एपीआई आधुनिक तकनीक को आगे बढ़ाते हैं, लेकिन उचित एन्क्रिप्शन के बिना, वे संवेदनशील डेटा को गंभीर जोखिमों में डाल देते हैं।. पासवर्ड चोरी होने से लेकर अनुपालन उल्लंघन तक, असुरक्षित API से सुरक्षा में सेंधमारी, जुर्माना और प्रतिष्ठा को नुकसान हो सकता है। अपने API को प्रभावी ढंग से सुरक्षित रखने के लिए आपको ये बातें जाननी चाहिए:

• परिवहन के दौरान सभी डेटा को एन्क्रिप्ट करेंसंचार चैनलों को सुरक्षित करने के लिए TLS 1.3 (या कम से कम 1.2) का उपयोग करें।.
• सुरक्षित रूप से प्रमाणीकरण और प्राधिकरण करेंसुरक्षित पहुंच नियंत्रण के लिए OAuth 2.0, OpenID Connect या JWT लागू करें।.
• अपने पहचान पत्रों को सावधानीपूर्वक संभालें।: एपीआई कुंजी को हार्डकोड करने से बचें; उन्हें सुरक्षित रूप से संग्रहीत करें और नियमित रूप से बदलते रहें।.
• संवेदनशील क्षेत्रों को सुरक्षित करेंक्रेडिट कार्ड नंबर या व्यक्तिगत विवरण जैसी महत्वपूर्ण जानकारी के लिए AES-256 एन्क्रिप्शन का उपयोग करें।.
• उपयोग की निगरानी करें और उसे सीमित करेंखतरों का जल्द पता लगाने के लिए दर सीमाएं लागू करें, अनुरोधों को मान्य करें और गतिविधि को लॉग करें।.

ये कदम न केवल आपके डेटा की सुरक्षा करते हैं बल्कि GDPR, PCI-DSS और HIPAA जैसे नियमों का पालन करने में भी मदद करते हैं। इन प्रक्रियाओं को लागू करने और अपने API को पूरी तरह से सुरक्षित करने के बारे में विस्तृत मार्गदर्शन के लिए आगे पढ़ें।.

एपीआई सुरक्षा: अपने एपीआई को कैसे सुरक्षित रखें (सर्वोत्तम अभ्यास) | एपीआई सुरक्षा ट्यूटोरियल #api

APIs के लिए बुनियादी सुरक्षा आवश्यकताएँ

मजबूत प्रमाणीकरण और सावधानीपूर्वक क्रेडेंशियल प्रबंधन सुरक्षित एपीआई एन्क्रिप्शन की नींव बनाते हैं।.

प्रमाणीकरण और प्राधिकरण विधियाँ

प्रमाणीकरण यह पुष्टि करता है कि एपीआई अनुरोध कौन कर रहा है, जबकि प्राधिकरण यह निर्धारित करता है कि उस उपयोगकर्ता या सिस्टम को कौन से कार्य करने की अनुमति है। जैसा कि एनसीएससी बताता है:

प्रमाणीकरण एपीआई अनुरोध करने वाली इकाई की पहचान को सत्यापित करता है, जबकि प्राधिकरण यह नियंत्रित करता है कि प्रमाणित इकाई को कौन से कार्य करने की अनुमति है।.

प्रतिनिधि पहुंच के लिए सबसे व्यापक रूप से उपयोग किए जाने वाले मानकों में से एक है ओआथ 2.0, इससे तृतीय-पक्ष ऐप्स को पासवर्ड उजागर किए बिना संसाधनों तक पहुँचने की सुविधा मिलती है। उन मामलों के लिए जहाँ उपयोगकर्ता की पहचान सत्यापित करना भी आवश्यक है, ओपनआईडी कनेक्ट (OIDC) यह OAuth 2.0 पर आधारित है, जिसमें एक पहचान परत जोड़ी गई है और प्रमाणीकरण के लिए आईडी टोकन जारी किए गए हैं। इस बीच, JSON वेब टोकन (JWT) इनका उपयोग अक्सर स्टेटलेस टोकन के रूप में किया जाता है जो पक्षों के बीच सुरक्षित रूप से जानकारी (दावे) का आदान-प्रदान करते हैं। इन टोकन में तीन भाग होते हैं: हेडर, पेलोड और हस्ताक्षर।.

प्रमाणीकरण विधि का सर्वोत्तम विकल्प आपकी विशिष्ट आवश्यकताओं पर निर्भर करता है।. एपीआई कुंजी बुनियादी सेवा-से-सेवा संचार के लिए ये सरल हैं, लेकिन इनमें समाप्ति जैसी महत्वपूर्ण सुविधाओं की कमी होती है और लीक होने पर ये असुरक्षित हो जाते हैं। मोबाइल ऐप्स या सिंगल पेज एप्लिकेशन के लिए, JWT बियरर टोकन अधिक मजबूत सुरक्षा प्रदान करें। उपयोगकर्ता लॉगिन या तृतीय-पक्ष एकीकरण से जुड़े परिदृश्यों के लिए, OIDC के साथ OAuth 2.0 यह सबसे व्यापक सुरक्षा प्रदान करता है।.

