РЕШЕНИЕ://ЗАЩИТА_API
Безопасность API
API-эндпоинты остаются доступными для легитимных потребителей, а автоматизированные злоупотребления, флуд и некорректные запросы блокируются выше по стеку.
Возможности.
Лимиты запросов
На каждом сайте один порог на IP: от 10 до 300 запросов за 10 секунд. Лимитов по маршруту и по пользователю сейчас нет. Порог постоянный, под нагрузку не подстраивается.
Валидация схемы
Запросы с неверными типами параметров, размерами или структурой отклоняются до попадания в логику приложения.
Обнаружение паттернов злоупотреблений
Перебор object ID, массовые запросы экспорта, сканирование эндпоинтов: всё это ловится поведенческим анализом.
Инспекция заголовков аутентификации
Некорректные или отсутствующие токены определяются до того, как backend тратит ресурсы на их обработку.
Защищает от.
- Подбора паролей через login-эндпоинты
- Сбора данных через перебор object ID
- Истощения ресурсов высокочастотными неаутентифицированными запросами
- Реверса структуры данных из паттернов ответов API
Не затрагивает.
- Легитимных высокочастотных API-потребителей с узнаваемыми паттернами
- Вебхуки от известных сервисов (Stripe, GitHub и др.), проверяются по подписи
- Внутреннюю документацию API
Цель, которую не найти.
Защита в темноте. Без карты. Без следа.