Rajapinnat ja integraatiot

Rakenna luotettavia rajapintoja selkeillä sopimuksilla, käyttöoikeuksilla ja virhetilanteiden hallinnalla.

92 artikkelia · Viimeksi päivitetty artikkeli

Haku kattaa kaikki tämän aiheen artikkelit, myös arkiston ja artikkelien tekstin.

libmongocrypt, C Driver: suojaa tietokantakyselyt

Julkaistu · Päivitetty

libmongocrypt, C Driver: SQL-injektio. Päivän 2026-10-26 tapaus käsittelee 5 versiokohtaa ja 14 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle tietokannat lähteen CERTFR-2026-AVI-1386 perusteella.

Lue artikkeli

Zabbix: erota sisältö ja komentosarjat

Julkaistu · Päivitetty

Zabbix: XSS-komentosarjainjektio. Päivän 2026-10-06 tapaus käsittelee 3 versiokohtaa ja 6 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle havainnointityökalut lähteen CERTFR-2026-AVI-1261 perusteella.

Lue artikkeli

Instant ON: hallitse lähteviä pyyntöjä

Julkaistu · Päivitetty

Instant ON: palvelinpuolen pyyntöväärennös SSRF. Päivän 2026-09-30 tapaus käsittelee 1 versiokohtaa ja 18 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle verkkoyhteydet lähteen CERTFR-2026-AVI-1238 perusteella.

Lue artikkeli

DSM: suojaa tietokantakyselyt

Julkaistu · Päivitetty

DSM: SQL-injektio. Päivän 2026-09-21 tapaus käsittelee 4 versiokohtaa ja 8 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle varmuuskopiot lähteen CERTFR-2026-AVI-1209 perusteella.

Lue artikkeli

WordPress: erota sisältö ja komentosarjat

Julkaistu · Päivitetty

WordPress: XSS-komentosarjainjektio. Päivän 2026-09-19 tapaus käsittelee 1 versiokohtaa ja 0 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle verkkosovellukset lähteen CERTFR-2026-AVI-1200 perusteella.

Lue artikkeli

MISP: hallitse lähteviä pyyntöjä

Julkaistu · Päivitetty

MISP: palvelinpuolen pyyntöväärennös SSRF. Päivän 2026-09-14 tapaus käsittelee 1 versiokohtaa ja 19 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle suoritusalustat lähteen CERTFR-2026-AVI-1170 perusteella.

Lue artikkeli

laravel/framework: erota sisältö ja komentosarjat

Julkaistu · Päivitetty

laravel/framework: XSS-komentosarjainjektio. Päivän 2026-09-12 tapaus käsittelee 2 versiokohtaa ja 0 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle verkkosovellukset lähteen CERTFR-2026-AVI-1153 perusteella.

Lue artikkeli

AOS-CX, Fabric Composer: hallitse lähteviä pyyntöjä

Julkaistu · Päivitetty

AOS-CX, Fabric Composer: palvelinpuolen pyyntöväärennös SSRF. Päivän 2026-09-02 tapaus käsittelee 6 versiokohtaa ja 86 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle verkkoyhteydet lähteen CERTFR-2026-AVI-1104 perusteella.

Lue artikkeli

Redmine: erota sisältö ja komentosarjat

Julkaistu · Päivitetty

Redmine: XSS-komentosarjainjektio. Päivän 2026-08-27 tapaus käsittelee 3 versiokohtaa ja 0 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle verkkosovellukset lähteen CERTFR-2026-AVI-1085 perusteella.

Lue artikkeli

PostgreSQL: suojaa tietokantakyselyt

Julkaistu · Päivitetty

PostgreSQL: SQL-injektio. Päivän 2026-08-14 tapaus käsittelee 5 versiokohtaa ja 28 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle tietokannat lähteen CERTFR-2026-AVI-1024 perusteella.

Lue artikkeli

Telerik UI pour AJAX: hallitse lähteviä pyyntöjä

Julkaistu · Päivitetty

Telerik UI pour AJAX: palvelinpuolen pyyntöväärennös SSRF. Päivän 2026-08-07 tapaus käsittelee 1 versiokohtaa ja 13 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle verkkosovellukset lähteen CERTFR-2026-AVI-0977 perusteella.

