← Případy užití / use-cases / solutions

Objevte a zabezpečte své API endpointy (Free, Pro a Business)

Jakmile je vaše API v produkčním provozu a přijímá požadavky, musíte rozhodnout, které koncové body chránit jako první, jaká omezení použít a jak sledovat zneužívání, aniž byste blokovali legitimní klienty. Tento průvodce vás provede pěti fázemi tohoto procesu: zmapováním koncových bodů, vynucením šifrovaných připojení, omezením přístupu na očekávané vzorce provozu, blokováním automatizovaného zneužívání a sledováním výsledků.

Základní postup využívá Cloudflare Application Security (známé také jako Web Application Firewall neboli WAF) funkce, SSL/TLS nastavení a detekce botů, všechny dostupné v plánech Free, Pro a Business. Poznámky pro Enterprise se týkají API Shield možnosti pro týmy, které potřebují validaci schémat, ověřování JSON Web Token (JWT) a analýzu sekvencí.

Před konfigurací jakýchkoli bezpečnostních pravidel si vytvořte přehled svých API koncových bodů. Bez úplného seznamu nemůžete cílit ochranu na správné cesty ani odhalit, kdy neznámý koncový bod začne přijímat provoz.

1. Zkontrolujte konfiguraci směrování své aplikace a sepište všechny koncové body spolu s jejich metodou HTTP a očekávanými parametry.

2. Roztřiďte jednotlivé endpointy podle úrovně přístupu (veřejné, autentizované, interní). Přednostně se zaměřte na endpointy, které přijímají nahrávané soubory, zpracovávají platby nebo vracejí citlivá data.

   Úroveň přístupu	Popis	Ukázkové endpointy
   Veřejný	Není vyžadováno ověření	/api/status, /api/products
   Ověřeno	Vyžadujte token nebo relaci	/api/account, /api/orders
   Interní	Nemělo by být veřejně dostupné	/api/admin, /api/debug

3. Zaznamenejte si přehled do tabulky nebo souboru se schématem OpenAPI, abyste na něj mohli odkazovat při psaní výrazů pravidel v dalších částech. Pokud už máte specifikaci OpenAPI, můžete ji přímo použít s validací schémat v API Shield (viz poznámka pro Enterprise níže).

API požadavky přenášejí přihlašovací údaje, tokeny a data odpovědí, které mohou útočníci zachytit na nezašifrovaném spojení. Někteří API klienti tiše přejdou na HTTP, pokud to server umožní, a citlivá data tak odešlou v čitelné podobě. Vynucení HTTPS na edge tomu zabraňuje.

Nastavte režim šifrování na Full (Strict) k šifrování provozu mezi návštěvníky a Cloudflare a mezi Cloudflare a vaším origin serverem. Tento režim vyžaduje platný certifikát na vašem originu.

Další informace o režimech šifrování a jejich požadavcích najdete v režimy šifrování SSL/TLS.

Always Use HTTPS přesměrovává všechny požadavky HTTP na HTTPS pro každou subdoménu a hostitele ve vaší aplikaci. Díky tomu klienti nemohou omylem odesílat požadavky API přes nešifrované připojení.

Protože rozhraní API mohou obsahovat citlivé informace, jako jsou přihlašovací údaje a tokeny, zvolte s ohledem na to vhodnou minimální verzi TLS.

TLS 1.0 a 1.1 mají známé zranitelnosti. Nastavením minima na TLS 1.2 odmítnete připojení klientů používajících starší protokoly.

Další informace najdete v tématu Minimum TLS Version.

Automatic HTTPS Rewrites mění HTTP odkazy na HTTPS v HTML odpovědích. U koncových bodů API, které vracejí JSON nebo jiný obsah mimo HTML, je toto přepisování zbytečné a může způsobit neočekávané chování, pokud klienti API sledují přepsané URL adresy. Pokud vaše doména obsluhuje pouze provoz API, tuto funkci vypněte.

Legitimní API klienti odesílají předvídatelné vzory požadavků: konkrétní HTTP metody, očekávané hlavičky jako Content-Type: application/json, a požadavků na zdokumentované cesty. Application Security vlastní pravidla vám umožňují blokovat provoz, který se od těchto vzorů odchyluje. Rate limiting rules omezují objem požadavků na klienta, aby zabránily zneužití.

API klienti obvykle uvádějí Content-Type hlavičku a může obsahovat Authorization hlavičku nebo vlastní hlavičku s klíčem API. Požadavky na cesty vašeho API, kterým tyto hlavičky chybí, nepocházejí od očekávaných klientů.

Následující vlastní bezpečnostní pravidlo blokuje požadavky na /api/ cestách, kterým chybí Content-Type hlavičku. Kontroly cesty a hlavičky upravte tak, aby odpovídaly vašemu API.

