Nessun accesso richiesto: come il limite di frequenza anonimo mantiene gratuito lo strumento

PDF123 mantiene un percorso di caricamento e scaricamento senza account. Le stesse operazioni sono disponibili anche sotto /api/v1/, così uno script può chiamarle senza che qualcuno debba cliccare Process. L'uso anonimo non richiede API key. I limiti di frequenza impediscono che quel servizio diventi un host gratuito senza limiti.

L'anonimato è il percorso predefinito

Trascina un file su una pagina di strumento come Comprimi o Unisci ed esegui. Il REST anonimo sotto /api/v1/ funziona allo stesso modo per gli strumenti del catalogo. Gli endpoint sotto /api/v1/general/, /api/v1/misc/, /api/v1/security/, /api/v1/convert/ e /api/v1/filter/ sono i prefissi anonimi degli strumenti; ogni strumento del catalogo nel portale corrisponde a quei percorsi.

L'accesso esiste perché tu possa creare una API key personale per l'automazione, non perché Process diventi un paywall. Il modulo nel browser e il contratto HTTP restano allineati: il blocco «Call this from code» di ogni pagina di strumento costruisce un curl con gli stessi campi che invia il modulo.

Le rotte di amministrazione, profilo utente e altre rotte non legate agli strumenti restano fuori da quei prefissi. Un chiamante anonimo che raggiunge un percorso protetto ottiene un errore di autenticazione, non un passaggio libero su tutta l'API.

Cosa dicono le intestazioni

Ogni risposta dell'API ospitata annuncia il budget (implementato su pdfx-server):

• X-RateLimit-Limit: tetto del periodo annunciato per questa risposta
• X-RateLimit-Remaining: budget rimasto nel periodo corrente
• X-RateLimit-Reset: indicatore di azzeramento della finestra (leggi il valore; non dare per scontato un giorno di calendario)

Su HTTP 429, Retry-After indica a un client ben educato quando riprovare. I superamenti di quota usano il codice strutturato rate_limited descritto in Developers errors, con la stessa forma application/problem+json degli altri errori API. Uno script può distinguere i casi in base al codice senza estrarre informazioni da una pagina HTML di errore.

I tetti numerici possono cambiare con le impostazioni di deployment. Le intestazioni di una determinata risposta sono la fonte di verità, non un'istantanea del blog. Un client che fissa nel codice un numero giornaliero letto in questo articolo sarà sbagliato la prossima volta che un operatore ritara il periodo. Meglio leggere X-RateLimit-Remaining dopo ogni chiamata e rallentare quando si avvicina a zero.

Perché uno strumento gratuito limita comunque i chiamanti

Senza tetti, gli endpoint anonimi diventano la fattoria di batch di qualcun altro. I limiti mantengono utilizzabili le attività occasionali, mentre i carichi più pesanti o privati passano alle chiavi o al self-host.

I tetti proteggono anche la CPU condivisa per operazioni davvero costose: merge di grandi dimensioni, OCR che restituisce Markdown dalle scansioni (text/markdown, non un PDF con un nuovo strato di testo) ed esecuzioni in più passaggi con POST /api/v1/pipeline. La scelta di prodotto è «anonimo e finito», non «anonimo e illimitato».

L'accesso anonimo resta un'elaborazione temporanea: i file caricati vengono gestiti per l'operazione e ripuliti quando il risultato è pronto. Il limite di frequenza riguarda l'equità della capacità, non l'idea di costruire un archivio documenti a lungo termine dietro un accesso gratuito.

Le chiavi cambiano l'identità, non il catalogo

Crea una chiave da Developers quando ti serve un'identità stabile del chiamante, nuovi tentativi con Idempotency-Key che non devono rieseguire il lavoro o un server self-hosted con una chiave globale fissa (SECURITY_CUSTOMGLOBALAPIKEY sulla tua macchina). OpenAPI resta su /v1/openapi.json su qualunque URL di base tu usi.

MCP su /mcp segue lo stesso catalogo e la stessa logica delle chiavi per i client di automazione. Le operazioni restano identiche sia che il chiamante sia anonimo sia che usi una chiave. A cambiare sono l'autenticazione e la quota.

Per i quattro modi di chiamare la stessa operazione (browser, curl, MCP, CLI), vedi La stessa operazione, quattro client. Per spostare l'intero servizio sulla tua rete quando tetti o conservazione non bastano, vedi Cosa ti dà davvero il self-hosting.