{"id":4728,"date":"2026-08-11T20:58:51","date_gmt":"2026-08-11T18:58:51","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4728"},"modified":"2026-08-11T22:47:22","modified_gmt":"2026-08-11T20:47:22","slug":"api-security","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/api-security","title":{"rendered":"API Security"},"content":{"rendered":"<p><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/api\">API<\/a> Security<\/strong> (bezpiecze\u0144stwo API) to zestaw praktyk i zabezpiecze\u0144, kt\u00f3re chroni\u0105 interfejsy programistyczne aplikacji (<code>API<\/code>, czyli spos\u00f3b, w jaki programy \u201erozmawiaj\u0105\u201d ze sob\u0105 po sieci) przed nieautoryzowanym dost\u0119pem, nadu\u017cyciem logiki biznesowej, wyciekiem danych i atakami. Obejmuje sprawdzanie, kto wykonuje wywo\u0142anie i czy ma do tego prawo (uwierzytelnianie i autoryzacja), szyfrowanie przesy\u0142anych danych, kontrol\u0119 danych wej\u015bciowych, ograniczanie ruchu, spis wszystkich endpoint\u00f3w oraz monitorowanie i wykrywanie nietypowych zachowa\u0144 w warstwie aplikacji (zwykle ruch HTTP\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTPS<\/a>).<\/p>\n<p>API to dzi\u015b g\u0142\u00f3wna powierzchnia ataku nowoczesnych aplikacji. Aplikacje mobilne, nowoczesne strony (SPA), urz\u0105dzenia IoT, mikrous\u0142ugi i integracje mi\u0119dzy firmami \u2014 wszystkie komunikuj\u0105 si\u0119 przez API, kt\u00f3re udost\u0119pniaj\u0105 logik\u0119 aplikacji i dane wra\u017cliwe (w tym dane osobowe, czyli <code>PII<\/code>). W odr\u00f3\u017cnieniu od klasycznej ochrony stron WWW, bezpiecze\u0144stwo API musi radzi\u0107 sobie z zagro\u017ceniami typowymi dla komunikacji \u201emaszyna do maszyny\u201d, gdzie po drugiej stronie nie ma cz\u0142owieka klikaj\u0105cego w przegl\u0105darce.<\/p>\n<h2>Dlaczego API s\u0105 cz\u0119stym celem atak\u00f3w?<\/h2>\n<p>API pokazuj\u0105 wprost operacje i dane po stronie serwera \u2014 cz\u0119sto bez ekranu aplikacji, kt\u00f3ry ogranicza\u0142by dost\u0119pne akcje. Napastnik widzi, jak wygl\u0105daj\u0105 \u017c\u0105dania i odpowiedzi, mo\u017ce je zmienia\u0107 i powtarza\u0107 tysi\u0105ce razy automatycznie. G\u0142\u00f3wne powody ryzyka:<\/p>\n<ul>\n<li><strong>Widoczna logika i dane<\/strong> \u2013 endpointy zwracaj\u0105 obiekty z identyfikatorami i polami, kt\u00f3re \u0142atwo zgadywa\u0107 po kolei lub modyfikowa\u0107.<\/li>\n<li><strong>Brak interfejsu jako bariery<\/strong> \u2013 ukrycie przycisku w aplikacji niczego nie chroni; liczy si\u0119 tylko kontrola po stronie serwera.<\/li>\n<li><strong>Shadow API i zombie API<\/strong> \u2013 nieudokumentowane lub zapomniane, niezaktualizowane wersje endpoint\u00f3w wci\u0105\u017c dzia\u0142aj\u0105 i nikt ich nie pilnuje.<\/li>\n<li><strong>\u0141atwa automatyzacja<\/strong> \u2013 wywo\u0142ania API prosto opisa\u0107 skryptem, co otwiera drog\u0119 do credential stuffingu (masowego logowania wykradzionymi has\u0142ami), pobierania danych na masow\u0105 skal\u0119 i nadu\u017cy\u0107 logiki biznesowej.<\/li>\n<li><strong>Z\u0142o\u017cone integracje<\/strong> \u2013 ruch mi\u0119dzy mikrous\u0142ugami wewn\u0105trz systemu (tzw. east-west) bywa s\u0142abiej kontrolowany ni\u017c ruch z internetu (north-south).