先生と生徒の会話形式で理解しよう

生徒

「Flaskで、短時間にたくさんアクセスされるのを防ぐ方法ってありますか？」

先生

「Flaskでは、Rate Limiting（レートリミッティング）を使って、アクセス回数を制限できます。これは『一人あたり何回までアクセスできる』と決める仕組みです。」

生徒

「それって難しそうですが、初心者でも使えますか？」

先生

「大丈夫ですよ！とても簡単なライブラリを使って、すぐに導入できます。では、やり方を見てみましょう！」

1. Flaskとは？簡単におさらい

Flask（フラスク）は、Python（パイソン）でWebアプリケーションを作るための、とてもシンプルで扱いやすいフレームワークです。必要最低限の機能だけを持っているため、プログラミング未経験者でも仕組みを理解しやすいのが特徴です。

難しく考えず、「ブラウザで表示されるページを作るための土台」とイメージするとよいでしょう。Flaskを使うと、URLにアクセスしたときに表示する文字や画面を、Pythonのコードで簡単に決められます。

超シンプルなFlaskの例


from flask import Flask

app = Flask(__name__)

@app.route("/")
def index():
    return "こんにちは、Flask！"

この例では、「/」というURLにアクセスすると「こんにちは、Flask！」という文字が表示されます。Flaskはこのように、少ないコードでWebの仕組みを体験できるため、最初の学習にとても向いています。

2. Rate Limiting（アクセス制限）とは？

Rate Limiting（レートリミッティング）とは、一定の時間内にアクセスできる回数をあらかじめ制限する仕組みのことです。たとえば「1人につき1分間に10回まで」とルールを決めておくことで、それ以上のアクセスを自動的に止められます。

イメージとしては、お店の入場制限に近い考え方です。一度にたくさん人が入ると混乱するため、「順番に少しずつ入ってください」と制御するのと同じです。

アクセス制限のイメージ例


・1分間に5回まで → OK
・6回目以降       → しばらく待ってください

このように回数を制限することで、サーバーに負荷が集中するのを防げます。

特に、短時間に大量のリクエストを送りつけてサービスを止めようとするDDoS攻撃への対策として有効です。Rate Limitingを設定しておくことで、アプリを安定して動かし、他の利用者にも安心して使ってもらえるようになります。

3. Flask-Limiterを使ってアクセス制限を実装する

FlaskでRate Limiting（アクセス制限）を導入するときは、「Flask-Limiter」という拡張ライブラリを使うのが定番です。難しい仕組みを自分で作らなくても、「何分間に何回まで」のようなルールを短い設定で追加できます。

初心者の方は、まず「アプリ全体に同じ制限をかける」→「特定ページだけ制限する」という順番で覚えるとスムーズです。

3-1. ライブラリをインストールする

ターミナル（黒い画面）で、次のコマンドを実行します。うまく入ったか不安な場合は、同じ画面で pip show Flask-Limiter を打つと確認できます。


pip install Flask-Limiter

3-2. Flaskアプリに組み込む方法

次のサンプルでは、IPアドレスごとに「1分間に5回まで」アクセスできるように設定しています。まずはこの形をそのまま写して動かしてみるのがおすすめです。


from flask import Flask
from flask_limiter import Limiter
from flask_limiter.util import get_remote_address

app = Flask(__name__)

# アクセス制限の設定（IPアドレスごとに制限）
limiter = Limiter(
    get_remote_address,
    app=app,
    default_limits=["5 per minute"]  # 1分間に5回まで（アプリ全体）
)

@app.route("/")
def index():
    return "こんにちは、Flask！"

「このページだけ」制限したい場合（超シンプル例）


@app.route("/api")
@limiter.limit("2 per minute")  # /api だけ 1分に2回まで
def api():
    return "APIの返答です"

このように、@limiter.limit() を付けたページだけ強めに制限できます。回数を超えると、ブラウザ側には429（アクセスしすぎ）のエラーが返ります。

ポイントは、まずアプリが正しく動くことを確認してから、必要なページだけ制限を追加していくことです。いきなり厳しくしすぎると、自分の動作確認まで止めてしまうことがあるので、最初は少しゆるめの回数から試すと安心です。

4. エラーメッセージをカスタマイズする

デフォルトでは、アクセス制限に引っかかると「429 Too Many Requests」という英語のメッセージが表示されますが、日本語でわかりやすく表示することもできます。


from flask import jsonify
from werkzeug.exceptions import HTTPException

@app.errorhandler(429)
def ratelimit_error(e):
    return jsonify({
        "エラー": "アクセス制限です",
        "詳細": "一定時間にアクセスしすぎました。しばらく待ってから再度お試しください。"
    }), 429

5. IPアドレスとは？初心者向け解説

ここで出てきた「IPアドレス」という言葉について説明します。IPアドレスとは、インターネットに接続している機器が持っている「住所」のようなものです。

アクセス制限では、誰が何回アクセスしてきたかを、このIPアドレスをもとに判断します。

6. もっと細かく設定することもできる

Flask-Limiterでは、ログインしているユーザーごとにアクセス回数を制限したり、特定のルート（ページ）だけ制限したりすることも可能です。以下は、ユーザーごとに制限する例です。


from flask import request

limiter = Limiter(
    lambda: request.headers.get("X-User-ID"),  # ヘッダーからユーザーIDを取得
    app=app,
    default_limits=["10 per minute"]
)

