Límites de solicitudes

Frontmail limita la velocidad a la que se pueden enviar solicitudes para proteger tus créditos de los abusos y a tus proveedores de las ráfagas. Los límites se cuentan en ventanas de tiempo fijas (de un segundo para los límites del plan y de la clave, y de la duración que elijas para el límite por IP).

Por organización (plan)

Todas las solicitudes de una organización juntas (con clave pública y privada) comparten un límite que depende del plan:

Plan	Solicitudes por segundo (por organización y por clave)	Envíos de prueba / día
Free	2	20
Starter	5	20
Pro	20	20
Business 50k	50	20
Business 100k	50	20
Business 200k	50	20

Una solicitud por lotes cuenta como una sola solicitud para el límite, pero cada mensaje que contiene gasta un crédito: usa /v1/send-batch para los envíos masivos desde servidores.

Por dirección IP

Las solicitudes con clave pública también se limitan por IP del cliente, para que un solo visitante o bot no pueda agotar el límite de tu organización. El valor por defecto es 10 solicitudes cada 60 segundos por IP. Los propietarios y administradores lo cambian en Seguridad → Rate limit por IP con dos campos, Solicitudes y Cada (segundos); la página lo resume como Como máximo N solicitudes cada M segundos desde una misma dirección IP. Las solicitudes con clave privada no se limitan por IP. Los clientes IPv6 se cuentan por red /64 (el bloque que suele recibir una sola conexión doméstica o de servidor), así que rotar direcciones dentro de ella no le sirve de nada a un bot. La dirección del cliente se toma de la CDN de Frontmail; las solicitudes que intentan saltársela se rechazan.

Por clave

Las solicitudes también se cuentan por clave, con el mismo límite por segundo que tu plan.

En las solicitudes con clave pública, los límites del plan y de la clave (y la detección de anomalías) solo cuentan las solicitudes que han superado la búsqueda de la plantilla y, cuando la plantilla lo exige, la comprobación de la CAPTCHA. Una avalancha de solicitudes no válidas (template_id desconocido, falta el token de Turnstile) se rechaza sin agotar el límite que necesitan tus visitantes reales; a esas solicitudes solo se les aplica una protección generosa contra avalanchas (al menos 50 solicitudes por segundo y organización). Da a cada servidor o tarea su propia clave privada: si alguno se porta mal, lo verás en Seguridad → Claves privadas (Último uso) y podrás revocar solo esa clave.

Cuando alcanzas un límite

La API responde con 429 rate_limited y una cabecera Retry-After en segundos. Los SDK esperan y reintentan automáticamente cuando Retry-After es de 60 segundos como máximo. Las solicitudes limitadas no gastan créditos.

HTTP/1.1 429 Too Many Requests
Retry-After: 2

{ "error": { "code": "rate_limited", "message": "Too many requests.", "docs_url": "https://docs.frontmail.dev/reference/errors/#rate-limited" } }

Tu proveedor de correo también tiene sus propios límites (por ejemplo, Amazon SES en modo sandbox permite 1 mensaje por segundo). El proceso de envío los respeta espaciando las entregas: esto retrasa los mensajes, pero no rechaza tus solicitudes.

Otras protecciones

La detección de anomalías ralentiza los picos repentinos e inusuales de solicitudes con clave pública a una solicitud cada dos segundos.
Las subidas prefirmadas con la clave pública (POST /v1/uploads) tienen un presupuesto diario de bytes por organización (200 × el límite de adjuntos de tu plan).
La opción limitRate del SDK limita la frecuencia de un solo navegador (consulta Protección contra bots).
El perímetro (CloudFront + AWS WAF) bloquea las avalanchas antes de que lleguen a la API.
El panel tiene sus propios límites por usuario, p. ej. 10 envíos de prueba por minuto, además del límite diario de envíos de prueba del plan que aparece en la tabla anterior.