प्राधिकरण को पैटर्न के माध्यम से प्रबंधित किया जा सकता है जैसे भूमिका-आधारित अभिगम नियंत्रण (RBAC), जो पूर्वनिर्धारित भूमिकाओं के आधार पर अनुमतियाँ प्रदान करता है, या विशेषता-आधारित अभिगम नियंत्रण (ABAC), जो अधिक विस्तृत नियंत्रण के लिए उपयोगकर्ताओं और संसाधनों की विशेषताओं का उपयोग करता है। दृष्टिकोण चाहे जो भी हो, तीन प्रमुख सिद्धांतों का पालन करें: अनुमति दें सबसे कम विशेषाधिकार पहुँच, डिफ़ॉल्ट रूप से अस्वीकार करें जब तक स्पष्ट रूप से अनुमति न दी जाए, और प्रत्येक अनुरोध पर अनुमतियों को सत्यापित करें एक बार की जाँच पर निर्भर रहने के बजाय।.

ये पद्धतियाँ एपीआई संचार को एन्क्रिप्ट करने के लिए एक ठोस आधार तैयार करती हैं।.

एपीआई कुंजी और क्रेडेंशियल को सुरक्षित रूप से प्रबंधित करना

सबसे मजबूत प्रमाणीकरण भी खराब क्रेडेंशियल प्रबंधन से कमजोर पड़ सकता है। एपीआई कुंजी को हार्डकोड करना या उन्हें वर्ज़न कंट्रोल में डालना विशेष रूप से खतरनाक है, क्योंकि हमलावर अक्सर सार्वजनिक रिपॉजिटरी में उजागर क्रेडेंशियल की खोज करते हैं। Google क्लाउड इस जोखिम को रेखांकित करता है:

एपीआई कुंजी वाहक क्रेडेंशियल होती हैं। इसका मतलब है कि अगर कोई एपीआई कुंजी चुरा लेता है... तो वह इसका उपयोग प्रमाणीकरण के लिए कर सकता है... और उन्हीं संसाधनों तक पहुंच प्राप्त कर सकता है।.

ऐसी कमजोरियों से बचने के लिए, क्रेडेंशियल्स को सुरक्षित रूप से स्टोर करें। पर्यावरण चर सर्वर साइड पर या AWS Secrets Manager या HashiCorp Vault जैसे विशेष टूल का उपयोग करके "सीक्रेट्स स्प्रेड" से बचें। क्रेडेंशियल्स को हमेशा सुरक्षित HTTP हेडर के माध्यम से भेजें, और वेब एप्लिकेशन के लिए, केवल Http तथा सुरक्षित टोकन को क्रॉस-साइट स्क्रिप्टिंग (XSS) हमलों से बचाने के लिए कुकीज़ का उपयोग किया जाता है।.

API कुंजी रोटेशन को स्वचालित करने से दुरुपयोग का जोखिम कम हो जाता है। ऑडिटिंग को सरल बनाने और डेटा लीक के प्रभाव को कम करने के लिए प्रत्येक एप्लिकेशन या उपयोगकर्ता को अद्वितीय API कुंजी असाइन करें। API कुंजी पर प्रतिबंध लगाएं, जैसे कि उनके उपयोग को विशिष्ट IP पतों, HTTP रेफरर्स या API एंडपॉइंट्स तक सीमित करना। NCSC निम्नलिखित सलाह देता है:

किसी क्रेडेंशियल की वैधता अवधि को केवल उपयोग के मामले और खतरे के अनुरूप उचित समय तक ही निर्धारित किया जाना चाहिए।.

संवेदनशील डेटा को संभालने वाले प्रोडक्शन सिस्टम के लिए, साधारण API कुंजी से OAuth 2.0 या हस्ताक्षरित JWT जैसी अधिक सुरक्षित विधियों पर स्विच करने पर विचार करें। इसके अतिरिक्त, उपयोग को नियंत्रित करने और सेवा से इनकार (DoS) हमलों से सुरक्षा के लिए API कुंजी का उपयोग करके दर सीमा लागू करें। सीमा पार होने पर, एक त्रुटि संदेश लौटाएँ। 429 बहुत अधिक अनुरोध स्थिति कोड।.

एपीआई संचार को एन्क्रिप्ट कैसे करें

क्लाइंट और सर्वर के बीच डेटा के आदान-प्रदान के दौरान उसकी सुरक्षा के लिए कई स्तरों की सुरक्षा आवश्यक है। ट्रांसपोर्ट-लेवल एन्क्रिप्शन संचार चैनल को सुरक्षित करता है, जबकि फील्ड-लेवल एन्क्रिप्शन विशिष्ट संवेदनशील डेटा के लिए सुरक्षा की एक अतिरिक्त परत प्रदान करता है।.

API के लिए HTTPS और TLS सेटअप करना

सुरक्षित डेटा ट्रांसमिशन सुनिश्चित करने के लिए, प्रत्येक API को निम्नलिखित का उपयोग करके संचालित होना चाहिए: TLS संस्करण 1.2 या उच्चतर. बेहतर सुरक्षा और प्रदर्शन के लिए, TLS 1.3 सबसे उपयुक्त विकल्प है। Let's Encrypt या GlobalSign जैसी विश्वसनीय प्रमाणपत्र प्राधिकरणों से SSL/TLS प्रमाणपत्र प्राप्त करें। स्व-हस्ताक्षरित प्रमाणपत्रों से बचें, क्योंकि वे अक्सर सुरक्षा संबंधी चेतावनियाँ उत्पन्न करते हैं।.

