Essentials and Professional

Authentication API: Essentials および Professional の料金プランにおける Authentication API と API エンドポイントのレート制限。

API	バーストリクエスト上限	継続リクエスト上限
Authentication API	25	25/second

エンドポイント	メソッド	バーストリクエスト上限	継続リクエスト上限	制限タイプ
ユーザー情報	`GET`, `POST`	10	5/minute	一意のユーザー ID ごと
Change Password Universal Login を使用したパスワードのリセット	`POST`	10	1/minute	IP アドレスと一意のメールアドレスの組み合わせごと
パスワードレスのコードまたはリンクを取得	`GET`, `POST`	50	50/hour	IP アドレスごと
ネイティブソーシャルログイン (Apple / Facebook のみ)	`POST`	50	500/minute	Apple または Facebook のネイティブソーシャルログインに対するすべてのリクエスト
動的アプリケーション (クライアント) 登録	`POST`	5	5/second	すべてのリクエスト
Universal Logout	`POST`	35	35/second	すべてのリクエスト
プッシュ型認可リクエスト (PAR)	`POST`	100	100/second	IP アドレスごと
バックチャネル authorize (CIBA)	`POST`	500	500/minute	IP アドレスごと
デバイスコードのアクティベーション (prompt なし)	`POST`	30	6/second	IP アドレスごと
デバイスコード認可	`POST`	5	5/second	IP アドレスごと
MFA アウトオブバンドトークン交換	`POST`	12	12/minute	一意のセッションごと
カスタムトークン交換	`POST`	4	4/second	すべてのリクエスト
On-Behalf-Of Token Exchange	`POST`	8	8/second	すべてのリクエスト
クロスアプリアクセス (ID-JAG 交換)	`POST`	25	25/second	すべてのリクエスト

*デフォルトの上限を表します。Signup endpoint の上限は Auth0 Dashboard で設定できます。詳細は、不審な IP スロットリングを参照してください。

Management API: Essentials および Professional の料金プランにおける、Management API、API エンドポイント、および API エンドポイントグループのレート制限。

エンドポイント	メソッド	バーストリクエスト上限	継続リクエスト上限	制限タイプ
Organizations の取得	`GET`	5	50/minute	すべてのリクエスト
ID による Organizations の取得	`GET`	20	200/minute	すべてのリクエスト
名前による Organizations の取得	`GET`	10	100/minute	すべてのリクエスト
Organizations の管理	`POST`, `PATCH`, `DELETE`	5	25/minute	すべてのリクエスト
organization のメンバーの取得	`GET`	40	500/minute	すべてのリクエスト
organization のメンバーの管理	`POST`, `DELETE`	20	200/minute	すべてのリクエスト
organization に属するメンバーの取得	`GET`	20	200/minute	すべてのリクエスト
organization のメンバーロールの取得	`GET`	20	200/minute	すべてのリクエスト
organization のメンバーロールの管理	`POST`, `DELETE`	20	200/minute	すべてのリクエスト
Organization Connections の取得	`GET`	5	50/minute	すべてのリクエスト
Organization Connections の管理	`POST`, `PATCH`, `DELETE`	5	25/minute	すべてのリクエスト
Users の取得	`GET`	40	500/minute	すべてのリクエスト
Users の管理	`POST`, `PATCH`	20	200/minute	すべてのリクエスト
Users の管理	`DELETE`	20	200/minute	すべてのリクエスト
ログの取得	`GET`	10	100/minute	すべてのリクエスト
クライアントの取得	`GET`	5	100/minute	すべてのリクエスト
接続の取得	`GET`	5	50/minute	すべてのリクエスト
デバイス資格情報の管理	`POST`, `DELETE`	5	100/minute	すべてのリクエスト
カスタムドメインの管理	`POST`	5	5/minute	すべてのリクエスト
接続ステータスの取得	`GET`	100	15/second	すべてのリクエスト
署名鍵の管理	`POST`	5	5/day	すべてのリクエスト
プロンプトの partials の取得	`GET`	5	5/minute	すべてのリクエスト
プロンプトの partials の管理	`PUT`	5	5/minute	すべてのリクエスト
クライアントの取得 `q` パラメーターの使用時にのみ適用されます。	`GET`	5	150/minute	すべてのリクエスト
organization のクライアントグラントの取得	`GET`	10	100/minute	すべてのリクエスト
organization のクライアントグラントの管理	`POST`	5	150/minute	すべてのリクエスト
メールテンプレートの管理	`POST`, `PATCH`, `DELETE`	5	25/minute	すべてのリクエスト
メールテンプレートの取得	`GET`	10	50/minute	すべてのリクエスト
メールプロバイダーの管理	`POST`, `PATCH`, `DELETE`	5	25/minute	すべてのリクエスト
メールプロバイダーの取得	`GET`	5	25/minute	すべてのリクエスト
Token Exchange プロファイルの作成・更新・削除	`POST`, `PATCH`, `DELETE`	5	100/minute	すべてのリクエスト
Token Exchange プロファイルの取得	`GET`	20	200/minute	すべてのリクエスト
その他すべてのエンドポイントの合計	N/A	10	150/minute	すべてのリクエスト

