# Czym jest bezpieczeństwo API?

> Bezpieczeństwo API (API security) to projektowanie, implementacja, testowanie i eksploatacja kontroli chroniących interfejsy programowania aplikacji oraz dane i usługi, które eksponują.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/application-programming-interface-security/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Obejmuje cykl życia API: wiedzę o tym, które interfejsy istnieją, definiowanie ich granic zaufania i schematów, uwierzytelnianie wywołujących, autoryzowanie każdej operacji i obiektu, walidowanie wiadomości, ograniczanie użycia zasobów, ochronę poświadczeń i transportu, monitorowanie zachowania oraz bezpieczne wycofywanie starych wersji.

API eksponują maszynowo czytelne możliwości biznesowe, więc technicznie ważne żądania nadal mogą być nadużyciem. Uwierzytelniony użytkownik może zażądać rekordu innego klienta, wyliczać identyfikatory, automatyzować kosztowny przepływ pracy lub dostarczyć dane, którym usługa downstream ufa niebezpiecznie. Skuteczna ochrona łączy zatem kontrole bramy i brzegu z autoryzacją i regułami biznesowymi zaimplementowanymi w aplikacji.

### Najważniejsze punkty

- **Utrzymuj inwentarz:** Rejestruj właścicieli, wersje, środowiska, schematy, klasyfikacje danych, zależności, ekspozycję i status wycofania, w tym nieudokumentowane lub zapomniane API.
- **Wymuszaj tożsamość i autoryzację:** Waliduj tokeny i odbiorców, używaj odpowiedniego uwierzytelniania klientów oraz sprawdzaj uprawnienia na poziomie obiektu, właściwości i funkcji przy każdym żądaniu.
- **Ograniczaj wejście i konsumpcję:** Waliduj strukturę i treść, ograniczaj rozmiar żądań i kosztowne operacje, kontroluj paginację i współbieżność oraz zwracaj tylko niezbędne dane.
- **Eksploatuj bezpiecznie:** Chroń klucze i tokeny, szyfruj transport, loguj zdarzenia istotne dla bezpieczeństwa bez wycieku sekretów, testuj przypadki nadużyć i weryfikuj zachowanie API stron trzecich.
- **Istotne ograniczenie:** Brama API lub WAF może odrzucać wiele zniekształconych lub znanych złych żądań, ale zwykle nie może ustalić, czy ważnie wyglądająca akcja biznesowa jest autoryzowana, bezpieczna ani nie oszukańcza bez kontekstu aplikacji.

### Powiązane terminy

[Brama API](<https://yellowcube.eu/pl/glossary/application-programming-interface-gateway/>) · [Zapora aplikacji webowych (WAF)](<https://yellowcube.eu/pl/glossary/web-application-firewall/>) · [Uwierzytelnianie](<https://yellowcube.eu/pl/glossary/authentication/>) · [Autoryzacja](<https://yellowcube.eu/pl/glossary/authorization/>) · [OAuth 2.0](<https://yellowcube.eu/pl/glossary/oauth-2-0/>) · [Bezpieczeństwo aplikacji](<https://yellowcube.eu/pl/glossary/application-security/>)

### Źródła

[NIST SP 800-228 update 1: Guidelines for API Protection for Cloud-Native Systems](https://csrc.nist.gov/pubs/sp/800/228/upd1/final) · [OWASP API Security Project](https://owasp.org/www-project-api-security/) · [OWASP API Security Top 10 – 2023](https://owasp.org/API-Security/editions/2023/en/0x03-introduction/)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.