ממשקי API ואינטגרציות

תכננו ממשקים אמינים עם חוזים ברורים, בקרת גישה וטיפול בתקלות.

92 מאמרים · המאמר האחרון שעודכן

החיפוש כולל את כל המאמרים בנושא, לרבות הארכיון ותוכן המאמרים.

Zabbix: הפרדת תוכן מסקריפטים

פורסם · עודכן

Zabbix: הזרקת סקריפטים XSS. המקרה מיום 2026-10-06 בוחן 3 רשומות גרסה ו־6 מזהי CVE, גרסאות מתועדות ובדיקות עבור כלי גילוי, על בסיס CERTFR-2026-AVI-1261.

לקריאת המאמר

MISP: בקרה על בקשות יוצאות

פורסם · עודכן

MISP: זיוף בקשות שרת SSRF. המקרה מיום 2026-09-14 בוחן רשומת גרסה אחת ו־19 מזהי CVE, גרסאות מתועדות ובדיקות עבור פלטפורמות הרצה, על בסיס CERTFR-2026-AVI-1170.

לקריאת המאמר

Redmine: הפרדת תוכן מסקריפטים

פורסם · עודכן

Redmine: הזרקת סקריפטים XSS. המקרה מיום 2026-08-27 בוחן 3 רשומות גרסה ו־0 מזהי CVE, גרסאות מתועדות ובדיקות עבור יישומי רשת, על בסיס CERTFR-2026-AVI-1085.

לקריאת המאמר

Splunk Enterprise: בדיקת פעולות סשן

פורסם · עודכן

Splunk Enterprise: זיוף בקשות בין אתרים CSRF. המקרה מיום 2026-07-18 בוחן 14 רשומות גרסה ו־31 מזהי CVE, גרסאות מתועדות ובדיקות עבור כלי גילוי, על בסיס CERTFR-2026-AVI-0888.

לקריאת המאמר

Drupal: הפרדת תוכן מסקריפטים

פורסם · עודכן

Drupal: הזרקת סקריפטים XSS. המקרה מיום 2026-07-16 בוחן 3 רשומות גרסה ו־3 מזהי CVE, גרסאות מתועדות ובדיקות עבור יישומי רשת, על בסיס CERTFR-2026-AVI-0889.

לקריאת המאמר

הבנת הנושא

מדריך מעשי לנושא זה

תכונה מחוברת תלויה בזהויות, חוזי ממשק, ספקים ומצבים של כשל. קטגוריה זו מחברת בין עיצוב API, אבטחה, המשכיות ואיכות השירות שמקבלים המשתמשים.

מה לבחון
  • זיהוי הקריאות החיוניות לכל מסע ובעליהן.
  • תכנון מועדים אחרונים, שגיאות, ניסיונות חוזרים בטוחים ופגיעה נראית לעין.
  • תרגול הפסקות, התאוששות ותגובה לאירועים.
  • השוואה של תגובות בפועל לחוזה המתועד לפני שינוי ממשק.
  • בדיקת זכויות על כל אובייקט ושדה GraphQL, ולאחר מכן קשירת קינון, רשימות וכינויים לפי עלות בפועל.
  • הפיכת הודעה שהתקבלה לאפקט עסקי ייחודי וניתן למעקב, שניתן לשחזר לאחר כישלון.
  • הפרדת מטמונים משותפים, פרטיים ויישומים, בדיקת מפתחות, אימות מחדש ופסילה לאחר שינויים בהרשאות גישה.
  • ייבוא כתובת עלול לפתוח גישה לא מכוונת למשאבים פנימיים.
  • המגבלות משפיעות על קיבולת, ניסיונות וחלוקה בין לקוחות.
  • נתונים משתנים עלולים ליצור חוסרים או כפילויות בייצוא.
  • קבצים שהתקבלו נבדקים לפני פרסום או עיבוד.
  • מטמון משותף מפריד בין תוכן ציבורי לתשובות אישיות.
  • קבלת בקשה אינה מוכיחה שהעבודה הסתיימה.
  • להפריד בין אירועים שנוצרו, התקבלו וניתנים לשימוש; שקט אינו מוכיח שאין תקריות.
  • להגדיר חוזה הודעות ל־iframe או לחלון קופץ הדוחה שולחים ונתונים לא צפויים.
  • לבדוק נתיבים, קישורים ונתונים לאחר פריסה לפני פרסום הקבצים.
  • לעקוב אחרי חידוש עד נקודות TLS והלקוחות לפני סיום השינוי.
שאלות שימושיות
  • מה קורה אם ספק מפסיק להגיב?
  • האם ניסיון חוזר יכול לחזור על פעולה?
  • אילו ראיות מראות ששחזור עובד?
  • אילו לקוחות קיימים תשפיע על גרסה חדשה?
  • האם פותר יכול להחזיר שדה פרטי לאחר שההורה שלו הותר?
  • אילו בתים חתומים?
  • האם אי-מטמון פירושו ששום דבר לא נשמר?
  • האם בדיקת הכתובת הראשונה מספיקה?
  • האם 429 מוכיח שכתיבה קודמת לא בוצעה?
  • האם מספר השורות הצפוי מוכיח שהייצוא שלם?
  • האם סיומת מותרת מוכיחה בטיחות?
  • האם עוגייה מונעת מטמון משותף?
  • האם 202 מוכיח שהעבודה תסתיים?
  • האם שלוש שורות מוכיחות שמירת שלושה אירועים?
  • האם בדיקת event.origin מספיקה?
  • האם ארכיון קטן או מסנן מבטיח בטיחות?
  • האם חידוש ACME מוצלח מספיק?