1. V Cloudflare dashboardu přejděte na Security > Bezpečnostní pravidla.

   Přejděte na Bezpečnostní pravidla ↗

2. Vyberte Vytvořit pravidlo > Custom rules.

3. Zadejte název pravidla. Například Block API requests missing Content-Type.

4. Do editoru výrazů zadejte:

   (starts_with(http.request.uri.path, "/api/") and not len(http.request.headers["content-type"][0]) > 0)

5. Pro Vyberte akci, vyberte Block.

6. Vyberte Nasadit.

Pokud váš /api/users koncový bod přijímá pouze GET a POST požadavky a zablokujte všechny ostatní metody HTTP na dané cestě. Tím zabráníte útočníkům v testování pomocí PUT, DELETE, nebo PATCH požadavků proti koncovým bodům, které je nepodporují.

1. V Cloudflare dashboardu přejděte na Security > Bezpečnostní pravidla.

   Přejděte na Bezpečnostní pravidla ↗

2. Vyberte Vytvořit pravidlo > Custom rules.

3. Zadejte název pravidla. Například Block unexpected methods on /api/users.

4. Do editoru výrazů zadejte:

   (http.request.uri.path eq "/api/users" and http.request.method ne "GET" and http.request.method ne "POST")

   Upravte cestu a povolené metody tak, aby odpovídaly vašemu koncovému bodu.

5. Pro Vyberte akci, vyberte Block.

6. Vyberte Nasadit.

Tento postup zopakujte pro každý koncový bod s omezenými metodami. Více cest můžete zkombinovat do jediného pravidla pomocí or operátory pokud mají stejné povolené metody.

API koncové body čelí cílenějšímu zneužívání než webové stránky, protože útočníci je mohou volat rychlostí stroje bez nutnosti renderovat prohlížeč. Rate limiting omezuje počet požadavků, které může jeden klient odeslat během daného časového okna.

Vytvořte samostatná pravidla pro omezování četnosti požadavků pro autentizované a neautentizované koncové body. Neautentizované koncové body (přihlášení, registrace, obnovení hesla) potřebují přísnější limity, protože jsou hlavním cílem pro credential stuffing a útoky hrubou silou.

Následující příklad omezuje požadavky na /api/auth/login na 10 za minutu na IP adresu. Upravte cestu, prahovou hodnotu požadavků a období podle vašich koncových bodů.

Další informace o parametrech omezení rychlosti a počítaných charakteristikách najdete v Parametry omezení frekvence požadavků.

Příklad specifický pro API, který jako počítanou charakteristiku používá klíč API, najdete v Příklady pravidel Rate limiting.

Boti volají endpointy API rychlostí stroje a bez zátěže prohlížeče. Mezi běžné automatizované útoky na API patří credential stuffing na autentizační endpointy, scraping dat přes výpisové endpointy a manipulace se skladovými zásobami přes endpointy košíku nebo pokladny.

Bot Fight Mode vystavuje výzvě požadavky, které odpovídají známým vzorcům botů. Vztahuje se na celou vaši doménu a je dostupný ve všech plánech bez příplatku.

Bot Fight Mode může narušit legitimní automatizovaný provoz směřující na vaše API, například monitorovací nástroje, pipeline CI/CD nebo integrace partnerů. Pokud máte legitimní botové klienty, vytvořte pravidlo výjimky ještě předtím, než Bot Fight Mode zapnete (viz další část).

Další informace o chování a omezeních Bot Fight Mode najdete v Bot Fight Mode.

Pokud vaše API přijímá provoz od známých automatizovaných klientů (monitorovacích služeb, partnerských API, systémů CI/CD), vytvořte vlastní bezpečnostní pravidlo s Přeskočit akce a vyloučete je z ochrany proti botům. Vytvořte výjimkové pravidlo ještě před zapnutím Super Bot Fight Mode v následující části.

1. V Cloudflare dashboardu přejděte na Security > Bezpečnostní pravidla.

   Přejděte na Bezpečnostní pravidla ↗

2. Vyberte Vytvořit pravidlo > Custom rules.

3. Zadejte název pravidla. Například Skip bot protections for monitoring service.

4. Sestavte výraz, který bude odpovídat vašemu známému provozu botů. Pokud chcete například přeskočit ochrany u požadavků z konkrétního rozsahu IP adres se známým User-Agentem:

   (ip.src in {203.0.113.0/24} and http.user_agent contains "MonitoringBot")

   Nahraďte rozsah IP adres a User-Agent hodnotami odpovídajícími vašim legitimním botům.

5. Pro Vyberte akci, vyberte Přeskočit a poté vyberte Všechna pravidla Super Bot Fight Mode.

6. Vyberte Nasadit.

Super Bot Fight Mode poskytuje podrobné ovládací prvky platné pro celou doménu a umožňuje vám uplatňovat různé akce na různé typy botů.

Chcete-li nakonfigurovat Super Bot Fight Mode:

S Super Bot Fight Mode můžete pro různé typy botů nastavit různé akce:

• Blokování nebo povolování ověřených botů
• Nakonfigurujte samostatnou akci (allow, block nebo challenge) pro Jednoznačně automatizovaný provoz (bot score z 1)
• Na plánech Business a vyšších: Nakonfigurujte samostatnou akci pro Pravděpodobně automatizovaný provoz (bot score 2-29)

Super Bot Fight Mode platí pro celou doménu a nepodporuje pravidla specifická pro jednotlivé cesty. Pokud potřebujete použít různé prahové hodnoty pro boty na různých cestách API, potřebujete Bot Management předplatné (Enterprise).

