Rate limiting chroni system przed nadużyciami i skokami ruchu (zwykle zwracając HTTP 429). Możesz go egzekwować na edge (CDN/WAF), w API gateway/load balancerze i w samej aplikacji. Im wcześniej, tym oszczędniej, ale aplikacja i tak powinna mieć zabezpieczenia, bo nie każdy ruch przechodzi przez jeden punkt wejścia.