Implementeer authenticatie
Je API's moeten authenticatie uitvoeren voordat ze enig verzoek verwerken. Authenticatie probeert de gebruiker of het programma dat het verzoek heeft verstuurd te identificeren. API-authenticatie gebeurt meestal via een wachtwoord, multi-factor authenticatie of via authenticatietokens. Meestal gebruiken organisaties tokens - tokens die samen met het verzoek worden verzonden, worden vergeleken met de tokens in de database. Op deze manier kunnen verzoeken eenvoudig worden bijgehouden.
Het OAuth-protocol is een veel vertrouwde en gebruikte API voor gebruikersauthenticatie. Het geeft ook de beheerders een portaal om authenticatietokens aan derden te verlenen. Beheerders kunnen aangepaste toegangsregels instellen voor elk token op basis van de bron van het API-verzoek.
Implementeer autorisatie
Nadat de identiteit van de gebruiker is geauthentiseerd, moet er een veilige manier zijn om toegang te verlenen aan de gebruiker. En hier komt autorisatie van pas. Simpel gezegd; autorisatie staat toe of blokkeert gebruikers bij het uitvoeren van bepaalde handelingen op basis van hun authenticatieresultaat. De autorisatie-informatie kan ook worden opgenomen in het verzoekstoken. Met name REST API moet het verzoek telkens authentiseren en autoriseren, zelfs als dezelfde gebruiker meerdere verzoeken probeert te doen. Dit komt omdat REST-communicatie stateless is.
De autorisatie kan ook gebaseerd zijn op gebruikersrollen. Volg altijd het principe van het minste privilege - op deze manier kunnen alleen essentiële bronnen worden benaderd, terwijl gevoelige gegevens buiten bereik van gebruikers blijven, wat op zijn beurt het risico op het in verkeerde handen vallen van gevoelige gegevens elimineert.
Codeer verzoeken en antwoorden
Man-in-the-middle-aanvallen komen vrij vaak voor bij API's. Om dit soort aanvallen te voorkomen, moet de data die tussen de gebruiker en de API reist worden versleuteld. Zelfs als de tussenpersoon het antwoord of verzoek onderschept, zal de data nutteloos voor hen zijn zonder de decryptiemethode.
De versleuteling voor REST API kan worden bereikt met behulp van het Transport Layer Security (TLS) Protocol of het Secure Socket Layer (SSL) Protocol. Echter, het SSL- en TLS-protocol versleutelen alleen de data die wordt verzonden en niet de data die achter de API zit. Als gevolg hiervan moet deze gevoelige informatie zelf in de database worden versleuteld. Gebruik een Web Application Firewall (WAF) met SSL om code-injecties en DDoS-aanvallen te voorkomen.
