什么是 API 安全？
现代企业使用 API 来支持快速、引人注目的数字体验。然而，由于允许外部对应用程序进行访问，API（目前在 Cloudflare 处理的互联网流量中占一半以上）引入了新的风险。如果安全流程被忽略，更快的持续部署周期将导致问题更加严重。
API 安全防范以 API 为中心的攻击，这些攻击可能暴露应用程序逻辑、破坏应 用程序性能、泄露敏感数据或造成其他威胁。与更常见的 Web 应用程序安全服务相比，API 安全解决方案提供更深入的业务上下文、发现方法以及身份认证和授权验证控制。
影子 API
许多组织没有掌握自己 API 的完整清单。这种“影子API”可能导致数据泄露、未修补的漏洞、横向移动和其他风险。
基于业务逻辑的欺诈
机器人操作者可以直接攻击账户创建、表单填写和支付等工作流程背后的 API，以窃取凭据等信息。
不安全的人工智能生成代码
生成式人工智能的兴起带来潜在风险，包括 AI 模型的 API 容易受到攻击，以及开发 人员发布的人工智能生成代码存在缺陷。
关键用例
保护托管在任何地方的 API —— 而不影响开发人员的创新和生产力
发现影子 API
如果组织不知道 一个 API 存在，就无法保护或管理它。通过机器学习和会话标识符模型，发现所有 API 端点，包括影子 API。
缓解 API 滥用
机器人和 DDoS 攻击越来越多地利用 API —— 其受保护力度通常低于 Web 应用程序 —— 来窃取凭据和资金。通过仅允许经验证的合法 API 流量来防止 API 滥用。
检测数据泄露
组织自身 API 或第三方 API 集成中的漏洞可能导致未经授权的数据访问。整合跨所有 SaaS 应用程序、Web 应用程序和 API 的数据泄露防护。
跟踪并分析 API 性能
API 错误可能预示着网络攻击或应用程序性能问题，最终阻止合法流量。了解 API 的真实性能，然后迅速采取最合适的行动。
主要功能
一个集成的 Web 应用程序和 API 安全平台为 API 提供纵深防御
内置身份认证
阻止来自非法客户端的请求。使用 mTLS证书、JSON Web令牌(JWT)、API 密钥和 OAuth 2.0 令牌对API流量进行身份认证和检查。
检测 API 滥用
确定 API 流量基线，通过每个端点基于会话的速率限制建议和 GraphQL 拒绝服务(DoS)防护来阻止滥用。
模式验证
许多 API 泄露发生是因为模式（定义有效 API 请求/响应的元数据）的限制过于宽松。模式验证阻止格式不正确的请求和 HTTP 异常，仅接受有效的 API 请求。
保护敏感数据
在离开源服务器端的 API 响应中检测是否存在敏感数据，并接收针对每个端点的警报。
