• API1:2023 - Broken Object Level Authorization (BOLA): Nesne düzeyinde yetkilendirme eksikliği veya yanlış yapılandırması, bir kullanıcının yetkisi olmayan verilere erişmesine veya bunları değiştirmesine olanak tanır. Örneğin, bir API isteğinde `user_id=123` yerine `user_id=456` göndererek başka bir kullanıcının verilerine erişmek.
• API2:2023 - Broken Authentication: Kimlik doğrulama mekanizmalarındaki zayıflıklar, saldırganların kullanıcı hesaplarını ele geçirmesine veya API'lere yetkisiz erişim sağlamasına olanak tanır. Brute-force saldırıları, zayıf parola politikaları bu kategoriye girer.
• API3:2023 - Excessive Data Exposure: API'ler, istemcilere gereğinden fazla veri döndürdüğünde ortaya çıkar. Bu, genellikle hassas verilerin istemci tarafında filtrelenmesi gerektiği düşünülerek, ancak filtreleme yapılmadığında güvenlik açığı yaratır.
• API4:2023 - Lack of Resources & Rate Limiting: API'lerin kaynak tüketimini (CPU, bellek, ağ) kısıtlamaması veya istek hızını sınırlamaması, hizmet reddi (DoS) saldırılarına veya kaynak tükenmesine yol açabilir.
• API5:2023 - Broken Function Level Authorization: Kullanıcının belirli bir işlevi gerçekleştirmek için yeterli yetkiye sahip olup olmadığının doğru bir şekilde kontrol edilmemesi. Yüksek yetkili bir fonksiyona düşük yetkili bir kullanıcının erişebilmesi.
• API6:2023 - Unrestricted Access to Sensitive Business Flows: İş mantığının kritik akışlarının yeterince korunmaması, saldırganların bu akışları kötüye kullanmasına olanak tanır. Örneğin, bir e-ticaret sitesinde indirim kuponlarını sınırsızca kullanmak.
• API7:2023 - Server Side Request Forgery (SSRF): Sunucunun, saldırgan tarafından sağlanan bir URL'yi alıp dahili bir kaynağa (örneğin, intranet, bulut meta veri hizmetleri) istek göndermesi.
• API8:2023 - Security Misconfiguration: Güvenlik ayarlarının yanlış yapılandırılması, varsayılan güvenlik açıkları, gereksiz özelliklerin etkin bırakılması veya yanlış yapılandırılmış HTTP başlıkları.
• API9:2023 - Improper Inventory Management: API'lerin ve sürümlerinin doğru bir şekilde yönetilmemesi, eski ve güvensiz API uç noktalarının üretimde kalmasına neden olabilir.
• API10:2023 - Unsafe Consumption of APIs: Kendi API'lerinizi geliştirirken üçüncü taraf API'lerini güvenli olmayan bir şekilde tüketmeniz. Örneğin, üçüncü taraf bir API'den gelen verileri yeterince doğrulamamak.

• Güçlü Kimlik Doğrulama Mekanizmaları:
  * OAuth 2.0 ve OpenID Connect: Modern API'ler için standart hale gelmiş bu protokoller, kullanıcı kimlik doğrulamasını ve yetkilendirmesini yönetmek için sağlam bir çerçeve sunar. Yetki kodları, erişim belirteçleri ve yenileme belirteçleri ile güvenli bir akış sağlar.
  * JWT (JSON Web Tokens): Durumsuz API'ler için popüler bir seçimdir. JWT'ler, kimlik doğrulama bilgilerini güvenli bir şekilde taşır, ancak JWT'lerin süresi dolması ve revokasyon mekanizmaları dikkatle yönetilmelidir.
  * API Anahtarları: Basit uygulamalar veya hizmetler arası iletişim için kullanılabilir, ancak genellikle OAuth gibi daha güçlü mekanizmalarla birlikte kullanılmaları önerilir. API anahtarları sık sık döndürülmeli ve asla istemci tarafında açıkça ifşa edilmemelidir.
  
• Kapsamlı Yetkilendirme Kontrolleri:
  * Nesne Düzeyinde Yetkilendirme (Object-Level Authorization): Her API isteğinde, kullanıcının talep edilen kaynağa erişim yetkisinin olup olmadığını doğrulamak esastır. Bu, özellikle RESTful API'lerde kaynak kimlikleri üzerinden sıkça atlanan bir adımdır.
  * Fonksiyon Düzeyinde Yetkilendirme (Function-Level Authorization): Bir kullanıcının belirli bir API uç noktasını veya işlevini kullanma yetkisi olup olmadığını kontrol edin. Rol tabanlı erişim kontrolü (RBAC) veya nitelik tabanlı erişim kontrolü (ABAC) bu konuda yardımcı olabilir.
  
