Sicurezza API e integrazioni
App mobile, gestionali, e-commerce e partner comunicano via API. Ogni endpoint è una porta d'ingresso diretta ai tuoi dati.
Le API espongono logica e dati senza l'interfaccia che nasconde parte della complessità: gli attaccanti le analizzano direttamente, modificando parametri e sequenze di chiamate.
Seguiamo l'OWASP API Security Top 10 e testiamo sia le API pubbliche sia quelle interne e di integrazione tra sistemi.
Problemi tipici delle API
BOLA / IDOR
Accesso agli oggetti di altri utenti cambiando semplicemente un identificatore nella richiesta.
Autenticazione debole
JWT non validati correttamente, token senza scadenza, chiavi API in chiaro nelle app.
Esposizione eccessiva di dati
Risposte che restituiscono più campi del necessario, lasciando il filtraggio al client.
Mancanza di rate limiting
Brute force, scraping massivo e denial of service applicativo.
Mass assignment
Aggiornamento di campi riservati (ruolo, prezzo, saldo) inviandoli nel corpo della richiesta.
Webhook non verificati
Callback accettate senza controllo della firma, falsificabili da chiunque.
Come interveniamo
Inventario degli endpoint
Individuazione di API non documentate, versioni obsolete e ambienti di test esposti.
Test di autorizzazione
Verifica sistematica dell'accesso a livello di oggetto, funzione e proprietà con più ruoli.
Verifica di OAuth2, OIDC e JWT
Flussi, scope, validazione delle firme, rotazione e revoca dei token.
Protezione e quote
Rate limiting, validazione dello schema (OpenAPI), API gateway e WAF.
Fuzzing e logica di business
Test di sequenze anomale di chiamate e valori limite.
Checklist API
- Ogni endpoint verifica identità e autorizzazione lato server
- Risposte con soli campi necessari e validazione rigorosa dell'input
- Token a scadenza breve con refresh controllato e revoca
- Rate limiting e quote per client e per endpoint
- Webhook con firma HMAC verificata e protezione dal replay
- Specifica OpenAPI aggiornata e versioni obsolete dismesse
Domande frequenti
Testate anche GraphQL?
Sì: introspezione, query annidate costose, autorizzazione per campo e batching abusato.
Servono le credenziali di test?
Sì, idealmente con più ruoli utente, per verificare la separazione dei privilegi.
Approfondisci
Mettiamo in sicurezza il tuo api e integrazioni
Raccontaci il tuo caso: ti rispondiamo entro un giorno lavorativo.