Keine Anmeldung nötig: Wie anonyme Ratenbegrenzung ein kostenloses Werkzeug kostenlos hält

PDF123 behält einen Weg zum Hochladen und Herunterladen ohne Konto. Dieselben Operationen liegen außerdem unter /api/v1/, damit ein Skript sie aufrufen kann, ohne dass ein Mensch auf Verarbeiten klickt. Anonyme Nutzung braucht keinen API-Schlüssel. Ratenbegrenzungen verhindern, dass diese Oberfläche zu einem unbegrenzten kostenlosen Host wird.

Anonym ist der Standardweg

Lege eine Datei auf einer Werkzeugseite wie Komprimieren oder Zusammenführen ab und starte sie. Für Werkzeuge des Katalogs funktioniert anonymes REST unter /api/v1/ genauso. Die Endpunkte unter /api/v1/general/, /api/v1/misc/, /api/v1/security/, /api/v1/convert/ und /api/v1/filter/ sind die Präfixe für anonyme Werkzeuge; jedes Werkzeug des Katalogs im Portal entspricht einem dieser Pfade.

Die Anmeldung gibt es, damit du einen persönlichen API-Schlüssel für die Automatisierung anlegen kannst, und nicht, damit Verarbeiten zur Bezahlschranke wird. Das Formular im Browser und der Vertrag über HTTP bleiben aufeinander abgestimmt: Der Block „Call this from code“ auf jeder Werkzeugseite baut ein curl aus denselben Feldern, die das Formular sendet.

Routen für die Verwaltung, für Benutzerprofile und andere Nicht-Werkzeuge liegen außerhalb dieser Präfixe. Ein anonymer Aufrufer, der einen geschützten Pfad trifft, erhält einen Authentifizierungsfehler und keine freie Fahrt durch die gesamte API.

Was die Header aussagen

Jede Antwort der gehosteten API gibt das Budget an (umgesetzt auf pdfx-server):

• X-RateLimit-Limit: die für diese Antwort angegebene Obergrenze des Zeitraums
• X-RateLimit-Remaining: das verbleibende Budget im aktuellen Zeitraum
• X-RateLimit-Reset: die Markierung für den Neustart des Fensters (lies den Wert und nimm keinen Kalendertag an)

Bei HTTP 429 sagt Retry-After einem freundlichen Client, wann er es erneut versuchen soll. Fehler wegen des Kontingents nutzen den strukturierten Problemcode rate_limited unter Entwickler: Fehler mit derselben Form application/problem+json wie andere API-Fehler. Ein Skript kann am Code verzweigen, ohne eine Fehlerseite in HTML auszuwerten.

Numerische Obergrenzen ändern sich nur mit den Einstellungen der Bereitstellung. Die Header einer konkreten Antwort sind maßgeblich und nicht eine Momentaufnahme in einem Blogbeitrag. Ein Client, der eine Tageszahl aus diesem Artikel fest einträgt, liegt falsch, sobald ein Operator den Zeitraum nachjustiert. Lies besser nach jedem Aufruf X-RateLimit-Remaining und halte dich zurück, wenn der Wert gegen null geht.

Warum ein kostenloses Werkzeug Aufrufer trotzdem begrenzt

Ohne Obergrenzen werden anonyme Endpunkte zur Stapelverarbeitung für andere. Grenzen halten einmalige Aufgaben nutzbar, während schwerere oder private Lasten zu Schlüsseln oder zu Selbst hosten wandern.

Die Obergrenzen schützen außerdem die gemeinsam genutzte CPU für wirklich teure Operationen: große Zusammenführungen, OCR, das aus Scans Markdown liefert (text/markdown und keine neu geschichtete PDF), und mehrstufige Läufe von POST /api/v1/pipeline. Die Produktentscheidung lautet „anonym und endlich“ und nicht „anonym und unbegrenzt“.

Anonymer Zugriff bleibt eine vorübergehende Verarbeitung: Uploads werden für die Aufgabe verarbeitet und gelöscht, sobald das Ergebnis bereitsteht. Bei der Ratenbegrenzung geht es um faire Verteilung der Kapazität und nicht darum, hinter einer kostenlosen Anmeldung einen dauerhaften Speicher für Dokumente zu erfinden.

Schlüssel ändern die Identität, nicht den Katalog

Lege unter Entwickler einen Schlüssel an, wenn du eine stabile Identität des Aufrufers brauchst, Wiederholungen mit Idempotency-Key, die Arbeit nicht doppelt ausführen dürfen, oder einen selbst gehosteten Server mit festem globalen Schlüssel (SECURITY_CUSTOMGLOBALAPIKEY auf deiner Maschine). OpenAPI bleibt unter /v1/openapi.json auf der Basis-URL, die du ansprichst.

MCP unter /mcp folgt demselben Katalog und derselben Geschichte der Schlüssel für Automatisierungsclients. Die Operationen bleiben gleich, ob der Aufrufer anonym ist oder einen Schlüssel nutzt. Geändert werden Authentifizierung und Kontingent.

Zu den vier Zugängen zu einer Operation (Browser, curl, MCP, CLI) siehe Dieselbe Operation, vier Clients. Wenn Obergrenzen oder Aufbewahrung nicht reichen und die gesamte Oberfläche in dein Netz wandern soll, siehe Was Selbst-Hosting wirklich bringt.