Quando o limite de um inquilino integrado deve interromper o envio

O SaaS multi-inquilino integrado precisa de limites de compartilhamento justo para que um inquilino com tráfego excessivo não esgoste o saldo pré-pago compartilhado nem prejudique os outros inquilinos. Um limite que apenas exibe um aviso no painel enquanto a API continua aceitando envios é apenas ilusório. Quando o inquilino atinge o limite, o envio para esse inquilino deve parar com um erro explícito de produto e um código de status de API de erro mapeado. Respostas falsas 200 de entrega destroem a reconciliação e incentivam abusos.

Os limites residem na camada do produto ISV — não substituem os limites de taxa de subinquilinos do parceiro e não justificam descartes silenciosos na fila.

Atingir o limite significa recusar o envio, não avisar suavemente para sempre

Avisos suaves são apenas alertas precoces. Ao atingir o teto rígido, o serviço integrado retorna um erro de limite atingido e não chama a API de mensagens para novas intenções. Mensagens já aceitas e em processamento podem terminar; novos envios de OTP e campanhas devem aguardar a redefinição ou um aumento aprovado.

Nunca gerar sucesso de entrega em um caminho com limite atingido

Alinhar limites de produto com linhas de bloqueio da carteira

Um inquilino pode estar abaixo do seu limite de compartilhamento justo enquanto a linha de bloqueio da carteira do ISV já está ativa. Nesse caso, todo o caminho integrado é pausado — não apenas o inquilino ruidoso. Carteira com saldo não isenta um inquilino que já consumiu sua quota. Mantenha uma linguagem de status única: inquilino limitado vs conta pausada vs ambos.

Testar a parada em staging com um inquilino ruidoso

Antes da produção, execute um teste em staging: um inquilino envia alto volume de OTP até atingir o limite, os outros inquilinos continuam enviando normalmente e os relatórios mostram recusas sem falsos sucessos de entrega. Se os outros inquilinos pararem, o escopo está incorreto. Se o inquilino ruidoso continuar vendo confirmações verdes, o bloqueio está quebrado.

Caminhos de operações relacionados

• Aplicação segura de limites de taxa em contas multi-inquilino
• Estouro de fila: parar, não descartar silenciosamente
• limites de bloqueio da carteira antes da produção

Comece com a IOSOR

Abra o console do IOSOR e configure os limites de cota justa do subinquilino para impor recusas rígidas no portão de envio quando os tetos forem atingidos. Configure o mapeamento de resposta da sua API para que os inquilinos limitados recebam um erro de status explícito em vez de uma carga útil aceita. Execute um teste de homologação com um inquilino ruidoso para garantir que o tráfego dos vizinhos flua livremente, enquanto os envios bloqueados são registrados como entradas de recusa explícitas.

Conclusão IOSOR

Avisos suaves falham em proteger as filas de downstream quando um único subinquilino sofre um pico. Este guia operacional provou que os tetos de cota justa devem agir como uma recusa imediata no portão de envio, mantendo uma separação clara entre os estouros de cota do inquilino e as linhas de parada da carteira global.

Retorne respostas de status de limite distinto para a camada da sua aplicação para que os subinquilinos possam solicitar aumentos de limite adequadamente. Não retorne aceitação 200 falsa ou confirmações de entrega para tentativas limitadas, pois inventar um sucesso falso oculta falhas reais de entrega e arruína a auditabilidade do inquilino.