यदि आप उपयोग कर रहे हैं nginx, अपने सर्वर को पोर्ट 443 पर सुनने के लिए कॉन्फ़िगर करें, पथ निर्दिष्ट करें एसएसएल_प्रमाणपत्र तथा ssl_प्रमाणपत्र_कुंजी, और पोर्ट 80 पर HTTP ट्रैफ़िक को 301 रीडायरेक्ट का उपयोग करके HTTPS पर रीडायरेक्ट करें। अमरीका की एक मूल जनजाति, सक्षम करें मॉड_एसएसएल मॉड्यूल में शामिल करें एसएसएल इंजन चालू निर्देश का उपयोग करें, और अपने प्रमाणपत्र फ़ाइलों को परिभाषित करें। <VirtualHost *:443> ब्लॉक। मजबूत सिफर सूट का उपयोग करें जैसे कि टीएलएस_एईएस_128_जीसीएम_शा256 या TLS_CHACHA20_POLY1305_SHA256, और RC4, MD5 और 1024-बिट RSA कुंजी जैसे अप्रचलित सिफर को निष्क्रिय करें।.

सुरक्षा को और बेहतर बनाने के लिए, निम्नलिखित को लागू करें: HTTP सख्त परिवहन सुरक्षा (HSTS) हेडर के साथ अधिकतम उम्र कम से कम छह महीने (15,768,000 सेकंड) की अवधि सुनिश्चित करता है। इससे यह पक्का होता है कि क्लाइंट केवल HTTPS का ही इस्तेमाल करें, जिससे ऐसे डाउनग्रेड हमलों को रोका जा सके जो कनेक्शन को एन्क्रिप्टेड HTTP पर वापस लाने की कोशिश करते हैं। B2B इंटीग्रेशन या IoT डिवाइस जैसे उच्च सुरक्षा की आवश्यकता वाले परिदृश्यों के लिए, इस पर विचार करें। पारस्परिक टीएलएस (एमटीएलएस), जिसमें सर्वर और क्लाइंट दोनों को वैध X.509 प्रमाणपत्रों के साथ प्रमाणीकरण करना अनिवार्य है।.

यह उल्लेखनीय है कि AWS की योजना फरवरी 2024 तक TLS 1.0 और 1.1 को चरणबद्ध तरीके से बंद करने की है, जो आधुनिक प्रोटोकॉल में अपग्रेड करने की आवश्यकता पर जोर देती है।.

विशिष्ट डेटा फ़ील्ड को एन्क्रिप्ट करना

जबकि टीएलएस संचार चैनल को सुरक्षित करता है, फ़ील्ड-स्तरीय एन्क्रिप्शन API पेलोड में मौजूद अत्यंत संवेदनशील जानकारी, जैसे कि सामाजिक सुरक्षा संख्या, क्रेडिट कार्ड विवरण या चिकित्सा रिकॉर्ड, की सुरक्षा करता है। इन फ़ील्ड्स को अलग-अलग एन्क्रिप्ट करें। एईएस 256, प्रसारण से पहले।.

गोपनीयता और अखंडता दोनों सुनिश्चित करने के लिए, उपयोग करें प्रमाणित एन्क्रिप्शन तरीके। यह हमलावरों को एन्क्रिप्टेड डेटा में छेड़छाड़ करने से रोकता है, भले ही वे इसे डिक्रिप्ट न कर सकें। ऐसे मामलों में जहां चैनल एन्क्रिप्शन अविश्वसनीय प्रॉक्सी या साझा हार्डवेयर पर समाप्त होता है, लागू करें संदेश-स्तरीय एन्क्रिप्शन AWS एन्क्रिप्शन SDK जैसे टूल की मदद से डेटा को उसकी पूरी यात्रा के दौरान सुरक्षित रखा जा सकता है।.

API से संबंधित डेटा उल्लंघनों में वृद्धि हो रही है, और अब API इंटरनेट ट्रैफ़िक के 801 ट्रिलियन से अधिक हिस्से के लिए ज़िम्मेदार हैं। चिंताजनक रूप से, API से संबंधित उल्लंघनों में प्रति वर्ष 801 ट्रिलियन की वृद्धि हुई है। एक स्पष्ट उदाहरण: दिसंबर 2024 में चीनी हैकरों द्वारा अमेरिकी वित्त विभाग में एक ही API कुंजी के लीक होने से एक बड़ा डेटा उल्लंघन संभव हो गया। ये घटनाएँ संवेदनशील फ़ील्ड को एन्क्रिप्ट करने के महत्व को रेखांकित करती हैं, भले ही TLS का उपयोग किया जा रहा हो।.

इसके अतिरिक्त, API लॉग में संवेदनशील फ़ील्ड को सैनिटाइज़ करें। मॉनिटरिंग सिस्टम या लॉग फ़ाइलों में गलती से प्रदर्शित होने से बचाने के लिए मानों को मास्क करें या संपादित करें।.

एन्क्रिप्शन कुंजी प्रबंधित करना

एन्क्रिप्शन उतना ही मजबूत होता है जितनी कि उसे सुरक्षित रखने वाली कुंजियाँ, इसलिए प्रभावी कुंजी प्रबंधन आवश्यक है। समर्पित सेवाओं का उपयोग करें जैसे कि AWS कुंजी प्रबंधन सेवा (केएमएस), Azure कुंजी वॉल्ट, या गूगल क्लाउड केएमएस क्रिप्टोग्राफिक कुंजियों को सुरक्षित रूप से संग्रहीत करने के लिए। ये सेवाएं अंतर्निहित सुरक्षा नियंत्रणों और उच्च उपलब्धता के साथ केंद्रीकृत भंडार प्रदान करती हैं।.

