Az API integráció két rendszer között automatizálja az adatáramlást, de egyben új támadási és hibafelületet nyit. A biztonságot nem lehet a végén egy API-kulccsal hozzáadni: az adatmezők, jogosultságok, üzleti folyamatok és üzemeltetés szintjén kell megtervezni.
Frissítve: 2026. július 29. A cikk üzleti-technológiai tájékoztató, nem egyedi jogi tanácsadás.
1–2. Leltár és adatminimalizálás
Legyen nyilvántartás minden végpontról, verzióról, tulajdonosról és kapcsolódó rendszerről. Csak a szükséges mezőket továbbítsuk; a „küldjünk át mindent, majd a másik oldal kiválogatja” megoldás növeli a személyes és üzleti adatok kitettségét.
3–4. Hitelesítés és objektumszintű jogosultság
Használjunk rövid életű tokent, biztonságos titokkezelést és szerepkörhöz kötött hozzáférést. Minden objektumnál ellenőrizni kell, hogy a hívó valóban jogosult-e az adott ügyfél, rendelés vagy dokumentum elérésére. Az OWASP API Top 10 első helyen kezeli a hibás objektumszintű jogosultságot.
5–6. Rate limit és érzékeny üzleti folyamatok
Korlátozzuk a hívások számát, költségét és párhuzamosságát. Külön védelmet igényelhet a regisztráció, kupon, készletfoglalás, ajánlatkérés vagy automatikus vásárlás, mert a botok üzleti kárt okozhatnak akkor is, ha technikailag érvényes hívást küldenek.
7–8. Webhook és külső válasz ellenőrzése
Webhooknál ellenőrizzük az aláírást, időbélyeget és újrajátszást. A külső API válaszát ne tekintsük automatikusan megbízhatónak: sémavizsgálat, méretkorlát, engedélyezett URL és biztonságos hibakezelés szükséges. Az API-integrációt szerződésként kezeljük.
9–10. Naplózás és leállítás
Rögzítsük a hívás azonosítóját, eredményét, hibáját és időzítését, érzékeny tartalom nélkül. Legyen riasztás, újrapróbálkozási szabály, idempotencia és vészleállítás. A túl agresszív automatikus retry többszörös számlát vagy megrendelést hozhat létre.
Gyakori kérdések
Elég az API-kulcs?
Nem. A kulcs azonosíthat, de objektum- és funkciószintű jogosultság, titokkezelés és korlátozás is kell.
Mi az idempotencia?
Annak biztosítása, hogy ugyanazon kérés ismétlése ne hozzon létre többszörös üzleti műveletet.
Kell penetrációs teszt?
A kockázattól függ, de internet felől elérhető, érzékeny adatot kezelő API-nál erősen indokolt.
Források és további olvasnivaló
Biztonságos rendszerösszekötést szeretne?
Megtervezzük az adatmezőket, jogosultságot, hibakezelést, naplózást és üzemeltetési védelmet. Kérjen technikai konzultációt.