Best Practices for Secure API Design

Secure 應用程式開發介面設計的重要性

應用程式開發介面安全最佳實務與傳統網路路應用程式的最佳實務不同。 應用程式開發介面設計因應用程式開發介面而帶來獨特的挑戰：

• 屬於高度暴露的端點，大眾通常可以存取
• 這可以是無狀態(REST 應用程式開發介面)，並且每次請求都需要驗證與授權。
• 閘道器可直接通往內部 網路，這表示單一的脆弱性可危及多個系統。
• 頻繁更新，導致偏離安全應用程式開發介面設計原則的漂移和意外行為

安全應用程式開發介面設計的最佳實作，可將可被利用的脆弱性降至最低，同時針對不斷演進的威脅提供主動的防護措施。 這可限制應用程式開發介面攻擊的成功率，同時也可在網路罪犯能夠操控應用程式開發介面功能以謀利時，將影響降到最低。

Best Practices for Secure API Design

以下列出 9 種應用程式開發介面設計的最佳實務，每個組織都應該將其整合到開發流程中。

雖然這些最佳實務對於安全的 應用程式開發介面設計至關重要，但重要的是要記住，設計是更廣泛的應用程式開發介面勢態管理的一部分。 一般 應用程式開發介面的最佳安全實務，除了設計之外，還包括如何識別和監控 應用程式開發介面，以及偵測可疑行為和回應威脅。

以下討論的安全應用程式開發介面設計最佳實務可分為以下幾類：

• 存取與身分安全： 控制誰可以使用您的 應用程式開發介面 以及他們可以存取的內容

• • 資料外洩防護：在儲存和傳輸過程中保護敏感資料
  • 輸入與輸出驗證： 確保應用程式開發介面的呼叫和回應如預期般運作

• 交通管理： 管理應用程式開發介面的使用，以防止超載或被利用

• 開發實務： 測試應用程式開發介面的安全控制，以保護敏感的商業資料和系統

#1.Secure 應用程式開發介面 透過強大的驗證機制進行存取

驗證功能可驗證呼叫應用程式開發介面的使用者身份，確保他們擁有適當的憑證存取應用程式開發介面。 當您開發應用程式開發介面時，您應該使用經過驗證的認證標準，例如 OAuth 2.0、OpenID Connect 或已簽署的 JWT，以確保只有受信任的用戶端才能連線。

此外，請避免使用硬體編碼的憑證，並定期輪換應用程式開發介面的金鑰。 例如，強大的驗證機制可能會使用短期的 JWT，以減少標記的濫用，並實現更嚴格的存取控制。您也可以將驗證與其他身分檢查搭配使用，例如 IP 允許清單或關鍵作業的裝置指紋。

#2.使用應用程式開發介面 Least Privilege Authorization 減少攻擊面

認證會確認誰在呼叫您的 應用程式開發介面，授權則會控制他們可以用來做什麼。 從安全性的角度來看，實施應用程式開發介面最小權限控制，並將存取路徑最小化，可降低您的攻擊面。 此外，如果特權帳戶確實受到攻擊，他們可以存取的內容仍會受到限制。

不過，為了確保應用程式開發介面最低權限存取控制不會妨礙合法使用者，您應該定期檢閱角色和權限，以檢查使用者是否能存取他們所需的內容。

#3.使用加密保護敏感資料

加密保護您應用程式開發介面所處理資料的機密性與完整性。 為了保護資料，您應該使用 HTTPS 應用程式開發介面安全 TLS 來處理所有的要求和回應。 有了安全的資料處理 應用程式開發介面策略，攻擊者就無法截取或變更應用程式開發介面流量。

除了對傳輸中的資料進行加密外，您也應該使用 AES 等成熟的標準保護資料。例如，將應用程式開發介面存取權限或儲存於應用程式開發介面可存取的任何資料庫中的個人識別資訊 (PII) 加密。 此外，實施管理加密金鑰的安全程序，包括將金鑰與其保護的資料分開儲存，並定期更換。

#4.只傳回要求的內容

很容易傳回額外資訊以補充應用程式開發介面的要求。 然而，您的應用程式開發介面所揭露的每項資訊，都會增加被操控的風險。 您應在應用程式開發介面的回覆中遮蔽或省略任何不必要的資料，這包括 PII。 例如，如果應用程式只需要使用者的顯示名稱，就不要同時包含他們的電子郵件地址或內部識別碼。

#5.執行嚴格的輸入控制

攻擊者透過在呼叫中加入意想不到的程式碼來測試應用程式開發介面。 為了保護您的 應用程式開發介面，您需要驗證每一個輸入，在處理之前檢查它是否符合預期。 例如，在類型、格式或長度方面。

不正確驗證的輸入是造成安全弱性的最常見原因之一。 輸入驗證應用程式開發介面規則對於最小化與許多應用程式開發介面威脅（包括 SQL 注入）相關的風險至關重要。

#6.傳回一致且安全的錯誤訊息

處理不當的錯誤可能會揭露重要的系統細節，讓攻擊者有機可乘。您的應用程式開發介面錯誤訊息應該在不透露任何系統細節或內部邏輯的情況下告知客戶端。 採用一致的方法和安全的錯誤處理策略，使用一般標準化的訊息，同時在內部記錄詳細資料以進行故障排除。這可以減少攻擊者透過試驗和錯誤收集到的資訊，同時仍允許合法的除錯。

#7.使用應用程式開發介面速率限制管理客戶要求

應用程式開發介面 rate limiting (速率限制) 控制用戶端在定義的時間內可以提出多少次請求，以防範 DDoS 攻擊。 無論是設定硬性上限或實施動態應用程式開發介面費率限制，都可以根據情境資訊（例如之前的客戶行為）採取更精密的方法。 動態應用程式開發介面速率限制有助於確保合法使用者維持存取權，同時防止濫用。 執行應用程式開發介面速率限制的常用工具是應用程式開發介面 閘道器。

#8.使用應用程式開發介面 閘道器集中流量並執行安全政策

應用程式開發介面 閘道器集中應用程式開發介面的流量，提供單一的請求點。 這可讓您更輕鬆地持續實施應用程式開發介面的最佳安全實作和控制，例如驗證、速率限制、輸入驗證和應用程式開發介面日誌監控。 應用程式開發介面 閘道器 有助於確保只有合法的請求才能通過並獲得處理。 透過過濾請求和強制執行安全控制，它們可以限制攻擊者如何利用 應用程式開發介面 端點。

雖然應用程式開發介面 閘道器是安全應用程式開發介面設計的重要最佳實務，但它們並非完整的安全解決方案。 例如，它們無法防範不安全的後端弱性、邏輯缺陷或不良的驗證與授權機制。

#9.使用應用程式開發介面安全測試找出弱點

應用程式開發介面在整個開發生命週期中進行安全測試，可確保脆弱的性質盡早被發現。 您應該定期執行滲透測試以模擬攻擊，並執行自動化脆弱 性或程式碼檢閱，以檢查新的脆弱性。 這包括內部和協力廠商代碼中潛在的脆弱性。 定期的安全測試與稽核也可確保您遵守相關的合規標準。