एन्क्रिप्शन कुंजी तक पहुंच को सीमित करें भूमिका-आधारित अभिगम नियंत्रण (RBAC) या फिर IAM नीतियों का उपयोग करें, जिससे केवल विशिष्ट भूमिकाओं के लिए आवश्यक अनुमतियाँ ही प्रदान की जा सकें। मशीन-टू-मशीन प्रमाणीकरण लागू करें और जहाँ भी संभव हो प्रक्रियाओं को स्वचालित करें। पहुँच को और अधिक सुरक्षित बनाने के लिए, फ़ायरवॉल को इस तरह कॉन्फ़िगर करें कि केवल विश्वसनीय IP श्रेणियों या वर्चुअल नेटवर्क से ही अनुरोध स्वीकार किए जाएँ, और सार्वजनिक इंटरनेट से ट्रैफ़िक को दूर रखने के लिए निजी एंडपॉइंट का उपयोग करें।.

API कुंजी और गुप्त सुरक्षा उपायों को कम से कम हर 180 दिनों में स्वचालित उपकरणों का उपयोग करके बदलें। इससे कुंजी के लीक होने का खतरा कम हो जाता है। एन्क्रिप्शन संदर्भ, यह गुप्त कुंजी-मान युग्मों का एक समूह है, जो एन्क्रिप्शन और डिक्रिप्शन दोनों के दौरान मेल खाना चाहिए, ताकि कुंजियों को विशिष्ट संसाधनों से जोड़ा जा सके। उदाहरण के लिए, AWS KMS एन्क्रिप्शन संदर्भ के भाग के रूप में API गेटवे ARN का उपयोग कर सकता है।.

AWS CloudTrail या Azure Monitor जैसे टूल का उपयोग करके सभी महत्वपूर्ण एक्सेस प्रयासों पर नज़र रखें। अनधिकृत या संदिग्ध गतिविधि के लिए अलर्ट सेट करें ताकि संभावित सुरक्षा उल्लंघनों का जल्द पता लगाया जा सके। अंत में, प्रमाणपत्रों की समय सीमा समाप्त होने के कारण होने वाली सेवा रुकावटों से बचने के लिए प्रमाणपत्र नवीनीकरण को स्वचालित करें।.

एसबीबी-आईटीबी-59e1987

एपीआई के लिए अतिरिक्त सुरक्षा उपाय

API को एन्क्रिप्टेड चैनलों से परे खतरों से बचाव के लिए कई स्तरों की सुरक्षा की आवश्यकता होती है। इनमें इंजेक्शन प्रयास, क्रेडेंशियल स्टफिंग और संसाधन की कमी जैसे हमले शामिल हैं। निम्नलिखित उपाय एन्क्रिप्शन और क्रेडेंशियल सुरक्षा पर आधारित हैं और आपके API की सुरक्षा को मजबूत बनाते हैं। एक मजबूत, अद्वितीय और उच्च-एंट्रॉपी पासवर्ड (या API कुंजी/गुप्त कोड) अभी भी क्रेडेंशियल सुरक्षा का आधार है। कमजोर या पुन: उपयोग किए गए क्रेडेंशियल, क्रेडेंशियल स्टफिंग, ब्रूट-फोर्स और अकाउंट टेकओवर हमलों के लिए सबसे आम प्रवेश बिंदुओं में से एक हैं - भले ही अन्य सभी सुरक्षा परतें ठीक से लागू की गई हों।.

इनपुट का सत्यापन और आउटपुट का एन्कोडिंग

जब तक अन्यथा सिद्ध न हो जाए, प्रत्येक आने वाले अनुरोध को संभावित रूप से हानिकारक मानें। शुरुआत करें स्कीमा सत्यापन, यह सुनिश्चित करता है कि अनुरोध JSON या XML में पूर्वनिर्धारित प्रारूपों के अनुरूप हों। इन सख्त परिभाषाओं से विचलित होने वाली किसी भी चीज़ को अस्वीकार करें। मजबूत टाइपिंग डेटा की अखंडता सुनिश्चित करने के लिए - संख्याओं के लिए पूर्णांक, सही/गलत मानों के लिए बूलियन और टाइमस्टैम्प के लिए सामान्य स्ट्रिंग के बजाय उचित दिनांक प्रारूप का उपयोग किया जाता है।.

प्रत्येक फ़ील्ड के लिए स्पष्ट सीमाएँ निर्धारित करें। उदाहरण के लिए, स्ट्रिंग की लंबाई सीमित करें, स्वीकार्य संख्यात्मक सीमाएँ परिभाषित करें और पैटर्न को मान्य करने के लिए नियमित अभिव्यक्तियों का उपयोग करें। हमेशा सत्यापित करें कि सामग्री प्रकार हेडर वास्तविक पेलोड से मेल खाता है, बेमेल होने पर उसे अस्वीकार कर दिया जाता है। 415 असमर्थित मीडिया प्रकार प्रतिक्रिया। इसी प्रकार, अत्यधिक पेलोड को ब्लॉक करने के लिए अधिकतम अनुरोध आकारों को लागू करें, और एक प्रतिक्रिया लौटाएँ। 413 पेलोड बहुत बड़ा है यदि आवश्यक है।.

""एक सुव्यवस्थित अनुरोध योजना बनाना और उस योजना के आधार पर सत्यापन करना दुर्भावनापूर्ण संदेशों के खिलाफ बचाव की पहली पंक्ति होनी चाहिए।" – Canada.ca

आउटपुट पक्ष पर, सुनिश्चित करें कि प्रतिक्रियाओं में स्पष्ट जानकारी शामिल हो। सामग्री प्रकार जैसे शीर्षक एप्लिकेशन/जेसन गलत व्याख्या से बचने के लिए। सुरक्षा हेडर जोड़ें जैसे कि X-Content-Type-Options: nosniff ब्राउज़र को फ़ाइल प्रकारों का गलत अनुमान लगाने से रोकने के लिए। सामान्य त्रुटि संदेश अनिवार्य हैं – प्रतिक्रियाओं में आंतरिक विवरण प्रकट न करें। इसके अलावा, संवेदनशील डेटा या दुर्भावनापूर्ण कोड को हटाने के लिए लॉग को साफ करें जिनका दुरुपयोग किया जा सकता है।.

