@imenam/mcp-http-gateway 2.0.19 → 2.0.20

package/README.md

@@ -55,6 +55,10 @@ GATEWAY_CONFIG_DIR=./config
 | `GATEWAY_ADMIN_TOKEN` | — | Active `POST /admin/reload` et en est le jeton. Absent, la route n'existe pas. Voir [Rechargement à chaud](#rechargement-à-chaud). |
 | `GATEWAY_SCOPE_SECRET` | — | Impose un périmètre d'accès signé sur chaque requête. Absent, toute requête voit tous les MCP et tous les outils. Voir [Périmètre d'accès](#périmètre-daccès). |
 | `GATEWAY_BODY_LIMIT` | `32mb` | Taille maximale du corps d'une requête. Le défaut d'express (100 ko) ne suffit pas dès qu'un appel d'outil porte le contenu d'un fichier en base64 ; au-delà de cette limite, la réponse est un `413`. Ne s'applique pas aux routes de [relais HTTP](#relais-http-mcp_http_relay_port). |
+| `RATE_LIMIT_GLOBAL_MAX` / `RATE_LIMIT_GLOBAL_WINDOW_MINUTES` | `1000` / `1` | Requêtes acceptées par IP sur la fenêtre, toutes routes confondues ; au-delà, la réponse est un `429`. `0` désactive la limite. |
+| `RATE_LIMIT_SEARCH_MAX` / `RATE_LIMIT_SEARCH_WINDOW_MINUTES` | `30` / `1` | Même principe pour `/tools/search`, en plus de la limite globale. `0` désactive la limite. |
+
+Derrière un frontal qui authentifie déjà les appelants et borne leur fréquence, comme mcp-gateway-manager, les deux limites se mettent à `0`.
 
 ### `mcp-servers.json`
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@imenam/mcp-http-gateway",
-  "version": "2.0.19",
+  "version": "2.0.20",
   "type": "module",
   "description": "HTTP gateway that exposes MCP servers as REST routes — bridge between MCP and any HTTP-capable agent",
   "main": "server.js",

package/server.js

@@ -198,28 +198,33 @@ async function main() {
     isRelayPath(registry.relayPrefixes, req.path) ? next() : jsonParser(req, res, next)
   );
 
-  const globalWindowMin = parseInt(process.env.RATE_LIMIT_GLOBAL_WINDOW_MINUTES ?? '15', 10);
-  const globalMax       = parseInt(process.env.RATE_LIMIT_GLOBAL_MAX ?? '300', 10);
+  // Une limite à 0 désactive le compteur correspondant.
+  const globalWindowMin = parseInt(process.env.RATE_LIMIT_GLOBAL_WINDOW_MINUTES ?? '1', 10);
+  const globalMax       = parseInt(process.env.RATE_LIMIT_GLOBAL_MAX ?? '1000', 10);
   const searchWindowMin = parseInt(process.env.RATE_LIMIT_SEARCH_WINDOW_MINUTES ?? '1', 10);
   const searchMax       = parseInt(process.env.RATE_LIMIT_SEARCH_MAX ?? '30', 10);
 
-  app.use(rateLimit({
-    windowMs: globalWindowMin * 60_000,
-    max: globalMax,
-    standardHeaders: 'draft-8',
-    legacyHeaders: false,
-    message: { error: 'Too Many Requests' },
-  }));
-  console.log(`[gateway] Rate limit — global: ${globalMax} req/${globalWindowMin} min/IP`);
-
-  const searchLimiter = rateLimit({
-    windowMs: searchWindowMin * 60_000,
-    max: searchMax,
+  const limiter = (windowMin, max) => rateLimit({
+    windowMs: windowMin * 60_000,
+    limit: max,
     standardHeaders: 'draft-8',
     legacyHeaders: false,
     message: { error: 'Too Many Requests' },
   });
-  console.log(`[gateway] Rate limit — /tools/search: ${searchMax} req/${searchWindowMin} min/IP`);
+
+  if (globalMax > 0) {
+    app.use(limiter(globalWindowMin, globalMax));
+    console.log(`[gateway] Rate limit — global: ${globalMax} req/${globalWindowMin} min/IP`);
+  } else {
+    console.log('[gateway] Rate limit — global: disabled');
+  }
+
+  const searchLimiter = searchMax > 0
+    ? limiter(searchWindowMin, searchMax)
+    : (req, res, next) => next();
+  console.log(searchMax > 0
+    ? `[gateway] Rate limit — /tools/search: ${searchMax} req/${searchWindowMin} min/IP`
+    : '[gateway] Rate limit — /tools/search: disabled');
 
   const verifier = createMcpTokenVerifier();
   if (verifier) {