Lue artikkeli

PHP: suojaa tietokantakyselyt

Julkaistu · Päivitetty

PHP: SQL-injektio. Päivän 2026-07-31 tapaus käsittelee 4 versiokohtaa ja 4 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle suoritusalustat lähteen CERTFR-2026-AVI-0952 perusteella.

Lue artikkeli

Security Center: suojaa tietokantakyselyt

Julkaistu · Päivitetty

Security Center: SQL-injektio. Päivän 2026-07-24 tapaus käsittelee 1 versiokohtaa ja 54 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle havainnointityökalut lähteen CERTFR-2026-AVI-0905 perusteella.

Lue artikkeli

Roundcube Webmail: hallitse lähteviä pyyntöjä

Julkaistu · Päivitetty

Roundcube Webmail: palvelinpuolen pyyntöväärennös SSRF. Päivän 2026-07-21 tapaus käsittelee 2 versiokohtaa ja 6 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle sähköposti lähteen CERTFR-2026-AVI-0835 perusteella.

Lue artikkeli

API turvatarkistukset ennen tekoälytyönkulkuja

Julkaistu · Päivitetty

Tekoälytyönkulut nojaavat käytännössä aina rajapintoihin. Kun organisaatio ottaa käyttöön kielimalleja, agenttipohjaisia automaatioita, dokumenttien analysointia tai päätöksenteon tukiratkaisuja, data liikkuu API-kutsujen kautta järjestelmästä…

Lue artikkeli

Splunk Enterprise: tarkista istunnon toiminnot

Julkaistu · Päivitetty

Splunk Enterprise: sivustojen välinen pyyntöväärennös CSRF. Päivän 2026-07-18 tapaus käsittelee 14 versiokohtaa ja 31 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle havainnointityökalut lähteen CERTFR-2026-AVI-0888 perusteella.

Lue artikkeli

Drupal: erota sisältö ja komentosarjat

Julkaistu · Päivitetty

Drupal: XSS-komentosarjainjektio. Päivän 2026-07-16 tapaus käsittelee 3 versiokohtaa ja 3 CVE-tunnistetta, dokumentoituja versioita ja tarkistuksia aiheelle verkkosovellukset lähteen CERTFR-2026-AVI-0889 perusteella.

Lue artikkeli

Ymmärrä aihe

Käytännön opas tähän aiheeseen

Yhdistetty ominaisuus on riippuvainen identiteeteistä, rajapintasopimuksista, toimittajista ja vikatiloista. Tämä kategoria yhdistää API-suunnittelun, tietoturvan, jatkuvuuden ja käyttäjien vastaanottaman palvelun laadun.

Mitä tutkitaan
  • Tunnista kunkin matkan kannalta olennaiset puhelut ja niiden omistajat.
  • Suunnittele määräajat, virheet, turvalliset uudelleenyritykset ja näkyvä heikkeneminen.
  • Harjoittele katkoksia, palautumista ja häiriöihin reagointia.
  • Vertaa todellisia vastauksia dokumentoituun sopimukseen ennen rajapinnan muuttamista.
  • Testaa oikeudet jokaiselle GraphQL-objektille ja -kentälle ja sido sitten sisäkkäisyys, listat ja aliakset todellisten kustannusten perusteella.
  • Muunna vastaanotettu ilmoitus ainutlaatuiseksi, jäljitettäväksi liiketoimintavaikutukseksi, joka on palautettavissa virheen jälkeen.
  • Erota jaetut, yksityiset ja sovellusvälimuistit, tarkista avaimet, uudelleenvahvistus ja mitätöinti käyttöoikeuksien muutosten jälkeen.
  • URL-tuonti voi avata tahattoman pääsyn sisäisiin resursseihin.
  • Rajoitukset vaikuttavat kapasiteettiin, uusintoihin ja asiakkaiden väliseen jakoon.
  • Muuttuva aineisto voi aiheuttaa puutteita tai toistoja viennissä.
  • Vastaanotetut tiedostot tarkistetaan ennen julkaisua tai käsittelyä.
  • Jaettu välimuisti erottaa julkiset sisällöt henkilökohtaisista vastauksista.
  • Hyväksytty pyyntö ei osoita työn valmistumista.
  • Erota tuotetut, vastaanotetut ja käytettävät tapahtumat; hiljaisuus ei osoita häiriöiden puuttumista.
  • Määritä iframe- tai ponnahdusikkunan viestisopimus, joka hylkää odottamattomat lähettäjät ja tiedot.
  • Tarkista polut, linkit ja puretut tiedot ennen tiedostojen julkaisua.
  • Seuraa uusimista päätepisteisiin ja asiakkaille ennen muutoksen valmistumisen ilmoittamista.
Hyödyllisiä kysymyksiä
  • Mitä tapahtuu, jos palveluntarjoaja lakkaa vastaamasta?
  • Voiko uudelleenyritys toistaa toiminnon?
  • Mitä todisteita osoittaa palautumisen toimivuudesta?
  • Mihin olemassa oleviin asiakkaisiin uusi versio vaikuttaisi?
  • Voiko resolveri palauttaa yksityisen kentän sen jälkeen, kun sen pääkenttä on sallittu?
  • Mitkä tavut on allekirjoitettu?
  • Tarkoittaako välimuistin puuttuminen, että mitään ei säilytetä?
  • Riittääkö ensimmäisen URL-osoitteen tarkistus?
  • Todistaako 429, ettei aiempi kirjoitus tapahtunut?
  • Todistaako odotettu rivimäärä viennin täydellisyyden?
  • Todistaako sallittu tiedostopääte turvallisuuden?
  • Estääkö eväste yhteisen välimuistin?
  • Todistaako 202 työn valmistumisen?
  • Todistavatko kolme riviä kolme säilytettyä tapahtumaa?
  • Riittääkö event.origin-tarkistus?
  • Takaako pieni arkisto tai suodatin turvallisuuden?
  • Riittääkö onnistunut ACME-uusiminen?

