Testen von Ratenbegrenzungen, 429-Fehlern und Backoff

Die Ratenbegrenzung wird kaum getestet, da eine gut funktionierende API die Zugriffsrate nicht auf Anfrage drosselt – und die Wiederholungsstrategie, die eine Verlangsamung in einen Ausfall verwandelt, daher ungetestet ausgeliefert wird. Die Coffee Shop API setzt ein echtes Kontingent innerhalb eines bestimmten Zeitraums durch, sodass Sie dieses absichtlich überschreiten und die Wiederherstellung der Verbindung beobachten können.

Wie man es übt

1. Senden Sie Anfragen bis zur Antwort 429. Lesen Sie Retry-After und warten Sie vor dem nächsten Versuch entsprechend lange.
2. Passen Sie die Anfragerate anhand von X-RateLimit-Limit, X-RateLimit-Remaining und X-RateLimit-Reset in erfolgreichen Antworten an.
3. Prüfen Sie, dass Wiederholungen mit Backoff und einer Obergrenze erfolgen. Eine sofortige Endlosschleife nach 429 erhöht nur die Last.
4. Prüfen Sie, dass der Circuit Breaker eine Antwort 429 nicht wie einen dauerhaften Ausfall zählt.
5. Kombinieren Sie mit der Fault-Injection-API Ratenbegrenzung und gelegentliche 503-Antworten und prüfen Sie die Erholung des Clients.

APIs, um es auszuprobieren

• Coffee Shop API — Drinks & orders. Home of the legendary 418. (6 endpoints)
• Fehlerinjektions-API — Latency, status codes, malformed payloads & flaky responses. (5 endpoints)

Betroffene Statuscodes

• 429 Too Many Requests
• 503 Service Unavailable

Andere Techniken

• API-Paginierung testen — Practise page-number and cursor pagination, and the edge cases that break clients: the last partial page, an out-of-range page, and a total count that disagrees with what you collected.
• Idempotenz-Schlüsseltest— Send the same write twice with an Idempotency-Key and confirm the operation happens once — the mechanism that stops a network retry becoming a duplicate charge.
• ETag- und If-Match-Test— Provoke a 412 Precondition Failed by writing with a stale ETag — the check that stops two clients silently overwriting each other.
• Webhook-Signaturprüfung — Register a callback, trigger a delivery, verify its HMAC signature, and confirm a tampered payload is rejected.
• OAuth- und JWT-Tests — Run real client-credentials, authorization-code and device-code flows, then test what your client does when the token expires mid-session.
• Negativer Test — Provoke 400, 401, 403, 404, 409, 418, 422, 429, 500 and 503 deliberately, and check your client handles each one differently.
• Asynchrone Jobtests— Start a long-running job, follow the 202 and its Location header, and poll to completion — including the failure and timeout paths.

Einstiegsanleitung · Alle 39 Mock-REST-APIs

Zuletzt aktualisiert 16. Oktober 2026