429 Too Many Requests Hatası Nedir? Nedenleri ve Çözüm Yöntemleri

429 Too Many Requests, bir istemcinin belirli bir zaman aralığında sunucuya izin verilenden fazla istek göndermesi üzerine dönen HTTP durum kodudur. Kod 4xx sınıfındadır; sorun istemcinin istek davranışındadır, ama eşiği belirleyen taraf sunucudur. Hata geçicidir: sayaç sıfırlandığında aynı adres normal yanıt alır.

Bu davranışın adı istek sınırlama (rate limiting). Eşiği dolduran yoğunluğu çoğunlukla beş kaynak üretir: bot taraması, giriş denemeleri, döngüye giren bir eklenti, dış servis kotası ya da gerçek trafik artışı. Sunucu 429 yanıtıyla Retry-After başlığı da gönderir, isteğin ne kadar sonra tekrarlanabileceğini bildirir.

Aşağıda kodun anlamını, istek sınırlamanın mekanizmasını, nedenlerini, WordPress’teki sıklığını, çözümünü, sunucu tarafındaki yapılandırmasını ve komşu kodlardan ayrımını açıklıyoruz.

429 Too Many Requests hatası ne anlama gelir?

429 Too Many Requests hatası, bir istemcinin belirli bir zaman penceresinde sunucunun izin verdiğinden fazla istek göndermesi anlamına gelir. Kod 4xx sınıfındadır, ama bu sunucunun tarafsız kaldığını göstermez: eşiği tanımlayan ve sayacı tutan taraf sunucudur. Durum kodu RFC 6585 belgesiyle 2012 yılında standartlaştırıldı.

Yanıtla gönderilen Retry-After başlığı bekleme süresini bildirir; Retry-After: 60 değeri 60 saniye demektir. Aynı durum “Error 429”, “HTTP 429” veya “çok fazla istek” olarak da görünebilir.

Hatanın hangi anda tetikleneceğini, sunucunun sayacı nasıl tuttuğu belirler.

İstek sınırlama (rate limiting) nasıl çalışır?

İstek sınırlama, sunucunun her istemci için sayaç tutup penceredeki eşiği aşan isteği reddetmesiyle çalışır. Dört bileşeni vardır: sayacın sahibini belirleyen anahtar (IP adresi, oturum veya API anahtarı), zaman penceresi, üst sınır olan eşik ve sınır dolunca uygulanan eylem. Dakikada 60 istek eşiğinde 61. istek 429 alır.

Sayaç üç yöntemle tutulur:

• Sabit pencere. Sayaç her dakika başında sıfırlanır, pencere sınırındaki yığılmalara açıktır.
• Kayan pencere. Son 60 saniye geriye doğru hesaplanır, sınır atlatması engellenir.
• Jeton kovası (token bucket). Biriken jetonlar kısa süreli yığılmaya (burst) izin verir, ortalama hız sabit kalır.

Sınır; uygulamada, web sunucusunda ya da öndeki web uygulama güvenlik duvarında kurulabilir. Bu katmanı WAF (Web Application Firewall) Nedir? Ne İşe Yarar ve Nasıl Çalışır? yazısında ayrıntılandırdık. İsteğin kimden geldiği ise hatanın nedenini belirler.

429 Too Many Requests hatası neden alınır?

429 hatası, tek kaynaktan kısa sürede yoğun istek gelmesiyle oluşur; bu yoğunluğu üreten kaynaklar aşağıdadır:

• Otomatik tarayıcılar ve botlar. Kötü niyetli tarayıcılar saniyeler içinde yüzlerce sayfa ister; yığılma dağıtıksa saldırıya döner. Bunu DDoS Saldırısı Nasıl Anlaşılır ve Nasıl Engellenir? Müdahale Rehberi yazısında anlattık.
• Giriş ve kimlik doğrulama denemeleri. wp-login.php gibi uç noktalara gönderilen parola denemeleri ilk sınırlanan istek türüdür.
• Döngüye giren eklenti veya zamanlanmış görev. Yanlış aralıkla kurulmuş görevler kendini tetikleyen istek zincirleri üretir.
• İstemci tarafı otomasyon. Paket yöneticileri ve kütüphanelerle çalışan betikler saniyede onlarca çağrı yapabilir.
• Üçüncü taraf servis kotası. Dış servisin limiti dolduğunda 429 sizin sunucunuzdan değil o servisten gelir; API Nedir? Ne İşe Yarar ve Nasıl Kullanılır? (2026) yazısı kotaları anlatıyor.
• Paylaşımlı pakette eşzamanlı işlem sınırı. Hesap başına tanımlı işlem tavanı dolunca yeni istekler reddedilir.

WordPress kurulumları bu nedenlerin birkaçını birlikte taşıdığı için 429’un en sık göründüğü ortamdır.

WordPress sitesinde 429 hatası neden sık görülür?

WordPress sitesinde 429 hatası sık görülür çünkü kurulumun üç noktası dışarıdan sürekli istek alır: wp-login.php, xmlrpc.php ve /wp-json/ REST uç noktası. xmlrpc.php, system.multicall ile tek istekte çok sayıda çağrı taşıdığı için sayacı en hızlı doldurur.

Dördüncü kaynak wp-cron’dur: görevler her ziyarette tetiklendiğinden istek sayısı trafikle çoğalır. Beşincisi eklenti güncelleme kontrolleridir. Bu uç noktaların hangisinin kapatılacağı değil, hangisinin sınırlanacağı sorulmalıdır; sertleştirmeyi WordPress Güvenliği Nasıl Sağlanır? Kapsamlı Kontrol Listesi yazısında sıraladık.

