Sicherheit für Schnittstellen schützt programmgesteuerte Zugänge, sodass nur passende Clients mit passenden Rechten jede Funktion aufrufen.
Die Schnittstelle ist der Weg, auf dem eine Shop App, ein Partner oder ein Skript mit Zahlung und Bestand spricht, ohne die menschliche Kassenseite zu nutzen.
So funktioniert es
Jeder Aufruf sollte belegen, welcher Client spricht und ob dieser Client eine Bestellung erstatten oder nur einen Katalog lesen darf.
Ein öffentlicher Testschlüssel in einer mobilen App kann eine fremde Person Erstattungen auslösen lassen, wenn die Schnittstelle jedem vertraut, der diesen Schlüssel vorzeigt.
Eine schwache Schnittstelle kann Kundenbestellungen bloßlegen oder Geld bewegen, auch wenn die Webseiten verschlossen wirken.
Eine starke lässt den mobilen Shop für Kundinnen arbeiten, während ein Partner nur die Bestandsfelder sieht, die ihm gewährt wurden.
Konkrete Beispiele
- Eine Zahlungsschnittstelle nimmt einen Erstattungsaufruf von einem Partnerschlüssel an, der nur den Status einer Bestellung lesen sollte.
- Eine mobile Shop App enthält einen Schlüssel, den jede Person herausziehen kann, und dieser Schlüssel listet die letzten Käufe jeder Kundin.
- Ein Bestandsaufruf eines Lagerpartners wird abgewiesen, wenn er Wohnadressen verlangt, die dem Partner nie gewährt wurden.
Schutzmaßnahmen
- Geben Sie jedem Partner eigene Zugangsdaten und die kleinste Menge an Funktionen, die dieser Partner wirklich braucht.
- Weisen Sie Aufrufe ab, die sich nicht ausweisen, und lassen Sie keinen Testzugang in der App, die Sie an Kundinnen ausliefern.
- Protokollieren Sie Erstattungen und andere heikle Aufrufe mit der Identität des Clients, damit eine überraschende Erstattung noch am selben Tag nachvollziehbar ist.
- Wechseln Sie Zugangsdaten, wenn ein Partnervertrag endet, und prüfen Sie, dass die alten Daten die Zahlungsschnittstelle nicht mehr aufrufen können.