Wat is een interne API?

Interne API's worden niet blootgesteld aan het publiek of externe ontwikkelaars. Ze hebben specifieke functionaliteit die is afgestemd op de behoeften van de organisatie. Deze API's worden vaak gebruikt om componenten in microservices-architecturen te verbinden, waardoor verschillende delen van het systeem met elkaar kunnen communiceren. Vergeleken met externe API's kunnen interne API's minder strikte beveiligingsmaatregelen hebben, omdat ze alleen toegankelijk zijn binnen het netwerk van de organisatie.

Denk bijvoorbeeld aan een groot e-commercebedrijf met verschillende afdelingen zoals voorraadbeheer, orderverwerking en klantenservice. Je kunt de API gebruiken om:

• Het voorraadbeheer systeem in staat te stellen de productbeschikbaarheid in realtime bij te werken, waar het orderverwerkingssysteem toegang toe heeft om oververkoop te voorkomen.
• De klantenservice in staat te stellen orderinformatie op te halen uit het orderverwerkingssysteem om klanten te helpen met hun vragen.

Kenmerken

Het belangrijkste voordeel van interne API's is betere beveiliging door beperkte toegang. Omdat ze niet openbaar toegankelijk zijn, is het risico op ongeautoriseerde toegang of datalekken verminderd. Organisaties hebben betere controle over functionaliteit en datatoegang, omdat ze specifieke rechten kunnen definiëren voor verschillende interne teams of gebruikers.

Voordelen

Interne API's bieden flexibiliteit om aan specifieke organisatorische eisen te voldoen. Ze kunnen worden gemaakt om aan de specifieke behoeften en workflows van het bedrijf te voldoen, wat leidt tot meer efficiëntie en productiviteit. Door gebruik te maken van interne bronnen kunnen organisaties kosten verminderen die verband houden met het ontwikkelen en onderhouden van API's, omdat ze niet hoeven te investeren in externe infrastructuur of services.

Een financiële instelling kan bijvoorbeeld interne API's ontwikkelen om:

• Verschillende interne systemen te integreren, zoals customer relationship management (CRM) en kredietverwerking, om workflows te vereenvoudigen en handmatige gegevensinvoer te verminderen.
• Veilige toegang tot klantgegevens mogelijk te maken voor verschillende afdelingen, waardoor snellere besluitvorming en betere klantenservice mogelijk wordt.

Nadelen

Interne API's hebben echter ook enkele nadelen. Door hun beperkte zichtbaarheid is er minder potentieel voor innovatie en samenwerking met externe ontwikkelaars of partners. Interne API's kunnen beperkte middelen krijgen voor ontwikkeling en onderhoud, omdat ze niet direct inkomsten genereren of externe concurrentie ervaren.

Lage zichtbaarheid binnen de organisatie kan leiden tot dubbel werk of gebrek aan bewustzijn over bestaande API's. Beperkte use cases en kans op stagnatie zijn ook aandachtspunten, omdat interne API's mogelijk niet zo snel evolueren als externe API's door een gebrek aan feedback en externe druk.

Een ander potentieel nadeel is dat beveiligingsfouten kunnen worden gemist door ontwikkelaars die vertrouwd zijn met de interne omgeving. Zonder de controle van externe beveiligingsonderzoekers of gebruikers kunnen kwetsbaarheden langere tijd onopgemerkt blijven.

Wat is een externe API?

Externe API's bieden functies of services aan externe ontwikkelaars en applicaties van derden. Bedrijven stellen hun API's open voor het publiek om:

• Geld te verdienen via betaalde toegang of inkomstendelingsmodellen met externe ontwikkelaars.
• Merkbekendheid te vergroten door hun technologie te tonen en ontwikkelaars aan te moedigen geïntegreerde applicaties te maken.
• Innovatie en samenwerking met externe ontwikkelaars te bevorderen, wat leidt tot nieuwe toepassingen en grotere platformadoptie.

Voorbeelden:

• Twitter API: Stelt ontwikkelaars in staat om applicaties te bouwen die met Twitter-functies werken, zoals het plaatsen van tweets of het ophalen van gebruikersgegevens.
• Google Maps API: Maakt het mogelijk voor applicaties van derden om Google Maps-functies toe te voegen, zoals locatiezoeken en routebeschrijvingen.