<\/li>\n<\/ul>\n<h2>Jakie s\u0105 g\u0142\u00f3wne zagro\u017cenia API? (OWASP API Security Top 10)<\/h2>\n<p>Bran\u017cowym punktem odniesienia jest <strong>OWASP API Security Top 10 (edycja 2023)<\/strong> \u2014 lista najcz\u0119stszych s\u0142abo\u015bci typowych dla API:<\/p>\n<ul>\n<li><strong>API1: Broken Object Level Authorization (BOLA)<\/strong> \u2013 serwer nie sprawdza, czy pytaj\u0105cy ma prawo do danego obiektu. Wystarczy zmieni\u0107 identyfikator w \u017c\u0105daniu (np. <code>\/orders\/123<\/code> na <code>\/orders\/124<\/code>), by zobaczy\u0107 cudze dane. Najcz\u0119stsza i najgro\u017aniejsza s\u0142abo\u015b\u0107.<\/li>\n<li><strong>API2: Broken Authentication<\/strong> \u2013 s\u0142abe lub \u017ale wdro\u017cone logowanie: podatno\u015b\u0107 na <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/credential-stuffing\">credential stuffing<\/a>, zgadywanie hase\u0142 (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/brute-force\">brute force<\/a>), akceptowanie wygas\u0142ych lub \u017ale sprawdzanych token\u00f3w.<\/li>\n<li><strong>API3: Broken Object Property Level Authorization<\/strong> \u2013 odpowied\u017a zwraca za du\u017co p\u00f3l (nadmierna ekspozycja danych) albo pozwala zapisa\u0107 pola, kt\u00f3rych klient nie powinien zmienia\u0107 (mass assignment).<\/li>\n<li><strong>API4: Unrestricted Resource Consumption<\/strong> \u2013 brak limit\u00f3w (na liczb\u0119 \u017c\u0105da\u0144, ich rozmiar, stronicowanie), co prowadzi do przeci\u0105\u017cenia us\u0142ugi (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dos-denial-of-service\">DoS<\/a>) lub niespodziewanych koszt\u00f3w.<\/li>\n<li><strong>API5: Broken Function Level Authorization<\/strong> \u2013 zwyk\u0142y u\u017cytkownik mo\u017ce wywo\u0142a\u0107 funkcje administracyjne, bo brakuje kontroli uprawnie\u0144 na poziomie pojedynczej operacji.<\/li>\n<li><strong>API6: Unrestricted Access to Sensitive Business Flows<\/strong> \u2013 nadu\u017cycie kluczowych proces\u00f3w (np. zakup, rejestracja) przez automatyzacj\u0119, kt\u00f3rej nikt nie ogranicza.<\/li>\n<li><strong>API7: Server Side Request Forgery (SSRF)<\/strong> \u2013 zmuszenie serwera, by sam wys\u0142a\u0142 \u017c\u0105danie do zasob\u00f3w wewn\u0119trznych, na podstawie niesprawdzonego adresu URL podanego przez napastnika.<\/li>\n<li><strong>API8: Security Misconfiguration<\/strong> \u2013 b\u0142\u0119dne ustawienia: z\u0142e nag\u0142\u00f3wki, zbyt otwarty <code>CORS<\/code>, ustawienia domy\u015blne, brak szyfrowania <code>TLS<\/code>, zbyt szczeg\u00f3\u0142owe komunikaty b\u0142\u0119d\u00f3w.<\/li>\n<li><strong>API9: Improper <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/inventory\">Inventory<\/a> Management<\/strong> \u2013 brak aktualnego spisu endpoint\u00f3w i wersji (st\u0105d shadow\/zombie API, niewy\u0142\u0105czone wersje deweloperskie).<\/li>\n<li><strong>API10: Unsafe Consumption of APIs<\/strong> \u2013 zbyt ufne przyjmowanie odpowiedzi z cudzych API (zewn\u0119trznych) bez ich sprawdzenia i oczyszczenia.<\/li>\n<\/ul>\n<p>Poza list\u0105 OWASP wci\u0105\u017c gro\u017ane s\u0105 klasyczne ataki, gdy dane wej\u015bciowe trafiaj\u0105 do silnika wykonuj\u0105cego polecenia: <code>SQL injection<\/code>, NoSQL injection, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/command-injection\">command injection<\/a> oraz manipulacja tokenami <code>JWT<\/code> (np. wymuszenie algorytmu <code>none<\/code> albo s\u0142aby sekret).<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 bezpiecze\u0144stwo REST, GraphQL i SOAP?<\/h2>\n<p>Rodzaj API wp\u0142ywa na to, gdzie kryje si\u0119 ryzyko i jak si\u0119 przed nim broni\u0107:<\/p>\n<ul>\n<li><strong>REST<\/strong> \u2013 operacje na zasobach przez metody HTTP (<code>GET<\/code>, <code>POST<\/code>, <code>PUT<\/code>, <code>DELETE<\/code>). G\u0142\u00f3wne ryzyka to BOLA\/IDOR (podmiana identyfikatora w adresie) i zwracanie zbyt wielu p\u00f3l w odpowiedziach <code>JSON<\/code>.