La progettazione sicura delle API implica proteggere le API da abusi e attacchi — attraverso autenticazione/autorizzazione appropriata, validazione degli input, rate limiting, HTTPS e gestione attenta dei dati. Le API sono bersagli comuni di attacchi, quindi proteggerle è importante.
Pratiche fondamentali di sicurezza delle API
✓ AUTHENTICATION → verify who's calling (API keys, OAuth tokens, JWT) — don't leave
endpoints open
✓ AUTHORIZATION → check the caller is allowed for EACH endpoint/resource (per-request,
server-side; prevent accessing others' data — broken access control / IDOR)
✓ HTTPS/TLS → always (encrypt API traffic; never plain HTTP)
✓ INPUT VALIDATION → validate/sanitize all inputs (prevent injection, malformed data)
✓ Don't EXPOSE sensitive data → return only needed fields; no secrets/internal data in responses
