Como maximizar a segurança da sua API
A segurança é um elemento essencial de qualquer aplicativo, especialmente em relação às APIs, onde existem centenas ou milhares de aplicativos fazendo chamadas diariamente. Todos os dias, novas ameaças e vulnerabilidades são criadas, e todos os dias, as empresas correm contra o relógio para corrigi-las. É muito importante proteger suas APIs contra ataques. Felizmente, embora um gerenciador de API não elimine todas as ameaças, ele pode ajudar a proteger você contra algumas das mais comuns. E quando usado como proxy, ele pode impedir que ataques maliciosos atinjam sua arquitetura.
No início, a segurança da API consistia em autorização básica, ou solicitar o nome de usuário e senha ao usuário, que era então encaminhado à API pelo software que o consumia. Isso, no entanto, criava um enorme risco de segurança.
Hoje, o Open Authorization (OAUTH), que é um sistema de autorização de token, é a medida de segurança de API mais comum. Ao contrário da autorização básica, o OAuth não permite que o cliente de API acesse as informações dos usuários. Em vez disso, ele retransmite o usuário para uma página no servidor de destino onde ele vai inserir suas credenciais e, em seguida, retorna um token de acesso ao cliente de API referente a esse usuário.
O benefício do acesso baseado em token é que ele pode ser excluído a qualquer momento por qualquer motivo, como uma violação de segurança, uso indevido ou até mesmo se o usuário decidir que não deseja mais que esse serviço tenha acesso à sua conta. Os tokens de acesso também podem ser usados para restringir permissões, permitindo que o usuário decida o que o aplicativo pode fazer com suas informações ou conta.
As práticas recomendadas de segurança de API são bem definidas, não importa quão complexa ou simples seja a API. Os desenvolvedores precisam garantir que suas APIs mantenham os dados dos usuários (nomes de usuário e senhas) seguros, o que significa criar uma camada de separação entre as informações e o cliente. Os desenvolvedores nunca devem solicitar credenciais de login por meio de APIs públicas, pois isso torna as informações do usuário vulneráveis.