Havainnollistava päätösesimerkki

Tilanne
Kuvitteellinen esimerkki: tiedot eivät kuvaa asiakasta tai havaittua tulosta. Kaksi lukupyyntöä ovat nopeita, mutta toinen näyttää vanhaa saatavuutta vielä lähteen muuttumisen jälkeen.
Tarkista
Vertaa arvoa, versiota, lukupaikkaa ja muutoksesta kulunutta aikaa. Testaa mitätöinti, vanheneminen ja lähteen käyttö järjestelmäsopimuksen mukaisesti.
Toimi
Määritä hyväksyttävä vanhentuneisuus käyttötavoittain ja seuraa eroja. Pienempi viive ei osoita toimitetun tiedon johdonmukaisuutta.

API-välimuisti: hallitse tuoreutta, eristystä ja yhtenäisyyttä

HTTP-välimuisti: suojaa mukautettuja vastauksia

IETF — RFC 9111, HTTP Caching

Tarkista vastaanottaja ja käyttöoikeudet

Allekirjoitettu tunnus ei automaattisesti valtuuta objektin toimintoa. Testaa myöntäjää, yleisöä, vanhenemista ja tilien välistä käyttöoikeutta; lisää odotettuja hylkäyksiä onnistuneiden tapausten rinnalle.

Onko toiselle API:lle tai roolille kelvollinen tunnus todella hylätty?

Tutki menetelmiä

Lue tiedot ja päätä

API-uusinnat: laske koko aikabudjetti

Neljä yritystä sisältää kolme uusintaa.

Yrityksiä yhteensä
41 + 3
Odotus yhteensä (ms)
700100 + 200 + 400
Mallin aikabudjetti (ms)
17004 × 250 + 700

Kuvitteellinen opetustapaus: luvut eivät kuvaa CIE:tä tai asiakkaita.

Kokeile uusintojen aikabudjettia

n × T + W × (2^(n−1) − 1)

Kysymyksiä päätösten tueksi

Löydä vastauksia ja käytännön tarkistuksia tämän aiheen analyyseistä.

Lisää arkistosta

Muita tämän aiheen analyysejä alla lueteltujen uusimpien artikkelien lisäksi.

API-virheet: selkeät toimet ilman salaisuuksia

Virhevastaus auttaa korjaamaan syötteen, tunnistautumaan, pyytämään oikeuksia tai odottamaan. Julkinen viesti ja sisäinen diagnoosi tarvitsevat eri tarkkuuden.

Julkaistu Päivitetty

Alkuperäiset lähteet

Näiden menetelmien ja standardien taustalla olevien organisaatioiden julkaisut.