# Co je zabezpečení API?

> Zabezpečení API (API security) je návrh, implementace, testování a provoz kontrol, které chrání aplikační programová rozhraní a data a služby, jež vystavují.

- Kanonická URL: https://yellowcube.eu/cs/glossary/application-programming-interface-security/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Zahrnuje životní cyklus API: vědět, která rozhraní existují, definovat jejich hranice důvěry a schémata, autentizovat volající, autorizovat každou operaci a objekt, validovat zprávy, omezovat spotřebu prostředků, chránit přihlašovací údaje a transport, monitorovat chování a bezpečně vyřazovat staré verze.

API vystavují strojově čitelné obchodní schopnosti, takže technicky platné požadavky mohou být stále zneužívající. Autentizovaný uživatel může požadovat záznam jiného zákazníka, enumerovat identifikátory, automatizovat nákladné workflow či dodat data, kterým navazující služba nebezpečně důvěřuje. Účinná ochrana proto kombinuje kontroly brány a okraje s autorizací a obchodními pravidly implementovanými v aplikaci.

### Klíčové body

- **Udržujte inventář:** Zaznamenejte vlastníky, verze, prostředí, schémata, klasifikace dat, závislosti, expozici a stav vyřazení, včetně nezdokumentovaných či zapomenutých API.
- **Vynucujte identitu a autorizaci:** Validujte tokeny a audience, používejte vhodnou autentizaci klientů a kontrolujte oprávnění na úrovni objektů, vlastností a funkcí u každého požadavku.
- **Omezujte vstup a spotřebu:** Validujte strukturu a obsah, limitujte velikost požadavků a nákladné operace, řiďte stránkování a souběžnost a vracejte pouze nezbytná data.
- **Provozujte bezpečně:** Chraňte klíče a tokeny, šifrujte transport, logujte bezpečnostně relevantní události bez úniku tajné údaje, testujte případy zneužití a ověřujte chování API třetích stran.
- **Důležité omezení:** API gateway či WAF může odmítnout mnoho poškozených či známých špatných požadavků, ale obvykle nedokáže určit, zda legitimně vypadající obchodní akce je autorizovaná, bezpečná či podvodná, bez kontextu aplikace.

### Související termíny

[Brána API](<https://yellowcube.eu/cs/glossary/application-programming-interface-gateway/>) · [Firewall webových aplikací (WAF)](<https://yellowcube.eu/cs/glossary/web-application-firewall/>) · [Autentizace](<https://yellowcube.eu/cs/glossary/authentication/>) · [Autorizace](<https://yellowcube.eu/cs/glossary/authorization/>) · [OAuth 2.0](<https://yellowcube.eu/cs/glossary/oauth-2-0/>) · [Zabezpečení aplikací](<https://yellowcube.eu/cs/glossary/application-security/>)

### Zdroje

[NIST SP 800-228 update 1: Guidelines for API Protection for Cloud-Native Systems](https://csrc.nist.gov/pubs/sp/800/228/upd1/final) · [OWASP API Security Project](https://owasp.org/www-project-api-security/) · [OWASP API Security Top 10 – 2023](https://owasp.org/API-Security/editions/2023/en/0x03-introduction/)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.