API и интеграции

Проектируйте надёжные API с понятными контрактами, правами доступа и обработкой сбоев.

92 статей · Последнее обновление статьи

Поиск охватывает все статьи раздела, включая архив и тексты статей.

PaperCut NG/MF, PaperCut Hive: отделить содержимое от скриптов

Опубликовано · Обновлено

PaperCut NG/MF, PaperCut Hive: межсайтовый скриптинг XSS. Разбор за 2026-10-24: 4 записи версий и 4 CVE, документированные версии и проверки для направления «платформы выполнения» на основе CERTFR-2026-AVI-1377.

Читать статью

Magento Open Source, Adobe Commerce B2B: отделить содержимое от скриптов

Опубликовано · Обновлено

Magento Open Source, Adobe Commerce B2B: межсайтовый скриптинг XSS. Разбор за 2026-10-14: 19 записей версий и 44 CVE, документированные версии и проверки для направления «платформы выполнения» на основе CERTFR-2026-AVI-1301.

Читать статью

Zabbix: отделить содержимое от скриптов

Опубликовано · Обновлено

Zabbix: межсайтовый скриптинг XSS. Разбор за 2026-10-06: 3 записи версий и 6 CVE, документированные версии и проверки для направления «средства обнаружения» на основе CERTFR-2026-AVI-1261.

Читать статью

QRadar Deployment Intelligence App, AIX: контролировать исходящие запросы

Опубликовано · Обновлено

QRadar Deployment Intelligence App, AIX: подделку серверных запросов SSRF. Разбор за 2026-10-04: 14 записей версий и 363 CVE, документированные версии и проверки для направления «платформы выполнения» на основе CERTFR-2026-AVI-1256.

Читать статью

DSM: защитить запросы к данным

Опубликовано · Обновлено

DSM: SQL-инъекцию. Разбор за 2026-09-21: 4 записи версий и 8 CVE, документированные версии и проверки для направления «резервное копирование» на основе CERTFR-2026-AVI-1209.

Читать статью

MISP: контролировать исходящие запросы

Опубликовано · Обновлено

MISP: подделку серверных запросов SSRF. Разбор за 2026-09-14: 1 запись версий и 19 CVE, документированные версии и проверки для направления «платформы выполнения» на основе CERTFR-2026-AVI-1170.

Читать статью

EcoStruxure IT Data Center Expert: контролировать исходящие запросы

Опубликовано · Обновлено

EcoStruxure IT Data Center Expert: подделку серверных запросов SSRF. Разбор за 2026-09-08: 1 запись версий и 2 CVE, документированные версии и проверки для направления «промышленные системы» на основе CERTFR-2026-AVI-1132.

Читать статью

Roundcube Webmail: контролировать исходящие запросы · 2026-09-07

Опубликовано · Обновлено

Roundcube Webmail: подделку серверных запросов SSRF. Разбор за 2026-09-07: 2 записи версий и 0 CVE, документированные версии и проверки для направления «электронная почта» на основе CERTFR-2026-AVI-1122.

Читать статью

Modèles SMA1000 6210, 7210 et 8200v: контролировать исходящие запросы · 2026-09-05

Опубликовано · Обновлено

Modèles SMA1000 6210, 7210 et 8200v: подделку серверных запросов SSRF. Разбор за 2026-09-05: 2 записи версий и 2 CVE, документированные версии и проверки для направления «сетевой доступ» на основе CERTFR-2026-AVI-1103.

Читать статью

AOS-CX, Fabric Composer: контролировать исходящие запросы

Опубликовано · Обновлено

AOS-CX, Fabric Composer: подделку серверных запросов SSRF. Разбор за 2026-09-02: 6 записей версий и 86 CVE, документированные версии и проверки для направления «сетевой доступ» на основе CERTFR-2026-AVI-1104.

Читать статью

PostgreSQL: защитить запросы к данным

Опубликовано · Обновлено

PostgreSQL: SQL-инъекцию. Разбор за 2026-08-14: 5 записей версий и 28 CVE, документированные версии и проверки для направления «базы данных» на основе CERTFR-2026-AVI-1024.

Читать статью

Telerik UI pour AJAX: контролировать исходящие запросы

Опубликовано · Обновлено

Telerik UI pour AJAX: подделку серверных запросов SSRF. Разбор за 2026-08-07: 1 запись версий и 13 CVE, документированные версии и проверки для направления «веб-приложения» на основе CERTFR-2026-AVI-0977.

Читать статью

PHP: защитить запросы к данным

Опубликовано · Обновлено

PHP: SQL-инъекцию. Разбор за 2026-07-31: 4 записи версий и 4 CVE, документированные версии и проверки для направления «платформы выполнения» на основе CERTFR-2026-AVI-0952.

Читать статью

Security Center: защитить запросы к данным

Опубликовано · Обновлено

Security Center: SQL-инъекцию. Разбор за 2026-07-24: 1 запись версий и 54 CVE, документированные версии и проверки для направления «средства обнаружения» на основе CERTFR-2026-AVI-0905.

Читать статью

Splunk Enterprise: проверить действия сессии

Опубликовано · Обновлено

Splunk Enterprise: подделку межсайтовых запросов CSRF. Разбор за 2026-07-18: 14 записей версий и 31 CVE, документированные версии и проверки для направления «средства обнаружения» на основе CERTFR-2026-AVI-0888.

Читать статью

Modèles SMA1000 6210, 7210 et 8200v: контролировать исходящие запросы

Опубликовано · Обновлено

Modèles SMA1000 6210, 7210 et 8200v: подделку серверных запросов SSRF. Разбор за 2026-07-15: 2 записи версий и 2 CVE, документированные версии и проверки для направления «сетевой доступ» на основе CERTFR-2026-AVI-0875.

