إدارة واجهات البرمجة · ضوابط الأمن
أمن واجهات API: ما الذي تفرضه بوابة API، وما الذي لا تستطيعه إلا خدماتكم
تفرض بوابة API القواعد نفسها على كل الواجهات في مكان واحد: من يحق له الاستدعاء، وبأي معدل، وبأي حجم وبنية للطلب. لكنها لا تستطيع أن تقرر هل يحق لهذا المستدعي قراءة هذا السجل بعينه؛ فهذا لا تعرفه إلا الخدمة التي تملك البيانات. تربط هذه الصفحة قائمة OWASP API Security Top 10 (إصدار 2023) بالجهتين اللتين يجب أن تتعاملا مع كل خطر، وتعرض ضوابط Kong الخاصة بدور البوابة، وتقدّم قائمة تحقق لفرقكم قبل كل إصدار.
نُشر في 6 دقائق قراءة
الخلاصة في أربع نقاط
- دور البوابة: التحقق من الهوية، وحدود المعدل والحجم، والتحقق من بنية الطلب، وصلاحيات الوصول حسب مجموعة المستهلكين، وسجل واحد لكل استدعاء.
- دور الخدمة: التأكد من أن المستخدم الذي ثبتت هويته يحق له الوصول إلى هذا الكائن وهذا الحقل وهذه الوظيفة. فالبوابة لا ترى نموذج بياناتكم.
- أول خطر في قائمة OWASP، وهو خلل التحقق من الصلاحية على مستوى الكائن، مشكلة تُحل في الخدمة. فرمز دخول صالح يطلب سجل شخص آخر يجتاز كل فحوص البوابة.
- ابدؤوا بالجرد. الواجهة التي لا تعرفها البوابة لا تحميها أي قاعدة من قواعدها.
قائمة OWASP API Top 10، ومن يتعامل مع كل خطر
| خطر OWASP API Security (2023) | ما تستطيعه البوابة | ما يجب أن يحدث في الخدمة أو في مكان آخر |
|---|---|---|
| API1 Broken Object Level Authorization (خلل الصلاحية على مستوى الكائن) | التحقق من هوية المستدعي وتمرير هوية موثّقة إلى الخدمة | التحقق في كل طلب من أن هذا المستخدم يحق له الوصول إلى معرّف هذا الكائن |
| API2 Broken Authentication (خلل التحقق من الهوية) | فرض طريقة تحقق واحدة على كل الواجهات، وتحديد معدل الطلبات على نقاط تسجيل الدخول وإصدار الرموز | قبول الاستدعاءات عبر البوابة فقط، فلا يمكن الوصول إلى أي خدمة من دونها |
| API3 Broken Object Property Level Authorization (خلل الصلاحية على مستوى خصائص الكائن) | التحقق من الطلبات مقابل مواصفات الواجهة، ورفض الخصائص غير المتوقعة | إعادة الحقول التي يحق لهذا المستخدم رؤيتها فقط، وتجاهل الحقول التي لا يحق له تغييرها |
| API4 Unrestricted Resource Consumption (استهلاك الموارد دون قيود) | حدود معدل لكل مستهلك، وحدود لحجم الطلب، وفحوص لحجم المحتوى | حدود لتقسيم النتائج إلى صفحات، ومهل زمنية، وسقوف لاستدعاء خدمات خارجية مدفوعة |
| API5 Broken Function Level Authorization (خلل الصلاحية على مستوى الوظيفة) | قصر المسارات، كالمسارات الإدارية، على مجموعات مستهلكين محددة | التحقق من دور المستخدم داخل كل وظيفة أيضًا |
| API6 Unrestricted Access to Sensitive Business Flows (الوصول غير المقيّد إلى العمليات الحساسة) | حدود لكل مستهلك واكتشاف البرمجيات الآلية (Bots) على المسارات المهمة | قواعد عمل مثل الحدود لكل حساب، ومراقبة الأنماط غير المعتادة |
| API7 Server Side Request Forgery (تزوير الطلبات من جهة الخادم) | القليل: الخطر في ما تجلبه الخدمة نفسها | التحقق من الروابط التي يرسلها المستخدم مقابل قائمة مسموح بها، وتقييد الاتصال الشبكي الصادر |
| API8 Security Misconfiguration (أخطاء إعدادات الأمن) | مكان واحد لإعدادات TLS وCORS والترويسات، لا تُعتمد إلا بعد مراجعتها | تحصين الخدمات والمنصات التي خلف البوابة، ومراجعة إعدادات البوابة نفسها |
| API9 Improper Inventory Management (سوء إدارة جرد الواجهات) | إذا وجب أن تمر كل الحركة عبرها، تصبح مسارات البوابة جردًا حيًّا | مالك وإصدار وتاريخ إيقاف لكل واجهة، وإغلاق المسارات المباشرة إلى الخدمات |
| API10 Unsafe Consumption of APIs (الاستهلاك غير الآمن لواجهات الآخرين) | القليل: الخطر في مدى ثقة خدمتكم بردود الجهات الخارجية | التحقق من البيانات الواردة من واجهات الشركاء والجهات الخارجية بالصرامة نفسها المطبقة على مدخلات المستخدم |
هذا التقسيم ليس ترتيبًا للأهمية. ضوابط البوابة أسرع في التطبيق لأنها تسري على كل الواجهات دفعة واحدة، أما فحوص الخدمات فتأخذ وقتًا أطول لأن كل فريق يبنيها في شيفرته.