Application Security detekce uniklých přihlašovacích údajů kontroluje příchozí požadavky, zda neobsahují kombinace uživatelského jména a hesla, které se objevily při známých únicích dat. Pomocí této detekce můžete na svých ověřovacích koncových bodech omezovat rychlost nebo prověřovat požadavky obsahující kompromitované přihlašovací údaje.

Následující pravidlo rate limitingu omezuje požadavky obsahující dříve uniklou kombinaci uživatelského jména a hesla na 5 za minutu na jednu IP adresu:

Úplný výraz včetně ID detekce zneužití účtu (ATO) najdete v Příklad pravidel zmírnění.

Po nasazení bezpečnostních pravidel zkontrolujte výsledky, abyste identifikovali falešně pozitivní výsledky a doladili prahové hodnoty. Úpravy vyžadují jak falešně pozitivní výsledky (blokování legitimních klientů), tak falešně negativní výsledky (zneužití, které pravidla nezachytí).

Security Events zobrazuje každý požadavek, kterému odpovídalo některé z vašich pravidel, včetně provedené akce a pravidla, které ji spustilo. Filtrujte podle prefixu cesty API a zjistěte, co Cloudflare blokuje a proč.

Pokud narazíte na falešně pozitivní výsledky, upravte vlastní pravidla tak, aby postižený provoz vylučovala. Více informací najdete v postup pro pravidlo výjimky v předchozí části.

Příliš přísné prahové hodnoty pro omezování četnosti požadavků blokují legitimní klienty. Příliš volné prahové hodnoty umožňují zneužití. Zkontrolujte události omezování četnosti požadavků v Security Events a najděte správnou rovnováhu.

Cloudflare Notifications vás může upozornit, když objem bezpečnostních událostí překročí zadanou hranici, což může signalizovat útok nebo špatně nastavené pravidlo.

Úplný seznam dostupných typů oznámení najdete v Dostupná oznámení.

Zabezpečení aplikace

• Custom rules : Vytváření pravidel na základě atributů požadavků pro blokování, prověřování nebo přeskočení konkrétních bezpečnostních funkcí u cíleného provozu
• Rate limiting rules : Definice prahových hodnot četnosti požadavků na klienta a volba vynucovacích akcí
• Osvědčené postupy pro Rate limiting : Běžné vzory omezování rychlosti pro credential stuffing, ochranu API a GraphQL
• Příklady pravidel Rate limiting : Ukázková pravidla s výrazy pro přihlašovací stránky, API klíče a omezování založené na komplexitě
• Interoperabilita bezpečnostních funkcí : Jak spolu souvisí vlastní pravidla, pravidla omezování rychlosti, Super Bot Fight Mode a Managed Rules
• Detekce uniklých přihlašovacích údajů : Detekce požadavků obsahujících přihlašovací údaje ze známých úniků dat
• Security Events : Kontrola odpovídajících požadavků a akcí pravidel

Boti

• Bot Fight Mode : Automatická výzva pro požadavky odpovídající známým vzorům botů (plán Free)
• Super Bot Fight Mode : Podrobné ovládání botů včetně zařazování ověřených botů na seznam povolených (Pro, Business, Enterprise)
• Bot Management : Bot score, ID detekcí a šablony vlastních pravidel (Enterprise)
• Proměnné Bot Management : Pole dostupná ve výrazech pravidel pro detekci botů (Enterprise)

SSL/TLS

• Začínáme se SSL/TLS : Edge certifikáty, režimy šifrování a vynucení HTTPS
• Always Use HTTPS : Přesměrování všech požadavků HTTP na HTTPS
• Minimum TLS Version : Odmítání připojení používajících starší protokoly TLS

API Shield (Enterprise)

• Přehled API Shield : Zjišťování, validace schématu, validace JWT a analýza sekvencí pro zabezpečení API
• Začínáme s API Shield : Postup zavedení od identifikátorů relací až po validaci schématu
• API Discovery : Automatické zjišťování endpointů na základě analýzy provozu
• Ověřování schématu : Validace příchozích požadavků podle schématu OpenAPI
• Ověřování JWT : Ověřování JSON Web Tokens na okraji sítě
• Sequence Analytics : Sledování a analýza sekvencí požadavků API
• Volumetric Abuse Detection : Adaptivní omezování rychlosti pro jednotlivé relace a endpointy
• Authentication Posture : pomáhá uživatelům odhalit nesprávná nastavení ověřování u API a upozorňuje na jejich výskyt
• Detekce zranitelností BOLA : Detekce endpointů ohrožených útoky Broken Object Level Authorization (BOLA)
• Vulnerability Scanner : Testování endpointů API na běžné zranitelnosti