно агрессивен.

В AWS WAF проверьте правила Web ACL на наличие ограничений по частоте. Минимальный порог — 100 запросов за 5 минут. Убедитесь, что он подходит для вашего уровня трафика.

Проанализируйте аналитику CDN, чтобы отличить легитимный трафик от ботов, прежде чем менять лимиты.

4. Оптимизируйте производительность сервера

Иногда ошибки 429 появляются потому, что сервер не справляется с нагрузкой, и ограничение частоты срабатывает как защитный механизм. Повышение производительности сервера позволяет безопасно увеличить лимиты.

Основные методы оптимизации: включите кэширование ответов для снижения нагрузки на бэкенд, используйте CDN для статических ресурсов, добавьте кэширование запросов к базе данных с помощью Redis или Memcached, реализуйте пул соединений для подключений к базе данных и масштабируйте горизонтально с помощью балансировки нагрузки, если трафик этого требует.

Используйте наш инструмент HTTP-заголовки, чтобы убедиться, что ваши заголовки кэширования настроены правильно.

Ошибка 429 в сравнении с другими HTTP-ошибками

Ошибку 429 легко спутать с другими кодами состояния HTTP. Вот чем они отличаются:

Главное отличие: 429 — это временная и преднамеренная блокировка. Сервер исправен — он намеренно отклоняет ваш запрос для собственной защиты. Остальные ошибки серии 5xx указывают на реальную неисправность.

Как предотвратить ошибки 429

Профилактика лучше лечения. Вот лучшие практики, которые помогут избежать ошибок 429:

• Изучите документацию API — узнайте лимиты до написания кода. Большинство сервисов публикуют свои ограничения в открытом доступе.

• Мониторьте использование — отслеживайте заголовок X-RateLimit-Remaining, чтобы знать, насколько вы близки к лимиту.

• Группируйте запросы — используйте пакетные эндпоинты, когда это возможно, вместо отдельных вызовов.

• Распределяйте запросы — равномерно распределяйте API-вызовы во времени вместо отправки пачками.

• Используйте API-ключи — авторизованные запросы обычно получают более высокие лимиты, чем анонимные.

• Реализуйте автоматический выключатель (circuit breaker) — если вы получаете повторные 429, полностью прекратите отправку запросов на период остывания.

• Тестируйте с симуляторами ограничений — имитируйте ответы 429 в среде разработки, чтобы убедиться, что обработка ошибок работает корректно.

• Логируйте ответы 429 — фиксируйте, когда и где срабатывает ограничение, чтобы оптимизировать паттерн запросов.