الخطر الذي لا تراه البوابة
يسجّل عميل دخوله في تطبيق الجوال، ويطلب /accounts/1234. رمز الدخول صالح، والمعدل طبيعي، والطلب مطابق للمواصفات، فيجتاز الطلب كل فحوص البوابة. فإذا غيّر العميل الرقم إلى /accounts/1235 وأعادت الخدمة حساب عميل آخر، فلم يكن في البوابة خطأ: البوابة لا تعرف من يملك الحساب 1235.
هذا هو خلل الصلاحية على مستوى الكائن، أول خطر في قائمة OWASP API Top 10. وعلاجه في الخدمة، بالتحقق من الملكية عند كل وصول إلى كائن، ويُكتشف باختبارات تجرّب معرّفات مستخدمين آخرين. فالبوابة مكوّن واحد في برنامج أمن الواجهات، لا البرنامج كله.
ضوابط Kong لدور البوابة
هذه إضافات Kong Gateway (Plugins) التي تنفّذ عمود البوابة في الجدول أعلاه. ويصنّف Kong بعضها على أنها متاحة في الإصدار المؤسسي فقط (Enterprise)، وهذا يؤثر في الترخيص؛ والقائمة أدناه تعكس دليل الإضافات لدى Kong بتاريخ 2 نوفمبر 2026.
| الضابط | إضافات Kong | الترخيص كما يذكره Kong |
|---|---|---|
| التحقق من الهوية | Key Auth وJWT وOAuth 2.0 Authentication وBasic Auth | غير مصنّفة Enterprise فقط |
| التحقق عبر مزوّد الهوية لديكم أو بشهادات العميل | OpenID Connect؛ Mutual TLS Authentication | Enterprise فقط |
| الصلاحيات حسب مجموعة المستهلكين | ACL | غير مصنّفة Enterprise فقط |
| السماح أو المنع حسب عنوان IP | IP Restriction | غير مصنّفة Enterprise فقط |
| حدود المعدل | Rate Limiting؛ Rate Limiting Advanced | Rate Limiting Advanced متاحة في Enterprise فقط |
| حجم الطلب | Request Size Limiting | غير مصنّفة Enterprise فقط |
| التحقق مقابل مواصفات الواجهة | Request Validator؛ OAS Validation (للطلبات والردود) | Enterprise فقط |
| فحوص المحتوى | Injection Protection (قائمة على الأنماط)؛ JSON Threat Protection وXML Threat Protection (فحوص الحجم) | Enterprise فقط |
| العملاء الآليون | Bot Detection | غير مصنّفة Enterprise فقط |
| قواعد وصول المتصفحات | CORS | غير مصنّفة Enterprise فقط |
ينبغي أن يُعرَّف كل مسار وإضافة ومستهلك في إعدادات خاضعة لإدارة الإصدارات، وألا يُغيَّر إلا بعد مراجعة. وترخيص Kong، حيث يلزم الإصدار المؤسسي، يُسعَّر وفق شروط Kong.
الترتيب الذي نعمل به
البوابة هي الخطوة الثالثة، لا الأولى.
-
الجرد.
كل واجهة API، ومالكها، ومستهلكوها، وطريقة التحقق من الهوية فيها اليوم، بما فيها الواجهات التي لم يوثّقها أحد.
-
السياسة.
طريقة تحقق واحدة لكل نوع من المستهلكين، وحدود معدل مبنية على المستهلكين الفعليين لا على قيم افتراضية، وتحديد المسارات الإدارية، وما الذي يُسجَّل.
-
البوابة.
تطبيق الضوابط أعلاه في إعدادات خضعت للمراجعة، وإغلاق المسارات المباشرة إلى الخدمات.
-
الاختبار.
اختبارات صلاحيات تجرّب معرّفات وحقول ووظائف مستخدمين آخرين، إلى جانب اختبارات البوابة.
