制限

各プラン

コンピューティング（アカウントの全プロジェクトで同時に）

作成の速さ

キューブ

1 つのリージョンにあるアプリのインスタンスは、稼働中、一時停止中、スリープ中のすべてを数えます。キー別インスタンスはサンドボックスで、稼働中のサンドボックス、スリープ中に保持するサンドボックス、1 分間と 1 時間に作成するサンドボックスに数えられ、キーの数に別の上限はありません。1 秒あたりのリクエストは、リクエストがインスタンスに届く前に、エッジごとに個別に数えます。超えるとエッジは Retry-After: 1 付きで 429 app_rate_limited を返し、そのリクエストは数えられず、課金もされません。キーのあるリクエストも同じく数えます。

ドライブとボリューム（1 プロジェクトあたり）

ドライブのフォークは、そのサイズの新しいドライブとして数えます。ドライブのスナップショットは数えないため、ドライブはスナップショットをいくつでも持て、それぞれ単独で保持する量で課金されます。ドライブのスナップショットとフォークを参照してください。

シークレット（1 プロジェクトあたり）

ログ

外向きの接続（マシンごと）

ネットワークルールでホストを指定したサンドボックスは、IPv4 でも IPv6 でも、外向きの TCP 接続をすべてマシンのエグレスプロキシ経由で送ります。ルールのないサンドボックスや、アドレスだけのルールを持つサンドボックスは経由しません。各マシンで、そこにあるアカウントのサンドボックスは、プロジェクトがいくつあっても、合わせて上記の数を共有します。それを超えると新しい接続は、再試行を促す形で拒否され（通常の HTTP 接続の最初のリクエストには 503 egress_connections_full（retryable）が返り、TLS ハンドシェイクはアラートで終わり、それ以外の接続はリセットされます）、ほかのアカウントの接続はそのまま続きます。1 つのサンドボックスが同時に持てるこうした接続は最大 2,048 で、どちらの方向にも何も流れない状態が 15 分続いた接続は閉じられます。

• 新しい接続は、アカウントのサンドボックス全体で、1 秒あたり最大 2,000、同時に 4,000 まで受け付けます。それを超えたものは待たされ、その速さで受け付けられます。これを理由に拒否されることはありません。
• プランが変わると、有料プランの割り当ては数秒以内に各マシンで適用され、無料プランの割り当ては、請求の条件と同じく翌月から適用されます。すでに開いている接続が小さい割り当てを超えていても切断はされず、自然に終わるのを待ちます。

プランの制限の仕組み

• **制限はクォータであり、予約ではありません。**制限内の呼び出しでも、マシンが満杯なら拒否されることがあります（503 no_capacity）。
• **上限に達しても、拒否されるのは新しいものだけです。**稼働中のものは動き続けます。稼働数や作成数の上限を超えることになる呼び出しは 403 plan_cap_reached を返し、param が上限を示し、メッセージが上限、使用量、増やす方法（有料プラン、またはアカウントの上限の引き上げの申請）を示します。レート（1 分間の作成数、1 時間の作成数）は retryable で、Retry-After が付きます。
• **復帰は、どのような形でも数えられます。**スリープ中のサンドボックスを復帰させる呼び出し（コマンド、ファイル、再起動、スナップショット、復元）は稼働数の上限の対象で、HTTP/1.1、HTTP/2、HTTP/3 のいずれでも、サンドボックスのリンクやキー別インスタンスのアドレスへのリクエストで復帰させることになるものも同じです。上限を超えると、マシンは 403 plan_cap_reached でリクエストを拒否し、何も復帰しません。スリープ中のサンドボックス専用の IPv6 アドレスや、プロジェクトのネットワーク上のアドレスへの接続も同じで、上限を超えると拒否（リセット）されます。スリープ中のサンドボックスで期限が来るタイマー（プロセスのタイマー、wake_daily_at で指定した時刻、データベースの pg_cron のジョブ）も、上限の範囲内でしか復帰させません。上限を超えると復帰は待たされ、アカウントに空きができるまで数秒ごとに再試行されます。アプリのスリープ中のインスタンスは、アカウントに空きがある間だけリクエストのために復帰させられ、空きがなければリクエストは稼働中のインスタンスに送られます。アカウントのものがスリープしている各マシンには、数秒ごとにアカウントの空きのうち自分の取り分が伝えられ、取り分の合計が空き全体になるため、複数のマシンで同時に復帰させても、合わせて上限を超えることはありません。アプリのインスタンスは、アプリ自身の取り分の範囲で復帰させられます。アカウントに残っている空きは、数秒ごとに、各リージョンが最近使った量に応じてアプリのリージョン間で分けられるため、すべてのリージョンのインスタンスを合わせても上限内に収まります。取り分以上を必要とするリージョンには、ほかのリージョンが使っていない分が数秒以内に回されます。1 台のマシンでの復帰は、アカウントに別のマシン（通常は別のリージョン）の空きが残っていても、数秒間拒否されることがあります。そのメッセージにはそう示され、取り分は数秒以内に分け直されます。スリープ中の 1 つのサンドボックスにリクエストが集中しても、復帰は 1 回だけで、それを理由に拒否されるリクエストはありません。
• 上限で拒否されることのないもの：サンドボックスをスリープさせることと、削除すること。
• 無料プランに戻っても、持っているものは残ります。無料プランで許されるより大きいサンドボックスはデータを保ったままスリープし、数値を超えるドライブやシークレットも残ります。拒否されるのは、次に作る新しいものだけです。
• プロジェクトが保持するもの：プランの数値を超えるドライブは 403 drive_limit_reached、ボリュームは 403 volume_limit_reached、シークレットは 403 secret_limit_reached で拒否されます。アカウントが保持するもの（全プロジェクトの合計）：プランの数値を超えるアプリは 403 app_limit_reached、プランで許されるより多くの環境変数とシークレットを持つアプリは 403 env_limit_reached、最大サイズより大きいインスタンスは 403 plan_size_exceeded で拒否されます。
• ご要望に応じた引き上げ：アカウントが同時に持てる量と作成の速さ、有料プランのドライブの数（ソフトリミット）、エンタープライズアカウントでは最大 16 TiB のドライブ。アカウントは POST /v1/limits/requests で申請し、回答はイベントとメールで伝えられます。上限の引き上げを参照してください。

GET /v1/account（caps）は、アカウントの各上限を現在の使用量とともに示し、GET /v1/billing はプランの上限を示します。

上限に達したとき

上限による拒否には、それぞれエラーのページにセクションがあり、docs_url がそこを指します。何が拒否され、何をすれば解除されるかが書かれています。ご要望に応じてと記したものは、アカウントごとに引き上げます：上限の引き上げ。

API の制限