O teste de DDoS e o teste de carga enviam grandes volumes de tráfego a um sistema, por isso costumam ser confundidos. Seus objetivos, porém, são diferentes. O teste de carga verifica se o seu aplicativo tem desempenho aceitável quando muitos usuários reais chegam. O teste de DDoS verifica se suas defesas resistem quando o tráfego é projetado para sobrecarregá-las ou esgotá-las. Escolher o teste errado pode deixar a pergunta real sem resposta. Este guia compara os dois e ajuda você a decidir qual executar primeiro.
O que é
Os testes de carga e de estresse simulam o comportamento realista dos usuários: navegar, fazer login, pesquisar, adicionar ao carrinho, finalizar a compra ou chamar APIs. Os testes elevam o tráfego até os níveis esperados e de pico e, às vezes, além deles, para encontrar os pontos de ruptura. Os resultados se concentram em tempos de resposta, taxas de erro, vazão e uso de recursos, e ajudam a identificar gargalos como consultas lentas ao banco de dados, pools de conexão limitados ou escalonamento automático que reage devagar demais. O teste de resiliência a DDoS simula padrões de tráfego hostil: inundações na camada de rede, esgotamento de conexões ou grandes volumes de requisições de aplicação projetadas para contornar o cache. Os resultados se concentram em verificar se os serviços de mitigação, a limitação de taxa (rate limiting), as regras de WAF e as proteções upstream detectam e absorvem o tráfego, quanto tempo isso leva e qual impacto os usuários legítimos sofrem. O teste de carga trata principalmente de capacidade e eficiência; o teste de DDoS trata principalmente de proteção e resposta. Ambos exigem escopo por escrito, limites seguros e condições de parada, e o teste de DDoS exige, na maioria dos casos, também a aprovação do provedor.
Para Quem É
Esta comparação ajuda equipes que:
- Estão se preparando para um lançamento, uma campanha ou um pico sazonal e querem confiança na capacidade
- Contrataram uma CDN ou um serviço de mitigação de DDoS e querem ver como ele se comporta
- Tiveram lentidão ou indisponibilidade e não sabem se a causa foi carga ou um ataque
- Precisam explicar à gestão por que dois testes de tráfego estão sendo propostos
O Que Isso Ajuda A Esclarecer
Comparar os dois ajuda a esclarecer:
- Se o seu principal risco é a demanda real superar a capacidade ou o tráfego hostil superar a proteção
- Qual ambiente é adequado: um ambiente de staging semelhante à produção para testes de carga ou uma janela coordenada em produção para testes de resiliência
- Quais métricas importam: tempo de resposta e taxa de erro, ou detecção, tempo de mitigação e impacto nos usuários
- Quais provedores precisam ser informados ou aprovar a atividade
O que está incluído
- Escolha o teste de carga se: um lançamento ou pico se aproxima, o desempenho é uma reclamação recorrente ou você mudou a arquitetura ou a hospedagem
- Escolha o teste de DDoS se: você depende de serviços de mitigação que nunca viu em ação, opera um serviço de alta visibilidade ou clientes ou parceiros perguntam sobre resiliência
- Para o teste de carga: defina as jornadas dos usuários, os volumes esperados e de pico, os dados de teste e os critérios de sucesso
- Para o teste de DDoS: defina os cenários de ataque, as taxas máximas, as aprovações dos provedores e as condições de parada
- Para ambos: acorde ambientes, janelas, monitoramento, contatos nomeados e relatórios
- Considere a sequência: corrija os problemas de capacidade encontrados no teste de carga antes de testar as proteções
O que não está incluído
- Afirmação de que qualquer um dos testes assegura disponibilidade ou protege contra todos os eventos de tráfego futuros
- Testes sem autorização por escrito e sem aprovação do provedor quando exigida
- Monitoramento contínuo ou resposta a incidentes, salvo se definidos em escopo separado
- Técnicas detalhadas de geração de tráfego
Quando Escolher
Se estiver em dúvida, comece pela pergunta que precisa responder. Se a pergunta for “conseguimos atender os clientes esperados no dia do lançamento?”, execute um teste de carga. Se a pergunta for “nossas proteções resistiriam se alguém tentasse nos derrubar?”, execute um teste de resiliência a DDoS. Muitas organizações fazem os dois em sequência: o teste de carga para estabelecer uma linha de base saudável e, depois, o teste de resiliência para avaliar as proteções em relação a essa linha de base.
Nossa abordagem
Defina o que é sucesso antes de testar. No teste de carga, isso pode ser tempos de resposta aceitáveis com um determinado número de usuários simultâneos. No teste de resiliência, pode ser o tempo que a mitigação leva para entrar em ação e o nível de impacto que os usuários legítimos sofrem enquanto isso acontece. Nosso serviço Application Load & Stress Testing avalia o comportamento do aplicativo sob cenários de uso, níveis de carga, ambientes e limites de segurança acordados. Nosso serviço DDoS Resilience Testing avalia cenários de disrupção acordados dentro de limites definidos por escrito, incluindo a coordenação com os provedores. Cada um produz observações por escrito e recomendações priorizadas, e correção ou monitoramento contínuo podem ser adicionados em um escopo acordado separadamente. Se planeja os dois, defina o escopo de ambos em conjunto, para que ambientes, contatos e formatos de relatório fiquem alinhados e os resultados possam ser comparados.
Perguntas Frequentes
Artigos relacionados
Começar
Quer ajuda para escolher o teste de tráfego certo para a sua situação?
Conte-nos sobre seu aplicativo, sua hospedagem, seus provedores e o evento ou risco para o qual está se preparando. Recomendaremos um escopo de teste proporcional.
Solicitar um escopo por escrito