-
المراقبة.
متابعة الطلبات المرفوضة، وبلوغ حدود المعدل، وإخفاقات التحقق من الهوية لكل مستهلك، وتحديد مسؤول لكل تنبيه.
قائمة تحقق لإصدار الواجهة القادم
- الواجهة مسجّلة في الجرد، ولها مالك وإصدار.
- لا يمكن الوصول إليها إلا عبر البوابة.
- التحقق من الهوية مضبوط في البوابة بالطريقة المعتمدة لهذا النوع من المستهلكين.
- حدود المعدل والحجم مضبوطة لكل مستهلك وفق الاستخدام المتوقع.
- الطلبات تُفحص مقابل المواصفات المنشورة.
- الخدمة تتحقق من ملكية الكائن في كل طلب يحمل معرّفًا.
- الردود لا تحتوي إلا الحقول التي يحق لهذا المستدعي رؤيتها.
- الوظائف الإدارية على مسارات منفصلة، ومقصورة على مجموعات مستهلكين محددة.
- الاختبارات تشمل معرّفات مستخدم آخر، وتفشل إذا عادت أي بيانات.
- حالات الرفض وإخفاقات التحقق من الهوية تُسجَّل، ويراجعها شخص محدد.
كيف تساعدكم إنتركي
تنفّذ إنتركي منصة Kong وتشغّلها للمنشآت في السعودية، من الرياض، بالعربية والإنجليزية. نبدأ بجرد واجهات API، ونكتب سياسة البوابة مع فريق الأمن لديكم، وننشر Kong مُدارًا ذاتيًا داخل المملكة أو بنموذج هجين، وننقل المستهلكين إليه. وحين نبني أو نربط الخدمات التي خلف البوابة أيضًا، تكون فحوص الملكية والأدوار الواردة في العمود الأخير من الجدول جزءًا من ذلك العمل. أما اختبارات الاختراق والمراقبة الأمنية على مدار الساعة فتبقى لدى فريق الأمن لديكم أو لدى جهة متخصصة، ونحرص على أن تعطيهم سجلات البوابة ما يحتاجون إليه.
أسئلة يطرحها العملاء
هل بوابة API هي نفسها جدار حماية تطبيقات الويب (WAF)؟
لا. البوابة تفرض قواعد خاصة بالواجهات: من هو المستهلك، وأي المسارات يحق له استدعاؤها، وبأي معدل، وهل تطابق الطلبات المواصفات. أما جدار حماية تطبيقات الويب فيفحص الحركة بحثًا عن أنماط الهجوم. وكثير من المنشآت تشغّل الاثنين، ولكل منهما قواعده.
هل تغني البوابة عن اختبارات الاختراق؟
لا. البوابة تفرض الضوابط التي تضبطونها. أما الاختبار فيكشف ما ينقص، ومنه ثغرات الصلاحيات داخل الخدمات التي لا تراها أي بوابة.
أي ميزات Kong تحتاج إلى ترخيص مؤسسي؟
يصنّف دليل إضافات Kong كلًّا من OpenID Connect وMutual TLS Authentication وRate Limiting Advanced وإضافات التحقق من الطلبات والمواصفات وإضافات فحص المحتوى على أنها Enterprise فقط. أما التحقق بالمفاتيح والرموز، وحدود المعدل الأساسية، وحدود الحجم، وACL، وتقييد عناوين IP، واكتشاف البرمجيات الآلية، فليست مصنّفة كذلك. وراجعوا الدليل للإصدار الذي ستنشرونه.
هل يمكن تشغيل البوابة داخل المملكة؟
نعم. يمكن تشغيل Kong مُدارًا ذاتيًا على بنية تحتية داخل المملكة، فتبقى حركة الواجهات وإعدادات البوابة هناك. راجعوا تنفيذ Kong وتشغيله.
روابط ذات صلةتنفيذ Kong وتشغيله
من أين نبدأ؟
من الجرد. فهو مسألة أسابيع، وكل خطوة بعده تعتمد عليه.
التالي
صفحات ذات صلة
الخطوة التالية
ابدؤوا بما تعرضونه فعلًا
أخبرونا تقريبًا بعدد واجهات API لديكم، ومن يستدعيها، وكيف يجري التحقق من الهوية فيها اليوم. يردّ عليكم أحد المختصين في فريق الرياض في أيام العمل السعودية، بالعربية أو الإنجليزية.
أو مباشرةً
+966-11-2180999 [email protected]أبراج التعاونية، البرج الشمالي، الطابق السابع، طريق الملك فهد، العليا، ص.ب. ٥٦٨٣٥، الرياض ١١٥٦٤، المملكة العربية السعودية