<\/li>\n<li><strong>GraphQL<\/strong> \u2013 jeden endpoint i bardzo elastyczne zapytania. Tu uwa\u017ca si\u0119 na kosztowne, g\u0142\u0119boko zagnie\u017cd\u017cone zapytania (mog\u0105 przeci\u0105\u017cy\u0107 serwer), na introspekcj\u0119, kt\u00f3ra ujawnia ca\u0142\u0105 struktur\u0119 danych, oraz na kontrol\u0119 uprawnie\u0144 osobno dla ka\u017cdego pola.<\/li>\n<li><strong>SOAP<\/strong> \u2013 komunikaty w formacie <code>XML<\/code> z WS-Security; typowe s\u0142abo\u015bci to ataki na parser XML (XXE), nadmiernie rozbudowane payloady oraz b\u0142\u0119dy w obs\u0142udze podpis\u00f3w i szyfrowania.<\/li>\n<\/ul>\n<h2>Jak zabezpiecza si\u0119 API? (mechanizmy i kontrole)<\/h2>\n<p>Skuteczna ochrona \u0142\u0105czy kontrole na trzech poziomach: w samym projekcie aplikacji, na bramie API i w monitoringu:<\/p>\n<ol>\n<li><strong>Uwierzytelnianie (kto pyta)<\/strong> \u2013 tokeny <code>OAuth 2.0<\/code>\/<code>OpenID Connect<\/code>, <code>JWT<\/code> z poprawnym sprawdzaniem podpisu i czasu wa\u017cno\u015bci, klucze API dla integracji mi\u0119dzy systemami oraz <code>mTLS<\/code> tam, gdzie obie strony musz\u0105 si\u0119 nawzajem zweryfikowa\u0107.<\/li>\n<li><strong>Autoryzacja (czy wolno)<\/strong> \u2013 sprawdzana po stronie serwera dla ka\u017cdego obiektu (chroni przed BOLA) i ka\u017cdej funkcji (chroni przed broken function level authorization); zasada minimalnych uprawnie\u0144.<\/li>\n<li><strong>Szyfrowanie przesy\u0142anych danych<\/strong> \u2013 <code>TLS<\/code> (HTTPS) dla ca\u0142ego ruchu, tak\u017ce wewn\u0119trznego mi\u0119dzy us\u0142ugami.<\/li>\n<li><strong>Kontrola danych wej\u015bcia i wyj\u015bcia<\/strong> \u2013 sprawdzanie \u017c\u0105da\u0144 wed\u0142ug wzorca (np. OpenAPI\/JSON Schema), filtrowanie zwracanych p\u00f3l, ochrona przed mass assignment.<\/li>\n<li><strong>Ograniczanie zasob\u00f3w<\/strong> \u2013 limity liczby \u017c\u0105da\u0144 (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rate-limiting\">rate limiting<\/a>), spowalnianie nadmiernego ruchu (throttling), limity rozmiaru \u017c\u0105dania, stronicowanie i kwoty.<\/li>\n<li><strong>Brama API i WAAP<\/strong> \u2013 brama API (API gateway) zbiera w jednym miejscu uwierzytelnianie, kierowanie ruchu i limity; WAAP\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/waf-web-application-firewall\">WAF<\/a> dok\u0142ada filtrowanie warstwy aplikacji, ale sam nie wykryje nadu\u017cy\u0107 logiki biznesowej.<\/li>\n<li><strong>Spis i wykrywanie endpoint\u00f3w (discovery)<\/strong> \u2013 ci\u0105g\u0142e odnajdywanie endpoint\u00f3w i wersji oraz usuwanie shadow\/zombie API.<\/li>\n<li><strong>Testy bezpiecze\u0144stwa<\/strong> \u2013 analiza kodu i dzia\u0142aj\u0105cej aplikacji (SAST\/DAST), fuzzing API, testy penetracyjne i przegl\u0105dy wpi\u0119te w proces wdro\u017ce\u0144 (CI\/CD), czyli podej\u015bcie shift-left \/ DevSecOps.<\/li>\n<\/ol>\n<h2>Dlaczego API Security jest wa\u017cne dla monitoringu i wykrywania?<\/h2>\n<p>Wiele atak\u00f3w na API to nie pojedyncze w\u0142amania, lecz <strong>nadu\u017cycia logiki biznesowej<\/strong>, kt\u00f3re wygl\u0105daj\u0105 jak normalny ruch \u2014 bramy API i WAF przepuszczaj\u0105 takie \u017c\u0105dania, bo formalnie s\u0105 poprawne. Dlatego do ich wykrycia potrzeba telemetrii i analizy zachowania w warstwie aplikacji:<\/p>\n<ul>\n<li><strong>Pe\u0142na telemetria wywo\u0142a\u0144<\/strong> \u2013 logi i dane o \u017c\u0105daniach i odpowiedziach (endpoint, metoda, kod statusu, to\u017csamo\u015b\u0107, ilo\u015b\u0107, czas) jako podstawa wykrywania.