このように、アクセス制限の仕組みはカスタマイズがとても柔軟にできます。

7. なぜRate Limitingは重要なのか？

アプリを公開すると、予期しない大量のアクセスを受けることがあります。悪意のある攻撃者が連続してリクエストを送ると、アプリが止まってしまうことも。

Rate Limitingを導入することで、サーバーを守り、他の利用者に影響を与えないようにすることができます。

まとめ

FlaskでRate Limiting（アクセス制限）を導入する方法について学んできた今回の記事では、Webアプリケーションを安全かつ安定して運用するための重要なポイントを体系的に振り返ることができました。短時間に大量のリクエストが送られてしまうと、サーバーの負担が増加し、処理速度が低下したり、最悪の場合アプリが停止してしまう危険があります。特にインターネット上に公開するアプリでは、このような過剰アクセスは避けられない問題であり、Rate Limitingをしっかりと組み込んでおくことが重要です。Flaskでは、今回紹介したFlask-Limiterという拡張機能を活用することで、複雑な仕組みを意識しなくても簡単にアクセス制限を実装できるため、初心者でも安心して取り組むことができます。記事で扱ったように、Flask-Limiterは「1分間に5回」「1時間に100回」など、細かくアクセス制限の設定を行うことができ、IPアドレスごと、ユーザーごと、特定のルートごとなど、状況に応じた柔軟な制御が可能です。特にDDoS攻撃のような悪意のある大量アクセスからアプリを守るうえで効果的なだけでなく、アクセスが集中しやすい一部のAPIに制限を設けることで、サービス全体の安定性を高める効果もあります。また、制限に引っかかった際にはわかりやすいメッセージを返したり、429エラーを独自に処理することで、利用者にストレスを感じさせない設計も実現できます。さらに、Rate Limitingは単なるセキュリティ対策ではなく、アプリケーション全体のアクセス設計にも関わる重要なテーマです。例えば、有料プランと無料プランでアクセス回数を変えたり、特定の機能だけ制限を設けたり、APIキーごとに制限回数を変更するなど、サービス提供の仕組みに応じて丹念に調整できます。この柔軟性はFlask-Limiterの大きな強みであり、拡張性の高いアプリケーション作りに役立ちます。初心者にとっては最初に触れるアクセス制御の仕組みとしても理解しやすく、今回学んだ構成はそのまま実務にも応用できる内容となっています。以下では、記事を振り返りながら、実際にFlaskアプリに導入できる簡単なサンプルコードを整理しておきます。

Rate Limitingのサンプルコード


from flask import Flask, jsonify
from flask_limiter import Limiter
from flask_limiter.util import get_remote_address

app = Flask(__name__)

# 基本設定（IPアドレスごとに1分間5回まで）
limiter = Limiter(
    key_func=get_remote_address,
    app=app,
    default_limits=["5 per minute"]
)

@app.route("/")
@limiter.limit("5 per minute")
def home():
    return "アクセス制限付きのトップページです"

# アクセス制限エラーのカスタムメッセージ
@app.errorhandler(429)
def limit_error(e):
    return jsonify({
        "エラー": "アクセスが多すぎます",
        "説明": "一定時間内のアクセス上限を超えました。少し待ってから再度お試しください。"
    }), 429

# ユーザーIDごとに制限を変える例
from flask import request

user_limiter = Limiter(
    key_func=lambda: request.headers.get("X-User-ID", "guest"),
    app=app,
    default_limits=["10 per minute"]
)

@app.route("/user")
@user_limiter.limit("10 per minute")
def user_page():
    return "ユーザーごとにアクセス制限を設定しています"

このサンプルコードでも示したように、Flask-LimiterはIPアドレスを基準にする方法だけでなく、リクエストヘッダーを使ってユーザーごとに制限を変えることもできるため、より柔軟で精密なアクセス制御が可能です。アクセス制限はサービスの安定性を保つための重要な要素であり、特に負荷がかかりやすいAPIや、公開したばかりのサービスなどでは欠かせない仕組みです。初心者のうちからこうした基礎をしっかり理解しておくことで、より安全で信頼性の高いアプリケーション開発へと繋がっていきます。 FlaskでのRate Limitingは、ただ制限するだけでなく、利用者が不快に感じないように工夫することも大切です。429エラーのカスタマイズ、制限対象のルートを慎重に選ぶ設計、どれくらいの時間でどれくらいの回数を許容するかの判断など、アプリの用途に合わせた柔軟な調整が求められます。今回の記事を通して、単に技術を導入するだけでなく「なぜ必要なのか」「どのように使うべきか」といった本質的な理解が深まったはずです。Flaskで開発するうえでRate Limitingは欠かせない要素のひとつであり、今後さまざまなアプリケーションに応用できる大切な知識となるでしょう。

先生と生徒の振り返り会話

生徒

「Rate Limitingって難しそうだと思ってましたけど、Flask-Limiterを使えばすごく簡単に導入できるんですね！」

先生

「その通りです。アクセス回数を制限するだけでアプリの安全性が大きく高まりますし、安定して動作させるためにもとても重要な仕組みですよ。」

生徒

「アクセスしすぎたときのエラーもカスタマイズできるのは便利ですね。ユーザーに優しい設計もできそうです！」

先生

「そうですね。サービスの規模や利用者の状況に合わせて柔軟に調整できるのがFlask-Limiterの強みです。今回学んだことが、今後のアプリづくりにきっと役立ちますよ。」

生徒

「もっといろいろなAPIにもアクセス制限をつけてみようと思いました！ありがとうございました！」