Eine sichere API prüft mehr als die Anmeldung

Eine API macht Daten und Funktionen für andere Programme nutzbar. Damit wächst die Bedeutung einer klaren serverseitigen Prüfung. OWASP nennt unter anderem geschützte Übertragung, korrekte Autorisierung und die Kontrolle zulässiger Eingaben als wichtige Grundlagen für REST-Schnittstellen.

Relevant ist auch, welche Wirkung eine Anfrage auslösen darf. Ein lesender Integrationszugang sollte nicht nebenbei administrative Änderungen erlauben. Unbegrenzte Anfragen oder übermäßig detaillierte Fehlermeldungen können zusätzliche Probleme verursachen. Die konkrete Begrenzung muss dabei zum legitimen Geschäftsablauf passen.

Empfehlung für Unternehmen

Beschreiben Sie für jede wichtige Schnittstelle den erlaubten Zweck und die nötigen Rechte. Testen Sie ungültige Eingaben, abgelaufene Zugänge und unzulässige Aktionen. Protokollieren Sie hilfreiche Betriebsdaten, aber keine unnötigen Geheimnisse. Prüfen Sie die Integration erneut, wenn neue Funktionen freigeschaltet werden.

Quelle: OWASP REST Security