Sicurezza delle API: cosa controlla per primo un tester

Una API fa esattamente ciò che le viene chiesto, per chiunque riesca a raggiungerla. Non c'è un'interfaccia che nasconda un errore.

I primi controlli

1. Chi può chiamarla? Ogni endpoint richiede autenticazione e verifica i diritti del chiamante sullo specifico oggetto richiesto?
2. Cosa restituisce? Le risposte sono limitate ai campi necessari al client, o viene inviato l'intero record perché l'interfaccia lo nasconda?
3. Cosa accetta? Campi, tipi e dimensioni inattesi sono respinti, o usati così come arrivano?
4. Quante volte? C'è un limite alle richieste, e quel limite è a sua volta economico da applicare?
5. Cosa dicono gli errori? Messaggi che rivelano percorsi interni o query aiutano un attaccante.
6. Cosa si è dimenticato? Vecchie versioni, endpoint di prova e percorsi non documentati sono ancora in produzione.

Un consiglio

Dai ai tester la descrizione dell'API (per esempio un file OpenAPI) e gli account per ogni ruolo. Risparmia tempo di scoperta e sposta l'impegno sui controlli qui sopra.