Revisado em por Roberto Lima
Neste artigo
Por que APIs são Alvo de Ataques
APIs são a espinha dorsal das aplicações modernas - conectam frontends, mobile apps, parceiros e serviços. Essa onipresenca as torna alvos atrativos: APIs frequentemente expõem dados e funcionalidades diretamente, com menos camadas de proteção que interfaces web tradicionais.
OWASP API Security Top 10 (2023)
Broken Object Level Authorization (BOLA)
A vulnerabilidade mais comum. APIs expõem endpoints com IDs de objetos sem verificar se o usuário tem autorização para acessar aquele objeto específico. Atacante altera ID na requisição para acessar dados de outros usuários.
Mitigação: Validar autorização para cada objeto, não confiar apenas em autenticação.
Broken Authentication
Falhas na implementação de autenticação: tokens fracos, falta de rate limiting em login, credenciais em URL, tokens que não expiram.
Mitigação: OAuth 2.0/OIDC bem implementado, MFA, tokens de curta duração, rate limiting.
Broken Object Property Level Authorization
API retorna mais propriedades do objeto do que o usuário deveria ver, ou permite modificar propriedades que não deveria (mass assignment).
Mitigação: Definir explicitamente quais campos retornar/aceitar por endpoint e role.
Unrestricted Resource Consumption
Falta de limites permite consumo excessivo de recursos: requests ilimitados, uploads grandes, queries complexas que causam DoS.
Mitigação: Rate limiting, quotas, limites de tamanho, timeouts, paginacao.
Broken Function Level Authorization
Falha na verificação de autorização para funções administrativas. Usuário comum acessa endpoints de admin apenas alterando a URL.
Mitigação: Verificar autorização em cada função, não apenas autenticação. RBAC bem implementado.
Outras vulnerabilidades do Top 10
- API6 - Unrestricted Access to Sensitive Business Flows: Automação maliciosa de fluxos de negócio
- API7 - Server Side Request Forgery (SSRF): API faz requests para URLs controladas pelo atacante
- API8 - Security Misconfiguration: Headers de segurança ausentes, verbose errors, CORS permissivo
- API9 - Improper Inventory Management: APIs antigas/shadow não documentadas permanecem expostas
- API10 - Unsafe Consumption of APIs: Confiar cegamente em dados de APIs de terceiros
Autenticação e Autorização
Padrões recomendados
- OAuth 2.0 + OIDC: Padrão para autorização delegada e autenticação
- JWT: Para tokens stateless, com validação correta de assinatura e claims
- API Keys: Apenas para identificação, não como único fator de autenticação
- mTLS: Para comunicação entre serviços (service mesh)
Melhores Práticas de Proteção
Checklist de Segurança de APIs
- Autenticação forte em todos os endpoints (OAuth 2.0/OIDC)
- Autorização verificada por objeto E por função
- Rate limiting e throttling implementados
- Validação de input em todos os parametros
- HTTPS obrigatório, TLS 1.2+
- Headers de segurança configurados
- Logging de todas as requisições para auditoria
- Versionamento de API com deprecacao de versões antigas
- Documentação atualizada (OpenAPI/Swagger)
- Pentest periódico de APIs
Conclusão
A segurança de APIs e um dos pilares críticos da cibersegurança moderna. Com a proliferacao de arquiteturas baseadas em microsserviços e a exposição crescente de funcionalidades via API, proteger esses endpoints se tornou tão importante quanto proteger aplicações web tradicionais.
O OWASP API Security Top 10 fornece um roteiro claro das vulnerabilidades mais críticas. A maioria dos problemas - como BOLA, broken authentication e misconfiguration - pode ser evitada com boas práticas de desenvolvimento e revisão de código. Investir em DevSecOps com ferramentas de análise estática e dinâmica, combinado com pentest periódico de APIs, e a estratégia mais eficaz para manter suas APIs seguras.
Lembre-se: APIs são contratos de confiança entre sistemas. Protege-las e proteger seu negócio e seus clientes.
Precisa de Pentest de APIs?
Realizamos testes de segurança em APIs REST, GraphQL e SOAP seguindo OWASP API Security.
Solicitar Proposta
