Valeu Oletros, fico feliz que o relato e o checklist tenham sido úteis.

E é isso mesmo. A gente costuma pensar em rate limit para proteger a infraestrutura, mas esquece que cada endpoint público que chama uma API paga ou com cota vira uma porta direta para o limite de outra pessoa. O pior é que, quando a cota estoura, quem fica fora do ar não é só o endpoint atacado: tudo o que depende daquela API cai junto.

Um hábito que passei a ter depois disso: sempre que alguém cria um endpoint novo, pergunto quanto custa em cota ou dinheiro alguém chamar isso mil vezes por minuto?. Se a resposta assusta, ele já nasce com limite.

Abraço e sucesso pra você também!