असामान्य व्यवहार को प्रभावी ढंग से ट्रैक करने के लिए इन सत्यापन तकनीकों को विस्तृत लॉगिंग के साथ संयोजित करें।.

एपीआई गतिविधि को ट्रैक करना और लॉग करना

खतरों की पहचान करने और उन पर प्रतिक्रिया देने के लिए विस्तृत लॉगिंग आवश्यक है। लॉग में अनुरोधकर्ता का आईपी पता, एक्सेस किया गया एंडपॉइंट, प्रमाणित उपयोगकर्ता या भूमिका, और प्रत्येक इंटरैक्शन के लिए टाइमस्टैम्प सहित महत्वपूर्ण मेटाडेटा शामिल होना चाहिए। यह डेटा जांच के दौरान अमूल्य साबित होता है और क्रेडेंशियल से समझौता होने पर दुरुपयोग का पता लगाने में मदद करता है।.

आधुनिक निगरानी उपकरण प्रदान कर सकते हैं वास्तविक समय विसंगति का पता लगाना, संदिग्ध गतिविधियों जैसे अनुरोधों में अचानक वृद्धि या असामान्य HTTP विधियों को चिह्नित करें, जो स्वचालित दुरुपयोग का संकेत दे सकती हैं। विशिष्ट मापदंडों के लिए अलर्ट सेट करें, जैसे कि अचानक वृद्धि। अनधिकृत 401 त्रुटियां, जो ब्रूट-फोर्स हमलों या गोपनीय जानकारियों के दुरुपयोग का संकेत दे सकती हैं।.

जैसा कि पहले बताया गया है, व्यक्तिगत गतिविधियों को ट्रैक करने के लिए अद्वितीय API कुंजी महत्वपूर्ण हैं। साझा कुंजी जवाबदेही को अस्पष्ट कर देती हैं और विशिष्ट गतिविधियों का पता लगाना कठिन बना देती हैं। क्रेडेंशियल्स को नियमित रूप से बदलते रहें और सभी API एंडपॉइंट्स की अद्यतन सूची बनाए रखें, जिनमें वे एंडपॉइंट्स भी शामिल हैं जिन्हें हमलावर निशाना बना सकते हैं। अपने API को और अधिक सुरक्षित बनाने के लिए इन उपायों को सख्त उपयोग नियंत्रणों के साथ मिलाएं।.

दर सीमा लागू करना

रेट लिमिटिंग, डिनायल ऑफ सर्विस (DoS) हमलों, क्रेडेंशियल स्टफिंग और स्वचालित स्क्रिप्ट द्वारा संसाधनों की अत्यधिक खपत के खिलाफ एक महत्वपूर्ण सुरक्षा उपाय है। 2023 में, 411 30 करोड़ कंपनियों ने API सुरक्षा घटनाओं का सामना करने की सूचना दी, जिसमें लगभग एक तिहाई इंटरनेट ट्रैफिक दुर्भावनापूर्ण बॉट्स के कारण हुआ था।.

उपयोगकर्ता प्रमाणीकरण स्तरों के आधार पर दर सीमा निर्धारित करें। उदाहरण के लिए, अनाम उपयोगकर्ताओं को प्रति मिनट 10 अनुरोधों की अनुमति दी जा सकती है, जबकि पंजीकृत उपयोगकर्ताओं को 100 और प्रीमियम ग्राहकों को 1,000 तक अनुरोधों की अनुमति हो सकती है। यदि कोई ग्राहक अपनी सीमा से अधिक अनुरोध करता है, तो एक त्रुटि संदेश वापस करें। 429 बहुत अधिक अनुरोध स्टेटस कोड के साथ-साथ जानकारीपूर्ण हेडर जैसे X-RateLimit-Limit (कुल अनुमत), X-रेटलिमिट-शेष (शेष कॉल), और X-RateLimit-Reset (सीमा के पुनः स्थापित होने तक का समय)।.

अधिक परिष्कृत हमलावरों का मुकाबला करने के लिए, साधारण आईपी-आधारित दर सीमा से आगे बढ़ें। व्यवहार विश्लेषण हमलावरों द्वारा आईपी पते बदलने जैसे पैटर्न का पता लगाने के लिए। उदाहरण के तौर पर, Shopify ने अनुरोध व्यवहार का विश्लेषण करने वाली अनुकूली दर सीमा लागू करके क्रेडेंशियल स्टफिंग हमलों को काफी हद तक कम कर दिया। इन उपायों को निगरानी के साथ मिलाकर दुरुपयोग के पैटर्न की पहचान करें, जैसे कि कई असफल लॉगिन प्रयासों के बाद एक सफल लॉगिन - जो अक्सर क्रेडेंशियल के साथ छेड़छाड़ का संकेत होता है।.

व्यावहारिक कार्यान्वयन दिशानिर्देश

सुरक्षा संबंधी अवधारणाओं को व्यवहार में लाने के लिए सावधानीपूर्वक योजना बनाना और संभावित खतरों की ठोस समझ होना आवश्यक है। नीचे कुछ व्यावहारिक सुझाव दिए गए हैं जो आपको वास्तविक दुनिया की चुनौतियों से निपटने और एक सुरक्षित, अनुपालन योग्य एपीआई अवसंरचना स्थापित करने में मदद करेंगे।.