דוגמה להחלטה להמחשה

סיטואציה
דוגמה בדיונית: הנתונים אינם מתארים לקוח או תוצאה שנצפתה. שתי קריאות מהירות, אך אחת עדיין מציגה זמינות ישנה לאחר שהמקור השתנה.
בדיקה
השוו ערך, גרסה, מקום קריאה וזמן מאז השינוי. בדקו ביטול תוקף, תפוגה וגישה למקור לפי חוזה המערכת.
פעולה
הגדירו התיישנות מותרת לכל שימוש ונטרו פערים. זמן תגובה קצר יותר אינו מוכיח עקביות בנתונים המוגשים.

מטמון API: שלטו בעדכניות, בידוד ועקביות

אחסון במטמון HTTP: הגנה על תגובות מותאמות אישית

IETF — RFC 9111, HTTP Caching

בדיקת נמען והרשאות

אסימון חתום אינו מאשר באופן אוטומטי פעולת אובייקט. בדיקת מנפיק, קהל, תפוגה וגישה בין חשבונות; הוספת דחיות צפויות לצד מקרים מוצלחים.

האם אסימון תקף עבור API או תפקיד אחר נדחה בפועל?

חקר השיטות

לקרוא נתונים ולהחליט

ניסיונות API: לספור את מלוא תקציב הזמן

ארבעה ניסיונות כוללים שלוש חזרות.

כל הניסיונות
41 + 3
סך המתנות (ms)
700100 + 200 + 400
תקציב המודל (ms)
17004 × 250 + 700

מקרה לימודי בדוי: הנתונים אינם מתארים את CIE או לקוחות.

נסו תקציב ניסיונות

n × T + W × (2^(n−1) − 1)

שאלות לקראת קבלת החלטות

תשובות ובדיקות מעשיות בניתוחים שבנושא הזה.

עוד מהארכיון

ניתוחים נוספים בנושא, מעבר למאמרים העדכניים המוצגים בהמשך.

MOVEit Transfer: הפרדת תוכן מסקריפטים

MOVEit Transfer: הזרקת סקריפטים XSS. המקרה מיום 2026-07-11 בוחן רשומת גרסה אחת ו־3 מזהי CVE, גרסאות מתועדות ובדיקות עבור פלטפורמות הרצה, על בסיס CERTFR-2026-AVI-0856.

פורסם עודכן

הכוח של Twilio API לאוטומציה של SMS, שיחות והתראות עסקיות

בעידן הדיגיטלי, תקשורת מהירה, אמינה ומותאמת אישית היא הכרחית לכל עסק השואף לשמור על יתרון תחרותי. בין אם מדובר בשליחת התראות ללקוחות, באימות זהויות או בניהול שיחות עם צוות העובדים…

פורסם עודכן

מקורות עיקריים

מסמכים מקוריים שפורסמו בידי הארגונים האחראים לשיטות ולתקנים הללו.