Читать статью

Понимание темы

Практическое руководство по этой теме

Связанная функция зависит от идентификаторов, контрактов интерфейса, поставщиков и режимов сбоев. Эта категория связывает проектирование API, безопасность, непрерывность и качество обслуживания, получаемого пользователями.

Что следует изучить
  • Определение вызовов, необходимых для каждого пути пользователя, и их владельцев.
  • Планирование сроков, ошибок, безопасных повторных попыток и видимого ухудшения.
  • Репетиция сбоев, восстановления и реагирования на инциденты.
  • Сравнение фактических ответов с документированным контрактом перед изменением интерфейса.
  • Тестирование прав для каждого объекта и поля GraphQL, затем привязка вложенности, списков и псевдонимов по фактической стоимости.
  • Преобразуйте полученное уведомление в уникальный, отслеживаемый бизнес-эффект, восстанавливаемый после сбоя.
  • Разделите общий, частный и прикладной кэш, проверьте ключи, повторную проверку и аннулирование после изменения прав доступа.
  • Импорт URL может непреднамеренно открыть доступ к внутренним ресурсам.
  • Ограничения влияют на ёмкость, повторы и распределение между клиентами.
  • Изменяющийся набор может приводить к пропускам и повторениям.
  • Полученные файлы проверяют до публикации или обработки.
  • Общий кеш разделяет публичный контент и личные ответы.
  • Принятый запрос не доказывает завершение работы.
  • Разделить созданные, полученные и пригодные события, не считая тишину отсутствием инцидентов.
  • Задайте контракт сообщений iframe или всплывающего окна, отклоняющий неожиданных отправителей и данные.
  • Проверять пути, ссылки и распакованные данные до публикации файлов.
  • Проследить продление до точек завершения TLS и клиентов перед закрытием изменения.
Полезные вопросы
  • Что произойдет, если поставщик перестанет отвечать?
  • Может ли повторная попытка повторить действие?
  • Какие доказательства показывают, что восстановление работает?
  • На каких существующих клиентов повлияет новая версия?
  • Может ли резолвер вернуть закрытое поле после того, как его родительское поле было разрешено?
  • Какие байты подписываются?
  • Означает ли отсутствие кэша, что ничего не сохраняется?
  • Достаточно проверить первый URL?
  • Доказывает ли 429, что предыдущая запись не выполнилась?
  • Доказывает ли ожидаемое число строк полноту выгрузки?
  • Разрешённое расширение доказывает безопасность?
  • Предотвращает ли cookie общий кэш?
  • Доказывает ли 202 будущее завершение?
  • Доказывают ли три строки сохранение трёх событий?
  • Достаточно ли проверки event.origin?
  • Гарантирует ли маленький архив или фильтр безопасность?
  • Достаточно ли успешного продления ACME?

Иллюстративный пример решения

Ситуация
Вымышленный пример: данные не описывают клиента или наблюдаемый результат. Два чтения быстрые, но одно показывает прежнюю доступность после изменения источника.
Проверка
Сравнить значение, версию, точку чтения и время после изменения. Проверить инвалидирование, истечение срока и обращение к источнику по контракту системы.
Действие
Определить допустимое устаревание для каждого применения и отслеживать расхождения. Малая задержка не доказывает согласованность выдаваемых данных.

Кэш API: свежесть, изоляция и согласованность

HTTP-кэширование: защита персонализированных ответов

IETF — RFC 9111, HTTP Caching

Проверка получателя и разрешений

Подписанный токен не авторизует автоматически операцию с объектом. Проверьте эмитента, аудиторию, срок действия и доступ к нескольким учетным записям; добавьте ожидаемые отказы наряду с успешными случаями.

Действительно ли токен, действительный для другого API или роли, отклонен?

Изучение методов

Читать данные и решать

Повторы API: считать полный бюджет времени

Четыре попытки включают три повтора.

Всего попыток
41 + 3
Сумма ожиданий (мс)
700100 + 200 + 400
Бюджет модели (мс)
17004 × 250 + 700

Вымышленный учебный случай: числа не описывают CIE или клиентов.

Проверить бюджет повторов

n × T + W × (2^(n−1) − 1)

Вопросы для подготовки решений

Ответы и практические проверки — в аналитических материалах этого раздела.

Материалы из архива

Другие материалы по теме помимо новых статей, приведённых ниже.

MOVEit Transfer: отделить содержимое от скриптов

MOVEit Transfer: межсайтовый скриптинг XSS. Разбор за 2026-07-11: 1 запись версий и 3 CVE, документированные версии и проверки для направления «платформы выполнения» на основе…

Опубликовано Обновлено

API: Ключевой элемент современной цифровой инфраструктуры

В мире современных веб-сайтов и мобильных приложений немыслимо представить успешный цифровой продукт без использования API. Именно они лежат в основе взаимосвязи между различными…

Опубликовано Обновлено

Как no-code AI-коннекторы и API-автоматизация трансформируют интеграции в бизнесе

Современным компаниям для эффективной работы необходимо объединять различные цифровые решения, платформы и сервисы. Традиционная интеграция через API требует технической экспертизы, что…

Опубликовано Обновлено

Эффективное использование OpenAI API для генерации контента, анализа данных и создания ассистентов

Искусственный интеллект стремительно меняет бизнес-процессы и открывает новые горизонты для компаний, работающих с цифровым контентом и большими объемами данных. OpenAI API - один из…

Опубликовано Обновлено

Первоисточники

Документы организаций, разработавших эти методы и стандарты.