बचने योग्य गलतियाँ

मजबूत एन्क्रिप्शन तकनीकों के बावजूद, कुछ गलतियाँ आपके एपीआई की सुरक्षा को कमजोर कर सकती हैं।.

सबसे पहले, पुराने प्रोटोकॉल पर भरोसा न करें। SSL v2, SSL v3, TLS 1.0 और TLS 1.1 को निष्क्रिय कर दें, क्योंकि इनमें कई खामियां मौजूद हैं। इसके बजाय, अपने सर्वरों को AES-GCM या ChaCha20-Poly1305 जैसे मजबूत सिफर सूट का उपयोग करने के लिए कॉन्फ़िगर करें और कमजोर विकल्पों को पूरी तरह से अस्वीकार कर दें।.

एक और आम गलती API कुंजी भेजने के लिए क्वेरी पैरामीटर का उपयोग करना है। API कुंजी हमेशा सुरक्षित HTTP हेडर के माध्यम से भेजें। एक सरकारी एजेंसी में हुई एक बड़ी सुरक्षा चूक API कुंजी के क्वेरी पैरामीटर में उजागर होने के कारण हुई थी, जो इस प्रक्रिया के महत्व को रेखांकित करती है।.

क्रेडेंशियल्स को हार्डकोड करना सोर्स कोड में क्रेडेंशियल डालना या उन्हें रिपॉजिटरी में पुश करना एक बड़ा जोखिम है – अध्ययनों से पता चलता है कि 61% संगठनों ने गलती से API कुंजी जैसी गोपनीय जानकारी को सार्वजनिक रिपॉजिटरी में उजागर कर दिया है। इसके बजाय, क्रेडेंशियल को पर्यावरण चर या सुरक्षित गुप्त प्रबंधक में संग्रहीत करें। JWT के साथ काम करते समय, कभी भी असुरक्षित टोकन की अनुमति न दें (उदाहरण के लिए, एल्गोरिदम को सेट करना)। कोई नहीं) और जारीकर्ता, लक्षित उपयोगकर्ता और समाप्ति तिथि जैसे दावों को हमेशा सत्यापित करें। इसके अतिरिक्त, संवेदनशील टोकन को सुरक्षित रखें। SameSite=Strict ब्राउज़र के लोकल स्टोरेज के बजाय कुकीज़ का उपयोग किया जाता है, जो क्रॉस-साइट स्क्रिप्टिंग हमलों के प्रति संवेदनशील होता है।.

डेटा संरक्षण विनियमों का अनुपालन

तकनीकी सुरक्षा उपाय तो केवल एक हिस्सा हैं – डेटा सुरक्षा कानूनों का अनुपालन भी उतना ही महत्वपूर्ण है।.

एन्क्रिप्शन केवल एक सर्वोत्तम अभ्यास नहीं है; यह अक्सर कानूनी रूप से अनिवार्य होता है। उदाहरण के लिए, पीसीआई-डीएसएस v4.0 कार्डधारक डेटा को ट्रांजिट में सुरक्षित रखने के लिए मजबूत क्रिप्टोग्राफी की आवश्यकता होती है, जिसमें सुरक्षित सिफर सूट के साथ TLS 1.2 या उच्चतर निर्दिष्ट किया गया हो। इसी प्रकार, जीडीपीआर व्यक्तिगत डेटा की सुरक्षा के लिए एन्क्रिप्शन को एक प्रमुख उपाय के रूप में महत्व दिया जाता है। स्वास्थ्य सेवा क्षेत्र में, HIPAA यह इलेक्ट्रॉनिक संरक्षित स्वास्थ्य जानकारी (ईपीएचआई) के एन्क्रिप्शन को अनिवार्य बनाता है, चाहे वह स्थिर अवस्था में हो या परिवहन के दौरान।.

इन आवश्यकताओं को पूरा करने के लिए, TLS 1.3 लागू करें, प्रमाणपत्रों को हर 90 दिनों में बदलें और उच्च सुरक्षा वाले वातावरण में म्यूचुअल TLS का उपयोग करें। SOC 2 मानकों का अनुपालन करने के लिए HSM या प्रबंधित कुंजी प्रबंधन सेवाओं का उपयोग करके कुंजियों को सुरक्षित रूप से संग्रहीत करें। अंत में, अपनी एन्क्रिप्शन प्रक्रियाओं, प्रमाणपत्रों के रोटेशन और कुंजी प्रबंधन प्रक्रियाओं का दस्तावेजीकरण करें ताकि ऑडिट के दौरान आप अनुपालन प्रदर्शित कर सकें।.

एपीआई सुरक्षा के लिए होस्टिंग इन्फ्रास्ट्रक्चर का उपयोग करना

आधुनिक होस्टिंग प्लेटफॉर्म एपीआई सुरक्षा को बढ़ाने वाले उपकरणों से लैस होते हैं।.

उदाहरण के लिए, डीडीओएस शमन बुनियादी ढांचे के स्तर पर, यह सामान्य नेटवर्क और ट्रांसपोर्ट-लेयर हमलों को आपके सर्वरों तक पहुंचने से पहले ही रोक सकता है।. वेब अनुप्रयोग फ़ायरवॉल (WAFs) HTTP ट्रैफिक का निरीक्षण करके SQL इंजेक्शन और क्रॉस-साइट स्क्रिप्टिंग जैसे खतरों को फ़िल्टर करें, जिससे दुर्भावनापूर्ण पेलोड को एज पर ही रोका जा सके।.

