Antarmuka pemrograman aplikasi terutama Buat berterima kasih atas sebagian besar Penemuan digital yang kita lihat hari ini (API). Perkembangan pesat Nyaris Tak mungkin tanpa API. Mengingat menghubungkan komputer, perangkat lunak, dan program komputer, API adalah suatu keharusan. Tetapi setiap kali Eksis tautan, mungkin Eksis kelemahan keamanan data.
API Nyaris selalu digunakan di front office, back office, dan aplikasi internal. Mereka Krusial Buat aplikasi seluler, SaaS, dan web modern. Tetapi menurut definisi, API Membikin logika aplikasi dan data sensitif, seperti Informasi Identifikasi Pribadi, tersedia Buat Biasa (PII). Karena itu, penyerang keamanan basis data menganggap API sebagai Sasaran yang kaya.
Sementara itu, e-commerce omnichannel telah meningkat secara signifikan sebagai akibat dari tekanan pasar dan permintaan konsumen. Selain itu, Eksis risiko terhadap keamanan API.
Buat informasi lebih lanjut mengenai eCommerce API, kami telah menulis artikel menyeluruh tentang mereka di sini: Plugin ongkos kirim Gratis 5 Juara Editor: ECommerce API.
Berbarengan-sama, API dan Omnichannel Berkembang
Antara 2016 dan 2020, jumlah Postman Collections (folder API yang memungkinkan pengembang Buat menggabungkan kueri API Berbarengan-sama) melonjak dari kurang dari 500.000 menjadi Sekeliling 35.000.000. Eksis sedikit keraguan bahwa penggunaan API akan tumbuh di masa depan.
Peningkatan besar dalam penggunaan API ini disebabkan oleh tiga perubahan Primer:
- Gunakan di beberapa perangkat: Buat mendukung koneksi yang dibuat oleh beberapa perangkat sekaligus, diperlukan API.
- Layanan mikro: Buat bertransisi dari desain monolitik ke pengembangan berbasis layanan mikro yang lebih mudah beradaptasi, API diperlukan.
- Beralih ke cloud: Pengembangan dan penerapan API kini diselesaikan lebih Cepat dari sebelumnya berkat manfaat penyediaan cloud yang Cepat.
Seluruh aktivitas API ini, sementara itu, diuntungkan dan didorong oleh pengembangan e-commerce multichannel.
Pendekatan multisaluran Buat penjualan yang dikenal sebagai “ritel omnichannel” menghasilkan pengalaman pelanggan yang mulus. Ini menunjukkan bahwa pengalaman tersebut konsisten di Seluruh saluran, Bagus pengguna berbelanja dari perangkat seluler, PC, atau toko fisik. Dan tanpa API, pengembangan omnichannel Tak akan mungkin terjadi.
Konektivitas yang dipimpin API mengatasi masalah yang dihadapi pengecer Ketika mencoba mengumpulkan data dari banyak sistem dan kemudian menggabungkannya ke dalam Penyimpanan data besar. Informasi dapat menjadi usang ketika memasuki database karena setiap sistem diperbarui secara independen.
Pengecer dapat Membikin jaringan aplikasi menggunakan API yang bertindak sebagai lapisan penghubung Buat penyimpanan data dan aset yang terletak di Letak, di cloud, atau dalam pengaturan hibrid. Aplikasi seluler, situs web, gadget IoT, CRM, dan sistem ERP (manajemen pesanan, titik penjualan, manajemen inventaris, dan manajemen Penyimpanan) semuanya dapat berfungsi sebagai satu sistem kohesif yang menghubungkan dan bertukar data secara real-time sebagai konsekuensinya.
