影響
API が侵害されると、攻撃者はユーザー インターフェイスをバイパスし、バックエンド データベースやサービス [S1] と直接対話できるようになります。これにより、不正なデータの流出、総当たり攻撃によるアカウントの乗っ取り、またはリソース枯渇によるサービスの利用不能 ([S3][S5]) が発生する可能性があります。
根本原因
主な根本原因は、十分な検証と保護が不足しているエンドポイント ([S1]) を介して内部ロジックが公開されることです。開発者は多くの場合、機能が UI に表示されなければ安全であると思い込み、アクセス制御の違反 ([S2]) や、信頼するオリジンが多すぎる寛容な CORS ポリシー ([S4]) につながります。
必須の API セキュリティ チェックリスト
- 厳格なアクセス制御を強制する: すべてのエンドポイントは、アクセスされる特定のリソース ([S2]) に対して要求者が適切なアクセス許可を持っていることを確認する必要があります。
- レート制限の実装: 特定の時間枠内でクライアントが実行できるリクエストの数を制限することで、自動化された悪用や DoS 攻撃から保護します。
- CORS を正しく構成します: 認証されたエンドポイントにワイルドカード オリジン (
*) を使用することは避けてください。クロスサイトのデータ漏洩を防ぐために、許可されたオリジンを明示的に定義します ([S4])。 - エンドポイントの可視性を監査: 機密機能 [S1] を公開する可能性のある「非表示」または文書化されていないエンドポイントを定期的にスキャンします。
FixVibe がそれをテストする方法
FixVibe は、複数のライブ チェックを通じてこのチェックリストをカバーするようになりました。アクティブ ゲート プローブは、検証後にのみ、認証エンドポイント レート制限、CORS、CSRF、SQL インジェクション、認証フローの弱点、およびその他の API に直面する問題をテストします。パッシブ チェックは、セキュリティ ヘッダー、パブリック API ドキュメントと OpenAPI 公開、およびクライアント バンドルのシークレットを検査します。リポジトリ スキャンにより、安全でない CORS、生の SQL 補間、弱い JWT シークレット、デコード専用の JWT の使用法、Webhook 署名のギャップ、および依存関係の問題に対するコード レベルのリスク レビューが追加されます。