APIها اغلب مسیر مستقیم به داده‌های حساس هستند، اما به‌خاطر «پشت صحنه» بودنشان، امنیت آن‌ها گاهی کمتر از رابط کاربری اصلی جدی گرفته می‌شود.

هشت اشتباه رایج

  1. نبود احراز هویت روی endpointهای «داخلی».
  2. نبود مجوزدهی سطح شیء (یک کاربر با تغییر ID به داده‌ی کاربر دیگر دسترسی می‌یابد).
  3. عدم اعتبارسنجی ورودی، مخصوصاً در بدنه‌ی JSON.
  4. افشای بیش‌ازحد اطلاعات در پاسخ (مثلاً برگرداندن کل آبجکت کاربر شامل هش رمز).
  5. نبود Rate Limiting.
  6. نسخه‌بندی نامشخص API که مسیرهای قدیمی و آسیب‌پذیر را زنده نگه می‌دارد.
  7. پیام خطای بیش‌ازحد جزئی که ساختار داخلی را لو می‌دهد.
  8. ذخیره‌ی کلید API در کد سمت کلاینت.

اصل کلی

هر endpoint باید مستقل احراز هویت، مجوزدهی و اعتبارسنجی شود؛ فرض نکنید چون «فقط از اپ موبایل صدا زده می‌شود» ایمن است.

هر endpoint باید احراز هویت، مجوزدهی و اعتبارسنجی ورودی داشته باشد.