कुछ प्रदाता, जैसे Serverion, सुरक्षित API परिनियोजन के लिए अनुकूलित बुनियादी ढांचा प्रदान करता है। सुविधाओं में एकीकृत SSL प्रमाणपत्र प्रबंधन, स्वचालित प्रमाणपत्र रोटेशन और वैश्विक डेटा केंद्रों में DDoS सुरक्षा शामिल हैं। उनके समर्पित सर्वर और VPS विकल्प API ट्रैफ़िक को निजी नेटवर्क के भीतर रखने के लिए आवश्यक नेटवर्क अलगाव प्रदान करते हैं, जिससे सार्वजनिक इंटरनेट खतरों के प्रति जोखिम कम हो जाता है। वित्त या स्वास्थ्य सेवा जैसे क्षेत्रों में पारस्परिक TLS की आवश्यकता वाले अनुप्रयोगों के लिए, Serverion यह द्विदिश प्रमाणीकरण का समर्थन करता है।.

वर्चुअल प्राइवेट क्लाउड (VPCs) निजी एंडपॉइंट्स API ट्रैफ़िक को सार्वजनिक इंटरनेट से अलग करके सुरक्षा की अतिरिक्त परतें प्रदान करते हैं। यह विशेष रूप से उन आंतरिक API के लिए उपयोगी है जो बाहरी रूप से दुर्गम रहने चाहिए। प्रबंधित प्रमाणपत्र सेवाएं SSL/TLS प्रमाणपत्रों के जारी करने, तैनाती और 90-दिवसीय रोटेशन को स्वचालित करके सुरक्षा को और सरल बनाती हैं, जिससे प्रमाणपत्रों की समय सीमा समाप्त होने के कारण होने वाली रुकावटों का जोखिम कम हो जाता है। ये बुनियादी ढांचा उपकरण एन्क्रिप्शन और कुंजी प्रबंधन प्रथाओं के साथ मिलकर आपके API के लिए व्यापक सुरक्षा प्रदान करते हैं।.

निष्कर्ष: संवेदनशील एपीआई डेटा की सुरक्षा

कार्यान्वयन चरणों का सारांश

अपने API को प्रभावी ढंग से सुरक्षित करने के लिए, सबसे पहले निम्नलिखित को लागू करें: टीएलएस 1.3 सभी डेटा को एन्क्रिप्ट करें, जिसमें हेडर और क्वेरी पैरामीटर शामिल हैं। अतिरिक्त सुरक्षा के लिए संवेदनशील क्रेडेंशियल को क्वेरी स्ट्रिंग से हटाकर सुरक्षित HTTP हेडर में स्थानांतरित करें।.

वित्त और स्वास्थ्य सेवा जैसे उद्योगों के लिए, जहाँ सुरक्षा सर्वोपरि है, इसे लागू करने पर विचार करें। पारस्परिक टीएलएस (एमटीएलएस) क्लाइंट और सर्वर के बीच दो-तरफ़ा प्रमाणीकरण के लिए। इसे टोकन-आधारित प्रमाणीकरण विधियों के साथ उपयोग करें, जैसे कि जेडब्ल्यूटी या ओआथ 2.0 ऑथराइजेशन हेडर में। संवेदनशील जानकारी के लिए, फ़ील्ड-स्तरीय एन्क्रिप्शन लागू करें और उपयोग करें। एचएमएसी हस्ताक्षर अनुरोध की सत्यता सुनिश्चित करने के लिए।.

सुरक्षा की एक और परत जोड़ने के लिए निम्नलिखित उपकरणों का उपयोग करें: वेब अनुप्रयोग फ़ायरवॉल (WAFs), दर सीमा निर्धारण और केंद्रीकृत कुंजी प्रबंधन के माध्यम से एचएसएम या प्रबंधित कि.मी. समाधानों के लिए, प्रमाणपत्रों को हर 90 दिनों में बदलें और अनुपालन मानकों के अनुरूप विस्तृत ऑडिट लॉग बनाए रखें। पीसीआई डीएसएस, जीडीपीआर, और HIPAA. ये सभी उपाय मिलकर एक मजबूत, संपूर्ण एपीआई सुरक्षा ढांचा तैयार करते हैं।.

एपीआई सुरक्षा के दीर्घकालिक लाभ

इन कदमों को उठाने से न केवल तात्कालिक कमजोरियों का समाधान होता है, बल्कि यह आपके संगठन के लिए स्थायी मूल्य भी सृजित करता है।.

मजबूत एपीआई सुरक्षा उल्लंघनों को रोकती है, बौद्धिक संपदा की रक्षा करती है और व्यक्तिगत डेटा को सुरक्षित रखती है, साथ ही उपयोगकर्ताओं और भागीदारों के साथ विश्वास का निर्माण करती है। अब एपीआई कई कार्यों को संभाल रहे हैं। सभी वेब ट्रैफ़िक का 83% 2023 में, मजबूत एन्क्रिप्शन अब वैकल्पिक नहीं रह गया है। उसी वर्ष हुई सुरक्षा घटनाओं से पता चला कि 42% में डेटा अवरोधन शामिल था, 33% क्रेडेंशियल लीक होने के कारण उत्पन्न हुआ था।, और 25% मैन-इन-द-मिडल हमलों के परिणामस्वरूप हुआ। – ये ऐसी समस्याएं हैं जिन्हें उचित एन्क्रिप्शन और स्तरीय सुरक्षा उपायों से कम किया जा सकता है।.