SCIM API: エンタープライズ接続を含むパブリッククラウドのサブスクリプションにおける、インバウンドSCIM APIエンドポイントのレート制限。

接続とテナントの制限は、リクエストごとに順番に評価されます。まず接続の制限が確認され、接続の制限を超えていない場合にのみテナントの制限が確認されます。接続、テナントレベル:

リソース	バースト制限	継続制限	更新間隔	スコープ
SCIM API レート制限 – /scim/v2/connections/{connection-id} エンドポイント (接続スコープ)	25	25	秒	接続、テナント

テナントレベル:

リソース	バースト制限	継続制限	更新間隔	スコープ
SCIM API レート制限 – テナントスコープ (すべての SCIM エンドポイントに適用)	100	100	秒	テナント

エンドポイント	メソッド	バーストリクエスト上限	継続リクエスト上限	制限種別
Universal Loginプロンプト (全体)	`GET`, `POST`	500	500/分	IPアドレス単位
Universal Loginプロンプト (プロンプトごと)	`GET`	20	10/分	IPアドレスおよびstate値単位
Universal Loginプロンプト (プロンプトごと)	`POST`	10	5/分	IPアドレス単位
パスワードリセットプロンプト	`GET`	500	500/分	IPアドレス単位
MFAプッシュ登録プロンプト	`GET`, `POST`	500	500/分	IPアドレス単位
MFAプッシュチャレンジプロンプト	`GET`, `POST`	500	500/分	IPアドレス単位
MFA SMS登録プロンプト	`GET`	20	10/分	IPアドレス単位
MFA SMS登録プロンプト	`POST`	10	5/分	IPアドレス単位
MFA SMS登録確認プロンプト	`GET`	20	10/分	IPアドレス単位
MFA SMS登録確認プロンプト	`POST`	10	5/分	IPアドレス単位
パスワードレスSMSチャレンジプロンプト	`GET`, `POST`	5	5/分	IPアドレス単位
パスワードレスメールチャレンジプロンプト	`GET`, `POST`	5	5/分	IPアドレス単位
電話番号認証登録プロンプト	`GET`, `POST`	5	5/分	IPアドレス単位
電話番号認証チャレンジプロンプト	`GET`, `POST`	5	5/分	IPアドレス単位
デバイスコードプロンプト	`GET`, `POST`	5	5/秒	IPアドレス単位

追加のMFAレート制限: 追加のMFAレート制限。

エンドポイント	バーストリクエスト制限	継続的リクエスト制限	制限タイプ	制限
OTP (6桁の数字) の失敗回数	10	10	1時間あたり	一意のユーザー ID ごと
リカバリーコードの失敗回数	10	10	1時間あたり	一意のユーザー ID ごと
WebAuthn チャレンジの失敗回数	15	15	1分あたり	一意のユーザー ID ごと
生成された WebAuthn チャレンジ数	15	15	1分あたり	一意のユーザー ID ごと
ユーザーごとに送信されるプッシュ通知の数	5	5	1分あたり	一意のユーザー ID ごと
ユーザーごとに送信される SMS の数	10	1	1時間あたり	一意のユーザー ID ごと
ユーザーごとに送信される Email の数	20	1	1分あたり	一意のユーザー ID ごと

