As APIs geram valor por meio de sua capacidade de abstração na camada de aplicação. Por exemplo, o uso de uma API para abstrair o acesso a sistemas e dados internos permite simplificar e automatizar o acesso a sistemas legados de TI. As APIs também são o meio pelo qual se viabiliza a integração com ecossistemas e parceiros. Além disso, atualmente elas são o principal recurso de automação e orquestração, o que as torna uma das tecnologias fundamentais para uma jornada de transformação digital bem-sucedida. Assim, as APIs se tornaram estratégicas para as empresas como fonte de inovação, eficiência operacional e monetização.
Monetização
Em uma economia digital, tudo o que pode gerar receita acabará sendo monetizado. Isso se aplica especialmente às APIs, e pesquisas indicam que a economia das APIs é robusta.
- Mais de uma em cada dez empresas (11%) gera mais da metade de sua receita com APIs e implementações relacionadas a APIs. (Valor comercial das APIs)
- Impressionantes 59% das empresas geram entre 26% e 50% da receita de sua organização por meio de APIs. (Valor comercial das APIs)
Integração
As APIs substituíram os ESBs e os portais web como o principal meio de integração entre empresas. A importância das APIs como componente estratégico para o sucesso dos negócios na economia digital está amplamente documentada.
o Mais de 60% concordam que a integração de APIs é essencial para sua estratégia de negócios. (Panorama da integração de APIs em 2018)
o Mais de 50% de toda a colaboração B2B ocorrerá por meio da integração de APIs. (Estado da Integração de APIs 2018)
o 51% citam a “parceria com organizações externas” como um dos principais fatores na decisão de desenvolver APIs.
(State of the API 2019)
A dependência das empresas e das arquiteturas de aplicações modernas, como microsserviços, em relação às APIs faz delas um alvo particularmente atraente para invasores que entendem o valor de obter acesso — ou controle — sobre esses endpoints. Esse risco exige maior atenção à camada de API, especialmente à proteção do acesso às funções de negócios que elas representam.
A autenticação não é opcional
A segurança das APIs começa pelo acesso. E isso significa autenticação. APIs abertas não devem descrever um modelo de acesso a APIs. Trata-se de um atributo que indica que a API está bem documentada e segue um padrão. A invocação de APIs deve sempre exigir autenticação e, idealmente, autorização.
Há várias opções disponíveis e, antes de escolher, você deve conhecer os recursos e as limitações de cada uma.
- BOM: HTTP Basic
A autenticação HTTP Basic é o padrão. É a maneira mais simples e comum de exigir autenticação para tráfego baseado em HTTP, como ocorre atualmente com a maioria das APIs. A desvantagem da autenticação Basic é que ela exige credenciais e, como todos sabemos, as credenciais costumam ser compartilhadas entre vários aplicativos. Credenciais roubadas (ou expostas) são cada vez mais usadas por invasores para obter acesso a sistemas. A robustez das senhas e onde/como elas são armazenadas também influenciam a segurança geral desse método. É melhor do que nada. - MELHOR: Chaves de API
As chaves de API são um avanço em relação à autenticação HTTP Basic, pois são emitidas (e, presume-se, monitoradas) pelo emissor. As chaves de API são distribuídas e usadas para diversas finalidades além da segurança, incluindo medição de uso e faturamento. No entanto, elas geralmente são estáticas, o que significa que podem ser extraídas e usadas por terceiros para se passar por um usuário legítimo. O compartilhamento de chaves também é um problema real. Assim como as credenciais, as chaves podem ser — e de fato são — compartilhadas entre colegas de trabalho e familiares. E, quanto mais elas circulam, maior é a probabilidade de serem obtidas e usadas por alguém com intenções maliciosas. - MELHOR: Tokens com expiração
O uso de tokens se tornou mais comum à medida que o número de APIs aumentou. Os dois mais usados atualmente são os tokens OAuth (usados exclusivamente para APIs) e JWT (JSON Web Tokens). O uso do JSON como formato padrão para a troca de declarações sobre o acesso a recursos baseados em HTTP e sua aplicabilidade fora das APIs fizeram com que o JWT se tornasse um dos mecanismos de autenticação e autorização mais utilizados atualmente. Ele conta até mesmo com uma RFC (7519). Assim como seu equivalente em XML, o SAML, é emitida uma declaração JSON que descreve o escopo de acesso e a função do usuário autenticado. Ela é altamente portável e, sobretudo, inclui uma data e hora de expiração, o que dificulta seu uso para se passar por um usuário autenticado. A desvantagem é que os tokens exigem mais trabalho de integração e nem sempre contam com suporte nativo. Isso pode levar a erros de implementação que, involuntariamente, criam possibilidades de exploração.
A segurança de APIs pode ser implementada diretamente em uma aplicação ou, de preferência, em um API Gateway. Um API Gateway pode aumentar a proteção das APIs com recursos como limitação de taxa (para evitar ataques acidentais ou intencionais de negação de serviço) e autorização. A autorização restringe o acesso às APIs, permitindo que somente clientes específicos, geralmente identificados por tokens ou chaves de API, acessem determinadas chamadas de API. Um API Gateway também pode limitar os métodos HTTP utilizados e registrar tentativas de uso indevido de outros métodos, para que você fique ciente das tentativas de ataque.
Nossa dependência de aplicações significa que as APIs das quais elas dependem também precisam ser protegidas. Se você ainda não começou pelo básico, está na hora de agir. Para proteger sua empresa, você precisará de APIs seguras.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...