Meningkatnya Jumlah Pelanggaran Keamanan API
Kelemahan dari Perluasan dan pengembangan e-explosive commerce adalah peningkatan yang mengkhawatirkan dalam serangan keamanan API. Pelaku ancaman telah melakukan sejumlah peretasan Krusial terhadap aplikasi dengan Paras publik di area ini. Pengembang, misalnya, menghubungkan sumber daya seperti formulir pendaftaran web ke sistem backend yang berbeda melalui API. Tetapi, fleksibilitas tugas ini juga membuka pintu Buat serangan Mekanis.
Menurut beberapa penilaian, aplikasi online atau API tipikal Mempunyai Nyaris 27 kerentanan kritis. Aplikasi dapat berjumlah ribuan atau bahkan ratusan ribu Buat sebuah organisasi. Oleh karena itu, fakta bahwa beberapa nama merek yang paling dikenal Mempunyai masalah keamanan terkait dengan API tidaklah mengejutkan.
Kerugian yang sebenarnya termasuk pencurian puluhan juta catatan pribadi individu, eksfiltrasi informasi pribadi tokoh-tokoh terkenal, dan kelemahan dalam rantai pasokan makanan.
Proyek Keamanan API OWASP
Daftar 10 hit teratas Buat serangan terkait API dibuat oleh OWASP sebagai tanggapan atas peningkatan risiko kerentanan API dan aplikasi. Berikut ini ringkasan singkatnya:
- Otorisasi Level Objek Rusak di API 1: Titik akhir yang menangani ID objek dapat diekspos oleh API, meningkatkan permukaan serangan dan memperumit Kontrol Akses Level.
- Otentikasi pengguna di API 2 rusak, yang memungkinkan serangan Buat mengkompromikan token otentikasi atau mencuri ID pengguna.
- API 3 – Eksposur Data Berlebihan: Ketika menggunakan implementasi Biasa, pengembang dapat mengekspos setiap properti objek tanpa memperhitungkan seberapa sensitif masing-masing.
- API 4 – Kurangnya Sumber Daya & Restriksi Tarif: Banyak API Tak membatasi jumlah atau ukuran sumber daya yang mungkin diminta oleh klien/pengguna. Akibatnya, serangan DDoS atau brute force dapat menjadi lebih mudah.
- API 5 – Otorisasi Tingkat Fungsi Rusak: Masalah otorisasi dapat disebabkan oleh akses yang rumit dan pengaturan kontrol administrasi. Sumber daya pengguna dan/atau tugas administratif lainnya diekspos dengan Langkah ini.
- API 6 – Penugasan Massal: Memodifikasi properti objek dimungkinkan ketika data yang disediakan klien (seperti JSON) dilampirkan ke model data tanpa daftar yang diizinkan.
- Konfigurasi default yang Tak Kondusif, konfigurasi yang Tak lengkap atau ad-hoc, penyimpanan cloud terbuka, header HTTP yang salah, metode HTTP yang Tak perlu, berbagi sumber daya Cross-Origin (CORS) permisif, dan pesan kesalahan verbose yang berisi informasi sensitif adalah Seluruh Misalnya kesalahan konfigurasi keamanan yang dapat terjadi dengan API 7.
- API 8 – Suntik: Ketika data yang Tak dipercaya diberikan kepada juru bahasa sebagai bagian dari perintah atau kueri, kelemahan Suntik (SQL, NoSQL, Suntik Perintah, dll.) terjadi. Perintah yang Tak Absah dapat dilakukan oleh penerjemah berkat data berbahaya.
- API 9 – Manajemen Aset yang Jelek: Karena API dapat mengekspos banyak titik akhir, dokumentasi yang Seksama kini menjadi lebih Krusial. Menginventarisir host yang Pas dan versi API yang diterapkan sangat Krusial Buat mengurangi serangan.
- API 10 – Pemantauan & Pencatatan yang Tak Memadai: Penyerang dapat Lanjut menyerang sistem, mempertahankan kegigihan, menyusup ke sistem lain, dan mengekstrak atau menghapus data ketika pencatatan dan pemantauan Tak mencukupi dikombinasikan dengan integrasi yang hilang atau Jelek dengan respons insiden.