<\/li>\n<li><strong>Wykrywanie enumeracji<\/strong> \u2013 si\u0119ganie po kolei do wielu identyfikator\u00f3w obiekt\u00f3w to typowy \u015blad BOLA\/IDOR; serie odpowiedzi <code>401<\/code>\/<code>403<\/code> sygnalizuj\u0105 pr\u00f3by obej\u015bcia autoryzacji.<\/li>\n<li><strong>Anomalie ilo\u015bci i tempa<\/strong> \u2013 nag\u0142e skoki wywo\u0142a\u0144 jednego endpointu, masowe pobieranie danych, credential stuffing (wiele logowa\u0144 z r\u00f3\u017cnymi danymi).<\/li>\n<li><strong>Powi\u0105zanie z ruchem sieciowym<\/strong> \u2013 w architekturze mikrous\u0142ug obserwacja ruchu wewn\u0119trznego east-west (telemetria przep\u0142yw\u00f3w, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a>, logi service mesh) pomaga zauwa\u017cy\u0107 boczne przemieszczanie si\u0119 napastnika i nietypowe po\u0142\u0105czenia mi\u0119dzy us\u0142ugami.<\/li>\n<li><strong>Wykrywanie shadow API<\/strong> \u2013 bierne podgl\u0105danie ruchu ujawnia endpointy, kt\u00f3rych nie ma w dokumentacji i kt\u00f3re wymykaj\u0105 si\u0119 kontroli.<\/li>\n<\/ul>\n<p>Dla zespo\u0142\u00f3w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a> i rozwi\u0105za\u0144 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a> \/ monitoringu sieci API to warstwa, w kt\u00f3rej sygna\u0142em ataku jest najcz\u0119\u015bciej wzorzec zachowania (kto, do jakich obiekt\u00f3w i jak cz\u0119sto si\u0119ga), a nie pojedyncze z\u0142o\u015bliwe \u017c\u0105danie.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/owasp-top-10\">OWASP Top 10<\/a> \u2014 Wskazuje najcz\u0119stsze luki webowe, kt\u00f3re cz\u0119sto obejmuj\u0105 b\u0142\u0119dy w autoryzacji i zabezpieczeniu API.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rest-api\">REST API<\/a> \u2014 API Security dotyczy ochrony interfejs\u00f3w REST przed nadu\u017cyciami, wyciekiem danych i b\u0142\u0119dn\u0105 autoryzacj\u0105.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/application-layer-attack-l7\">Application Layer Attack (L7)<\/a> \u2014 Ataki L7 cz\u0119sto wykorzystuj\u0105 API jako punkt wej\u015bcia do aplikacji i kradzie\u017cy danych.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/integracja-logow-audytu-sycope-z-siem-w-celu-zwiekszenia-zgodnosci-i-monitorowania\">Integracja log\u00f3w audytu Sycope z SIEM w celu zwi\u0119kszenia zgodno\u015bci i monitorowania<\/a> \u2014 Logi audytu wspieraj\u0105 wykrywanie nadu\u017cy\u0107 i \u015bledzenie zdarze\u0144 zwi\u0105zanych z bezpiecze\u0144stwem API.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-netflow-i-jak-wykorzystuje-sie-go-w-praktyce\">Czym jest NetFlow i jak ten protok\u00f3\u0142 jest wykorzystywany w praktyce?<\/a> \u2014 NetFlow pomaga obserwowa\u0107 ruch do API i wykrywa\u0107 nietypowe wzorce komunikacji.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4728","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"API Security","ikona":"","krotki_opis":"Praktyki i zabezpieczenia chroni\u0105ce interfejsy API przed nieautoryzowanym dost\u0119pem, nadu\u017cyciem logiki biznesowej i wyciekiem danych: uwierzytelnianie, autoryzacja, szyfrowanie, monitoring."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4728","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4728"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}