امنیت API یک تنظیم نیست؛ مجموعه‌ای از لایه‌هاست. این فهرست برای مرور پیش از بهره‌برداری نوشته شده است. جزئیات هر مورد در مستندات رسمی نسخه شما آمده است.
هویت و دسترسی
- هر API با OAuth2 یا کلید API محافظت شود؛ APIهای باز را آگاهانه و محدود نگه دارید.
- دامنه‌ها (Scopes) را کم‌دسترسی تعریف کنید و به نقش‌ها نگاشت دهید.
- عمر توکن‌ها کوتاه و چرخش رمز و کلیدها برنامه‌ریزی‌شده باشد.
- برای ارتباط سرویس به سرویس mTLS را بسنجید.
کنترل ترافیک
- برای هر برنامه و اشتراک سقف مصرف تعریف شود.
- پیام‌های بزرگ و درخواست‌های غیرعادی محدود شوند.
- برای GraphQL محدودیت عمق و پیچیدگی کوئری فعال شود.
پیکربندی و عملیات
- رمزهای پیش‌فرض نصب را عوض کنید و دسترسی به کنسول مدیریت را به شبکه داخلی محدود کنید.
- گذرواژه‌ها را در TOML نگذارید؛ از رمزنگاری پیکربندی یا مدیر اسرار استفاده کنید.
- لاگ دسترسی و رویدادهای امنیتی را به سامانه مرکزی بفرستید.
- به‌روزرسانی‌های امنیتی را دنبال کنید؛ نسخه‌های ۴.۷ پیش‌فرض‌های امن‌تری مانند کلید متصل به API و رمزنگاری AES با کلید ۲۵۶ بیتی (GCM) آورده‌اند.
برای بازبینی پیکربندی و آزمون پیش از بهره‌برداری می‌توانید از خدمات ما کمک بگیرید.
این مقاله بر پایه مستندات رسمی WSO2 نوشته شده است و ممکن است با نسخه شما کمی تفاوت داشته باشد. اگر اشتباهی دیدید، خبر بدهید.