API-Sicherheitstests für REST und GraphQL

API-Sicherheitstests sind die Bewertung einer Programmierschnittstelle auf Schwachstellen, die Aufrufern den Zugriff auf Daten oder Funktionen erlauben, die sie nicht haben sollten, indem gezielt gebaute Anfragen direkt an ihre Endpunkte gesendet werden.

Mobile Apps, Single-Page-Web-Apps, Partner und Integrationen sprechen alle mit Ihrer API. Die Oberfläche mag Felder und Schaltflächen verbergen, aber die API antwortet jedem, der die richtige Anfrage sendet. Deshalb legen APIs oft mehr offen als beabsichtigt: vollständige Datensätze, wenn die App nur einen Namen zeigt, Aktionen, die durch Ändern einer Adresse erreichbar sind, oder keine Begrenzung, wie schnell jemand Logins versuchen oder Daten abziehen kann. API-Tests lassen die Oberfläche beiseite und prüfen, was der Server selbst erlaubt.

Man nimmt leicht an, dass der Test der Website auch die API dahinter testet. Das tut er nicht. Die Website nutzt die API so, wie ihre Designer es vorgesehen haben, über die Schaltflächen und Bildschirme, die sie gebaut haben. Ein Angreifer ignoriert all das und ruft die Endpunkte direkt auf, in beliebiger Reihenfolge, mit beliebigen Werten, als jedes Konto, das er bekommen kann. Ganze Problemkategorien zeigen sich nur aus diesem Blickwinkel: ein Endpunkt, der einer Nutzer-ID aus der Anfrage vertraut, ein Feld, das schreibgeschützt sein sollte, aber beschreibbar ist, eine Operation ohne Begrenzung, wie oft sie laufen darf.

Die API für sich zu testen schützt außerdem jeden Client, der von ihr abhängt. Eine einzelne API bedient meist eine Web-App, eine mobile App und oft gleichzeitig Partnerintegrationen. Eine Schwäche dort betrifft alle, daher schützt die Behebung auf API-Ebene das ganze Produkt statt eines Bildschirms.