My Account API: Essentials プランおよび Professional プランの My Account API エンドポイントに対するレート制限。

各 My Account API エンドポイントには、2 つのレート制限ポリシーが適用されます。主要な防御としてのテナント単位のポリシー (スコープ: tenant、間隔: second) と、補助的な防御としてのユーザー単位のポリシー (スコープ: tenant + user、間隔: minute) です。一部のポリシーは endpoint_params に分類されており、特定のクエリパラメーター (例: ?type=) が指定されている場合にのみ適用され、対になるポリシーと物理的なエンドポイントを共有します。テナントレベル:

リソース	バースト上限	継続上限	更新レート	スコープ
My Account API Rate Limit – Authentication Methods Read (Tenant Scope) — Essentials and Professional	5	5	second	Tenant
My Account API Rate Limit – Authentication Methods Read Filtered (Tenant Scope) — Essentials and Professional	20	20	second	Tenant
My Account API Rate Limit – Authentication Methods Write (Tenant Scope) — Essentials and Professional	5	5	second	Tenant
My Account API Rate Limit – Connected Accounts Create Flow (Tenant Scope) — Essentials and Professional	5	5	second	Tenant
My Account API Rate Limit – Connected Accounts Read Accounts (Tenant Scope) — Essentials and Professional	5	5	second	Tenant
My Account API Rate Limit – Connected Accounts Read Connections (Tenant Scope) — Essentials and Professional	5	5	second	Tenant
My Account API Rate Limit – Connected Accounts Write (Tenant Scope) — Essentials and Professional	1	1	second	Tenant
My Account API Rate Limit – Factors Read (Tenant Scope) — Essentials and Professional	25	25	second	Tenant
My Account API Rate Limit – Organizations Read (Tenant Scope) — Essentials and Professional	5	5	second	Tenant

テナント、ユーザーレベル:

リソース	バースト上限	継続上限	更新レート	スコープ
My Account API Rate Limit – Authentication Methods Read (User Scope) — Essentials and Professional	5	5	minute	Tenant, User
My Account API Rate Limit – Authentication Methods Read Filtered (User Scope) — Essentials and Professional	10	10	minute	Tenant, User
My Account API Rate Limit – Authentication Methods Write (User Scope) — Essentials and Professional	5	5	minute	Tenant, User
My Account API Rate Limit – Connected Accounts Create Flow (User Scope) — Essentials and Professional	10	10	minute	Tenant, User
My Account API Rate Limit – Connected Accounts Read Accounts (User Scope) — Essentials and Professional	5	5	minute	Tenant, User
My Account API Rate Limit – Connected Accounts Read Connections (User Scope) — Essentials and Professional	5	5	minute	Tenant, User
My Account API Rate Limit – Connected Accounts Write (User Scope) — Essentials and Professional	5	5	minute	Tenant, User
My Account API Rate Limit – Factors Read (User Scope) — Essentials and Professional	5	5	minute	Tenant, User
My Account API Rate Limit – Organizations Read (User Scope) — Essentials and Professional	1	1	minute	Tenant, User

My Organization API: 不可欠およびプロフェッショナルのサブスクリプションタイプにおける My Organization API のレート制限。

2 段階のレート制限: org バケット (主となる制限で、レスポンスヘッダーに反映されます) + テナントバケット (テナント内のすべての org を横断する副次的な上限)。テナントレベル:

リソース	バースト上限	継続上限	更新レート	スコープ
My Org API のレート制限 – 読み取りエンドポイント (テナントスコープ)	8	8	秒	Tenant
My Org API のレート制限 – 書き込みエンドポイント (テナントスコープ)	8	4	秒	Tenant

Organization レベル:

リソース	バースト上限	継続上限	更新レート	スコープ
My Org API のレート制限 – 読み取りエンドポイント (Organization スコープ)	8	4	秒	Organization
My Org API のレート制限 – 書き込みエンドポイント (Organization スコープ)	4	2	秒	Organization