एन्क्रिप्शन नियामक ऑडिट के दायरे को कम करके अनुपालन को आसान बनाता है, जिससे समय और धन दोनों की बचत होती है। API सुरक्षा को प्राथमिकता देने वाली कंपनियां इस तरह के उल्लंघनों से होने वाले वित्तीय और प्रतिष्ठा संबंधी नुकसान से बच जाती हैं। 2023 टी-मोबाइल एपीआई घटना, जिससे खुलासा हुआ 37 मिलियन रिकॉर्ड. एन्क्रिप्शन, नियमित कुंजी रोटेशन और बुनियादी ढांचे-स्तर की सुरक्षा में निवेश करके, संगठन एक स्केलेबल सुरक्षा आधार बना सकते हैं जो बदलते खतरों के अनुकूल हो। सुरक्षित होस्टिंग प्रदाताओं के साथ साझेदारी करके, जैसे कि... Serverion, इससे विश्वसनीय प्रदर्शन और परिचालन दक्षता सुनिश्चित करते हुए इन सुरक्षा उपायों को और भी बेहतर बनाया जा सकता है।.

पूछे जाने वाले प्रश्न

API सुरक्षा के संदर्भ में OAuth 2.0 और OpenID Connect में क्या अंतर है?

API को सुरक्षित करने में OAuth 2.0 और OpenID Connect (OIDC) अलग-अलग लेकिन एक-दूसरे के पूरक भूमिका निभाते हैं।.

ओआथ 2.0 यह पूरी तरह से प्राधिकरण के बारे में है। यह एप्लिकेशन को लॉगिन क्रेडेंशियल साझा किए बिना किसी अन्य सेवा पर उपयोगकर्ता संसाधनों तक पहुंचने में सक्षम बनाता है। इसके बजाय, यह डेटा पढ़ने या कुछ कार्यों को करने जैसी विशिष्ट अनुमतियां प्रदान करने के लिए एक्सेस टोकन का उपयोग करता है।.

ओपनआईडी कनेक्ट (OIDC) OAuth 2.0 के ऊपर एक पहचान परत जोड़कर यह प्रक्रिया को एक कदम आगे ले जाता है। जबकि OAuth 2.0 इस बात पर केंद्रित है कि किसी एप्लिकेशन को क्या करने की अनुमति है, OIDC इसकी पुष्टि करता है। कौन उपयोगकर्ता आईडी टोकन के माध्यम से लॉग इन करता है। यह इसे उपयोगकर्ताओं को लॉग इन करने या उनकी पहचान की पुष्टि करने जैसे उपयोग मामलों के लिए एकदम सही बनाता है।.

संक्षेप में कहें तो, OAuth 2.0 अनुमतियों से संबंधित है, जबकि OpenID Connect उपयोगकर्ता प्रमाणीकरण सुनिश्चित करता है। ये दोनों मिलकर सुरक्षित और निर्बाध अंतःक्रियाओं के लिए एक मजबूत ढांचा प्रदान करते हैं।.

फील्ड-लेवल एन्क्रिप्शन क्या है, और यह TLS से परे API सुरक्षा को कैसे बेहतर बनाता है?

फ़ील्ड-स्तरीय एन्क्रिप्शन API के भीतर विशिष्ट संवेदनशील डेटा फ़ील्ड को एन्क्रिप्ट करके सुरक्षा की एक अतिरिक्त परत जोड़ता है। जहाँ TLS डेटा ट्रांसमिशन के दौरान उसे सुरक्षित करता है, वहीं फ़ील्ड-स्तरीय एन्क्रिप्शन संवेदनशील जानकारी को उसके पूरे जीवनचक्र के दौरान एन्क्रिप्टेड रखकर और भी आगे बढ़ता है – चाहे वह संग्रहीत हो या संसाधित हो रही हो।.

इस विधि से, केवल अधिकृत सिस्टम या एप्लिकेशन जिनके पास सही डिक्रिप्शन क्रेडेंशियल हों, ही सुरक्षित डेटा तक पहुंच सकते हैं। महत्वपूर्ण फ़ील्ड को एन्क्रिप्ट करने पर ध्यान केंद्रित करके, यह दृष्टिकोण डेटा उल्लंघन या अनधिकृत पहुंच के जोखिम को कम करता है, भले ही सिस्टम के अन्य भाग असुरक्षित हो जाएं।.

एपीआई कुंजी और एन्क्रिप्शन कुंजी को नियमित रूप से अपडेट और रोटेट करना क्यों महत्वपूर्ण है?

API कुंजी और एन्क्रिप्शन कुंजी को नियमित रूप से अपडेट और रोटेट करते रहना मजबूत सुरक्षा सुनिश्चित करने का एक महत्वपूर्ण कदम है। यह तरीका कुंजी की जीवन अवधि को सीमित करता है, जिससे अनधिकृत पहुंच या डेटा लीक होने की संभावना कम हो जाती है। संक्षेप में, यदि कोई कुंजी लीक भी हो जाती है, तो भी दुर्भावनापूर्ण उद्देश्यों के लिए उसकी उपयोगिता काफी हद तक कम हो जाती है।.

अपनी सुरक्षा प्रक्रियाओं में कुंजी रोटेशन को शामिल करने से आपको संभावित कमजोरियों को सक्रिय रूप से दूर करने में मदद मिलती है, जिससे आपके एपीआई के माध्यम से साझा किए गए संवेदनशील डेटा की अखंडता सुरक्षित रहती है।.

संबंधित ब्लॉग पोस्ट

• क्लाउड स्टोरेज API सुरक्षा के लिए चेकलिस्ट
• क्लाउड स्टोरेज API कनेक्शन को सुरक्षित कैसे करें
• एंड-टू-एंड एन्क्रिप्शन एंटरप्राइज़ डेटा की सुरक्षा कैसे करता है
• API डेटा एन्क्रिप्शन विधियों के लिए अंतिम गाइड