• Giriş Doğrulama ve Çıkış Temizleme:
  * Tüm API girişleri, şema, tip, uzunluk, format ve içerik açısından sıkı bir şekilde doğrulanmalıdır. Bu, SQL enjeksiyonu, XSS ve komut enjeksiyonu gibi saldırıları önler.
  * API'den dönen veriler de hassas bilgilerin sızmasını önlemek için temizlenmeli ve yalnızca gerekli veriler gönderilmelidir.
  
• Hız Sınırlama ve Kaynak Yönetimi (Rate Limiting & Throttling):
  * Her kullanıcı veya IP adresi için belirli bir zaman diliminde yapılabilecek istek sayısını sınırlayın. Bu, DoS saldırılarını ve brute-force girişimlerini engellemeye yardımcı olur.
  * API'lerin aşırı kaynak tüketmesini önlemek için uygun kaynak yönetimi stratejileri uygulayın.
  
• HTTPS/TLS Şifreleme Kullanımı:
  * Tüm API trafiği, veri bütünlüğünü ve gizliliğini sağlamak için HTTPS (HTTP Secure) üzerinden şifrelenmelidir. Eski TLS sürümlerinden kaçının ve yalnızca güçlü şifreleme algoritmalarını kullanın.
  
• Güvenlik Başlıkları ve Konfigürasyon:
  * Güvenlik açısından önemli HTTP başlıkları (örneğin, `Content-Security-Policy`, `X-Frame-Options`, `Strict-Transport-Security`) doğru bir şekilde yapılandırılmalıdır.
  * Varsayılan kimlik bilgilerinden kaçının, gereksiz hizmetleri devre dışı bırakın ve tüm sunucu/uygulama ayarlarını güvenli bir şekilde yapılandırın.
  
• Geniş Kapsamlı Günlükleme ve İzleme:
  * Tüm API erişimlerini, başarısız kimlik doğrulama girişimlerini, yetkilendirme hatalarını ve kritik iş akışı olaylarını kaydedin.
  * Anormal davranışları tespit etmek ve güvenlik olaylarına hızlı yanıt vermek için bu günlükleri sürekli olarak izleyin. Otomatik uyarı sistemleri kurmak kritik öneme sahiptir.
  
• API Ağ Geçitleri (API Gateways):
  * Bir API Ağ Geçidi, tüm API istekleri için tek bir giriş noktası sağlayarak kimlik doğrulama, yetkilendirme, hız sınırlama, önbellekleme ve günlükleme gibi çapraz kesen güvenlik endişelerini merkezi olarak yönetebilir. Bu, her bir mikro hizmetin kendi güvenlik mantığını uygulaması yerine daha tutarlı ve yönetilebilir bir güvenlik duruşu sağlar.
  
• Düzenli Güvenlik Testleri ve Denetimleri:
  * API'ler, sızma testleri, güvenlik denetimleri ve otomatik güvenlik tarayıcıları kullanılarak düzenli olarak test edilmelidir.
  * Kod incelemeleri ve tehdit modelleme, geliştirme sürecinin erken aşamalarında güvenlik açıklarının tespit edilmesine yardımcı olur.

// Sunucu tarafı (JWT oluşturma örneği)
const jwt = require('jsonwebtoken');
const user = { id: 123, role: 'admin' };
const token = jwt.sign(user, 'SUPER_GIZLI_ANAHTAR', { expiresIn: '1h' });
// İstemciye gönder: { token: "eyJhbGciOi..." }

// İstemci tarafı (JWT ile API isteği)
fetch('/api/secure-data', {
    method: 'GET',
    headers: {
        'Authorization': `Bearer ${token}`
    }
})
.then(response => response.json())
.then(data => console.log(data));

// Sunucu tarafı (JWT doğrulama örneği - Express.js middleware)
function authenticateToken(req, res, next) {
    const authHeader = req.headers['authorization'];
    const token = authHeader && authHeader.split(' ')[1];

    if (token == null) return res.sendStatus(401); // Yetkilendirilmemiş

    jwt.verify(token, 'SUPER_GIZLI_ANAHTAR', (err, user) => {
        if (err) return res.sendStatus(403); // Geçersiz token
        req.user = user;
        next();
    });
}

"Güvenlik, bir ürünün veya hizmetin sonuna eklenen bir özellik değil, tasarım aşamasından itibaren entegre edilmesi gereken temel bir prensiptir." - Bruce Schneier

Genişletmek için tıkla ...