Ограничение числа запросов клиента за промежуток времени с понятным отказом вместо деградации системы для всех остальных.
Это защищает и от злоупотреблений, и от случайностей: цикл повторов у партнёра кладёт API не хуже атаки, а перебор учётных данных держится на неограниченных попытках.
Мы задаём лимиты на клиента и на эндпоинт, возвращаем стандартные заголовки, чтобы интеграторы корректно снижали нагрузку, и ставим на маршруты аутентификации лимиты заметно строже остальных.