אבטחת API — הדלת האחורית של אפליקציות מודרניות

כל אפליקציה מודרנית (מובייל, web) מדברת עם השרת דרך API. וככל שה-APIs התרבו — הם הפכו ליעד תקיפה מועדף.

למה APIs פגיעים?

• הם חושפים לוגיקה ונתונים ישירות.
• לרוב מתועדים היטב (נוח לתוקף).
• מפתחים מתמקדים בפונקציונליות, לפעמים על חשבון אבטחה.

סיכונים נפוצים (OWASP API Top 10)

• Broken Object Level Authorization (BOLA/IDOR) — הסיכון #1. גישה לנתוני אחרים ע"י שינוי מזהה.
• Broken Authentication — אימות חלש או חסר.
• Excessive Data Exposure — ה-API מחזיר יותר מדי (האפליקציה מסננת בצד הלקוח, אבל הנתונים שם).
• Lack of Rate Limiting — מאפשר כוח גס ו-DoS.
• Mass Assignment — שינוי שדות שלא היו אמורים להיות ניתנים לעריכה (כמo isAdmin=true).

הגנות

• בדיקת הרשאה בכל בקשה ברמת האובייקט (לא רק "מחובר?", אלא "מורשה לזה?").
• החזירו רק מה שצריך — סינון בצד השרת.
• Rate limiting ואימות חזק (tokens עם תפוגה).
• ולידציה קפדנית של כל קלט.

הלקח: ה-API הוא לב האפליקציה — והכי חשוף. אבטחת API היא לא "תוספת", היא הבסיס.