Zahrnuje životní cyklus API: vědět, která rozhraní existují, definovat jejich hranice důvěry a schémata, autentizovat volající, autorizovat každou operaci a objekt, validovat zprávy, omezovat spotřebu prostředků, chránit přihlašovací údaje a transport, monitorovat chování a bezpečně vyřazovat staré verze.
API vystavují strojově čitelné obchodní schopnosti, takže technicky platné požadavky mohou být stále zneužívající. Autentizovaný uživatel může požadovat záznam jiného zákazníka, enumerovat identifikátory, automatizovat nákladné workflow či dodat data, kterým navazující služba nebezpečně důvěřuje. Účinná ochrana proto kombinuje kontroly brány a okraje s autorizací a obchodními pravidly implementovanými v aplikaci.
Klíčové body
Udržujte inventářZaznamenejte vlastníky, verze, prostředí, schémata, klasifikace dat, závislosti, expozici a stav vyřazení, včetně nezdokumentovaných či zapomenutých API.
Vynucujte identitu a autorizaciValidujte tokeny a audience, používejte vhodnou autentizaci klientů a kontrolujte oprávnění na úrovni objektů, vlastností a funkcí u každého požadavku.
Omezujte vstup a spotřebuValidujte strukturu a obsah, limitujte velikost požadavků a nákladné operace, řiďte stránkování a souběžnost a vracejte pouze nezbytná data.
Provozujte bezpečněChraňte klíče a tokeny, šifrujte transport, logujte bezpečnostně relevantní události bez úniku tajné údaje, testujte případy zneužití a ověřujte chování API třetích stran.
Důležité omezeníAPI gateway či WAF může odmítnout mnoho poškozených či známých špatných požadavků, ale obvykle nedokáže určit, zda legitimně vypadající obchodní akce je autorizovaná, bezpečná či podvodná, bez kontextu aplikace.