Jak zabezpečíte REST API (autentizace, autorizace, přenos)?

Question

IT Interview Practice · Accepted Answer

Zabezpečení REST API znamená odpovědět na tři otázky u každého požadavku: **kdo jsi** (autentizace), **co smíš dělat** (autorizace) a **je kanál soukromý** (přenos). Protože REST je **stateless**, přihlašovací údaje musí cestovat s každým požadavkem, místo aby žily v session serveru.

## Přenos: vždy HTTPS

Vše níže předpokládá **TLS/HTTPS**. Bez něj tokeny a API klíče cestují v plaintextu a lze je odposlechnout. Tohle je nediskutovatelné — bearer token přes HTTP je uniklý token.

## Možnosti autentizace

**API klíče** — statické tajemství v hlavičce. Jednoduché; vhodné pro server-to-server a identifikaci *aplikace*, ne uživatele. Samy o sobě slabé (bez expirace, bez scope), pokud se nedoplní o víc.
```http
GET /data HTTP/1.1
Authorization: Bearer sk_live_a1b2c3...
```

**OAuth 2.0** — standard pro **delegovaný** přístup („nech App X číst moje data bez mého hesla“). Aplikace získá **access token** přes flow (např. Authorization Code) a pošle ho jako bearer token. Takto fungují „Sign in with Google“ a integrace třetích stran.

**JWT (JSON Web Token)** — běžný *formát* tokenů: podepsaný, soběstačný token nesoucí claims (user id, role, expirace). Server ověří podpis — není potřeba dotaz do databáze, což sedí na stateless REST.
```text
header.payload.signature   (base64url)
payload: { "sub": "42", "scope": "orders:read", "exp": 1737800000 }
```

## Autorizace: scopes a role

Autentizace prokazuje identitu; **autorizace** rozhoduje o přístupu. Tokeny nesou **scopes** (`orders:read`, `orders:write`) nebo role; server je kontroluje u každého endpointu a vrací `403 Forbidden`, když nestačí (vs `401` u chybějící/neplatné auth).

```text
Žádný/neplatný token      → 401 Unauthorized
Platný token, chybí scope → 403 Forbidden
```

## Další nezbytnosti

```text
✓ Krátkodobé access tokeny + refresh tokeny (omezí dopad při úniku)
✓ Rate limiting (429) k otupení brute-force a zneužití
✓ Validujte/sanitizujte všechen vstup; nikdy nevěřte klientovi
✓ Princip nejmenších oprávnění (least privilege) u scopes
```

## Proč je to důležité

Bezpečnost je místo, kde se z malé chyby stane průnik, takže tazatelé tím zjišťují, zda o ní uvažujete strukturálně, a ne že jen odříkáváte buzzwordy. Signál, který hledají, je, že **oddělujete tři vrstvy** — přenos (HTTPS, vždy), autentizaci (prokázání identity, bezstavově, přes bearer tokeny/JWT/OAuth) a autorizaci (scopes a nejmenší oprávnění) — a že je nesměšujete, např. správně používáte `401` pro „neautentizováno“ versus `403` pro „autentizováno, ale bez povolení“. Silné odpovědi ukazují povědomí o praktických kompromisech: JWT jsou pohodlné a bezstavové, ale těžko se odvolávají před expirací (proto krátká životnost plus refresh tokeny), API klíče identifikují aplikace, ne uživatele, a OAuth existuje právě proto, aby uživatelé nepředávali své heslo třetím stranám. Propojení s bezstavovostí REST — přihlašovací údaje u každého požadavku, žádná session serveru — ukazuje, že chápete, *proč* bezpečnost API vypadá tak, jak vypadá.

Přenos: vždy HTTPS

Možnosti autentizace

Autorizace: scopes a role

Další nezbytnosti

Proč je to důležité

Související otázky