Neden belirlendikten sonra çözüm ikiye ayrılır: isteği azaltmak ya da sınırı doğru eşiğe kurmak.

429 Too Many Requests hatası nasıl çözülür?

429 hatası, isteği üreten kaynak bulunup istek hızı düşürülerek ya da sınır doğru eşikte tanımlanarak çözülür. Adımları sırayla uygulayın:

1. Bekleyin. Retry-After süresi kadar bekleyip isteği tekrarlayın.
2. Erişim loglarını açın. 429 dönen istekleri IP ve user-agent kırılımında sayın; Sunucu Logları Nedir? Nasıl Okunur ve İzlenir? yazısı satır okumayı anlatıyor.
3. Ayırt edin. Yoğunluk tek IP adresinden geliyorsa çözüm engelleme, dağıtıksa kapasitedir.
4. Sınırlayın. Kaynağı bulunan IP veya uç nokta için ayrı eşik tanımlayın, tüm siteyi tek eşiğe bağlamayın.
5. Azaltın. Gereksiz eklenti isteklerini kapatın, görev sıklığını seyreltin, dış çağrıları toplulaştırın.
6. Önbelleğe alın. Önbellekten karşılanan yanıt sunucuya ulaşmaz, sayaç işlemez; Cache Nedir? Hostingte Cache Katmanları Nasıl Çalışır? yazısı katmanları açıklıyor.
7. Yükseltin. Limit optimizasyona rağmen düzenli doluyorsa sorun pakete tanımlı kaynaktadır.

Dördüncü adım, sınırın sunucu tarafında nasıl kurulduğunu bilmeyi gerektirir.

Sunucu tarafında istek limiti nasıl yapılandırılır?

Sunucu tarafında istek limiti, web sunucusu yazılımında bir bölge ve bir eşik tanımlanarak yapılandırılır. NGINX’te limit_req_zone ile IP anahtarına bağlı bölge açılır, rate=10r/s eşiği verilir, burst=20 nodelay ile yığılmalara tolerans tanınır. Kritik ayrıntı yanıt kodundadır: NGINX limite takılan isteğe varsayılan olarak 503 döner, 429 için limit_req_status 429 satırı eklenmelidir. Yazılımı NGINX Nedir? Hangi Amaçla Kullanılır? yazısında ele aldık; Apache’de aynı işi mod_ratelimit ve mod_evasive üstlenir.

Paylaşımlı barındırmada sınır hesap düzeyindedir: CloudLinux her hesap için eşzamanlı işlem ve giriş/çıkış tavanı tanımlar; bunu CloudLinux Nedir? Hosting Sunucularında Ne İşe Yarar? yazısında açıkladık. Arama motoru botlarına ayrı ve daha yüksek eşik tanımlamalısınız.

Doğru eşik kurulunca geriye yanıtın 429 mu, komşu bir kod mu olduğunu ayırmak kalır.

429 hatası diğer sunucu hatalarından nasıl ayrılır?

429, sunucunun çalıştığı ama isteği bilinçli olarak ertelediği tek durum kodudur. Komşu kodlarla ayrımı aşağıdadır:

Karışıklığın kaynağı yapılandırmadır: bazı güvenlik katmanları hız sınırına takılan isteğe 403 Forbidden Hatası Nedir? Nedenleri ve Çözüm Yöntemleri kodunu, bazı sunucular varsayılan olarak 503 Service Unavailable Hatası Nedir ve Nasıl Çözülür? kodunu döndürür. Doğru teşhis için limit_req_status değeri 429 olmalıdır.

429 Too Many Requests hakkında sık sorulan sorular

429 hatası SEO’yu etkiler mi?

Evet, 429 hatası uzun sürerse arama motoru görünürlüğünü etkiler. Googlebot 429 aldığında tarama hızını düşürür. Birkaç saatlik 429 zararsızdır; günlerce sürerse tarama bütçesi daralabilir, sayfalar dizinden düşebilir. Bot user-agent’ları için ayrı eşik tanımlamalısınız.

429 hatası sunucu arızası mıdır?

Hayır, 429 hatası sunucu arızası değildir. Arıza durumları 5xx sınıfındadır; 429 sunucunun ayakta olduğunu ve isteği kural gereği reddettiğini gösterir. Sayaç istemci başına tutulur; 429 alan site aynı anda başka ziyaretçiye normal yanıt verebilir.

Hosting paketini yükseltmek 429 hatasını çözer mi?

Evet, sınır hesaba tanımlı kaynağın yetmemesinden geliyorsa paket yükseltmek 429 hatasını çözer. İstek yükü kötü niyetliyse yükseltme çözmez; filtreleme gerekir. Eşzamanlı işlem sınırı paylaşımlı paketlerde hesap başına tanımlıdır, “sınırsız” ilan edilenlerde bile vardır; gerçekte sınırlanan kaynakları Sınırsız Hosting Nedir? Sınırsız Paketlerde Gerçekte Sınırlanan 5 Kaynak yazısında listeledik. Ayrılmış kaynakta eşiği siz belirlersiniz: Sanal Sunucu Kiralama (NVMe VDS Sunucu) paketlerinde işlem ve bellek tavanı size tahsis edilir. Kaynak limitine düzenli takılıyorsanız sorun yapılandırmada değil, pakettedir.