Baca juga: Apa yang Shopify Checkout Terskala Ajarkan Mengenai App E-Commerce
Penilaian & Mitigasi Kerentanan API
Bagaimana strategi manajemen ancaman API Anda dapat diperkuat mengingat risiko dan taruhan signifikan yang terlibat? Berikut adalah beberapa rekomendasi:
Simpan Daftar API
Mengetahui di mana API Anda, terutama yang berasal dari versi sebelumnya dan konteks lainnya, sangatlah Krusial. Mendokumentasikan titik akhir mana yang diekspos oleh setiap host API, mana yang bersifat publik (Tak memerlukan autentikasi), dan mana yang dapat diakses dari internet membantu meningkatkan keamanan API.
Gunakan Pengkodean yang Kondusif
Karena sebagian besar kerentanan API berasal dari kode, dorong pengembang Anda Buat mengikuti standar pengembangan yang Kondusif. Pada tahap pengembangan, berikan penekanan pada kode Kondusif.
Gunakan OAuth
Buat keamanan API, kontrol akses Buat otentikasi dan otorisasi sangat Krusial. OAuth adalah kerangka kerja otentikasi berbasis token yang memungkinkan layanan pihak ketiga Buat mengakses informasi pengguna tanpa mengungkapkan kredensial pengguna. Beginilah Langkah situs web menggunakan Facebook dan Google Buat memberikan akses.
Restriksi dan Restriksi Nilai
Anda dapat menetapkan batasan kecepatan tentang seberapa sering API dapat dipanggil Buat melindungi dari serangan DDoS, lonjakan API, dan masalah kinerja lainnya. Restriksi tarif menyeimbangkan ketersediaan dan akses Buat mengurangi kemacetan.
Menerapkan Gerbang API
Titik sentral penegakan Lampau lintas API adalah gateway API. Anda dapat mengautentikasi Lampau lintas, mengelola penggunaan API, dan melacak aktivitas API dengan gateway API yang andal.
Terapkan Jaring Layanan
Melalui penggunaan teknologi mesh layanan, administrasi dan kontrol API dimungkinkan. Buat meningkatkan keamanan API, mesh layanan memastikan bahwa autentikasi yang Betul, kontrol akses, dan tindakan keamanan lainnya bekerja sama.
Ketika penggunaan layanan mikro meningkat, mesh layanan menjadi semakin Krusial. Saluran komunikasi potensial berlipat ganda secara eksponensial seiring dengan meningkatnya jumlah layanan. Dengan menetapkan kebijakan komunikasi, mesh layanan menawarkan Langkah yang konsisten Buat mengonfigurasi jalur komunikasi.
Sesuai dengan konfigurasi preset, mesh layanan mengatur Lampau lintas komunikasi dan melengkapi layanan. Administrator dapat menyediakan konfigurasi ke mesh layanan dan menyelesaikan tugas itu alih-alih mengonfigurasi container yang sedang berjalan atau menulis kode Buat melakukannya.
Rangkullah Kosong Kepercayaan
Zero trust adalah teori keamanan yang lebih besar yang menyatakan bahwa kecuali Anda dapat dibuktikan Tak bersalah, Anda adalah seorang penyerang. Buat setiap perangkat, setiap program, dan setiap pengguna Buat mengakses sumber daya apa pun, zero trust menuntut Pembuktian dan otorisasi.
E-commerce Membutuhkan API Kondusif
Pengalaman omnichannel akan Lanjut berkembang dalam cakupan dan keragaman Buat merek yang Bertanding. Penskalaan API akan serupa. Sangat Krusial Buat mengambil pendekatan proaktif terhadap keamanan API segera Buat melindungi klien, perusahaan, dan aset Anda.
Baca juga: Panduan GA4 Buat Situs eCommerce dengan Misalnya Shopify