Kenmerken

Voordelen

1. Inkomsten genereren: Bedrijven kunnen nieuwe inkomstenstromen creëren door betaalde toegang tot hun API's aan te bieden of via inkomstendelingsmodellen met externe ontwikkelaars.

2. Merkbekendheid: Het openstellen van API's voor het publiek helpt de technologie van een organisatie te tonen en moedigt ontwikkelaars aan om geïntegreerde applicaties te bouwen, waardoor de zichtbaarheid van het merk toeneemt.

3. Innovatie: Externe API's maken het mogelijk voor externe ontwikkelaars om nieuwe applicaties en toepassingen te creëren, wat leidt tot een meer divers ecosysteem rond het platform van de organisatie.

4. Schaalbaarheid: Door een standaardmanier te bieden voor externe ontwikkelaars om met hun services te werken, kunnen organisaties hun platform gemakkelijker opschalen zonder maatwerk integraties.

5. Beveiligingsmonitoring: Met een breder publiek dat externe API's gebruikt, kunnen organisaties meer gegevens verzamelen over gebruikspatronen en potentiële beveiligingsbedreigingen, waardoor betere monitoring en verbetering van API-beveiliging mogelijk wordt.

Voorbeeld:

• Stripe API: Door een betalingsverwerkings-API aan te bieden, heeft Stripe veel bedrijven in staat gesteld om eenvoudig betalingsfuncties in hun applicaties toe te voegen, wat heeft geleid tot grotere adoptie en meer inkomsten voor Stripe.

Nadelen

1. Beveiligingsrisico's: Openbare blootstelling van API's verhoogt het risico op ongeautoriseerde toegang, datalekken en andere beveiligingsbedreigingen, vooral wanneer API's toegang geven tot gevoelige gegevens of controle over belangrijke bronnen.

2. Afhankelijkheid van adoptie door derden: Het succes van een externe API hangt grotendeels af van de adoptie door externe ontwikkelaars. Als ontwikkelaars de API moeilijk te gebruiken of niet nuttig vinden, kan deze geen tractie krijgen.

3. Toegenomen complexiteit: Externe API's richten zich op een algemeen publiek, waardoor ze moeten worden ontworpen met een breder scala aan use cases in gedachten, wat de complexiteit van API-ontwerp en -implementatie kan vergroten.

4. Doorlopend support en onderhoud: Externe API's vereisen voortdurende ondersteuning, onderhoud en updates om ervoor te zorgen dat ze functioneel, veilig en compatibel blijven met de nieuwste technologieën en standaarden.

5. Juridische en regelgevende naleving: Organisaties moeten ervoor zorgen dat hun externe API's voldoen aan relevante wet- en regelgeving, zoals wetgeving op het gebied van gegevensbescherming en privacy, wat extra complexiteit toevoegt aan het API-beheerproces.

Voorbeeld:

• Facebook Graph API: In 2018 kwam Facebook onder vuur te liggen vanwege het Cambridge Analytica-schandaal, waarbij gebruikersgegevens werden misbruikt via de Graph API. Dit leidde tot strengere beveiligingsmaatregelen en beperkingen op de API om soortgelijke incidenten in de toekomst te voorkomen.

Authenticatie en toegangscontrole

Een interne API die bijvoorbeeld door de HR-afdeling wordt gebruikt om toegang te krijgen tot werknemersgegevens, kan gebruikmaken van de bestaande Active Directory-authenticatie van de organisatie. Een externe API die weergegevens levert aan externe ontwikkelaars zou daarentegen OAuth 2.0-authenticatie nodig hebben om veilige autorisatie te garanderen en API-key registratie om gebruik bij te houden.

Documentatie en ontwikkelaarsmiddelen

Denk aan een interne API die door het marketingteam wordt gebruikt om klantgegevens op te halen uit een CRM-systeem. De documentatie kan uitgaan van kennis van de datastructuren van de organisatie en zich richten op specifieke use cases. Aan de andere kant zou een externe API voor een social media platform gedetailleerde documentatie vereisen die authenticatie, dataformaten, rate limits en codevoorbeelden in meerdere programmeertalen behandelt.

Monetisatie en prijzen

Een interne API die bijvoorbeeld het voorraadsysteem van een organisatie verbindt met het e-commerceplatform zou geen monetisatie inhouden, omdat de kosten deel uitmaken van de bedrijfsvoering. Een externe API die financiële marktgegevens levert, kan echter verschillende prijsniveaus aanbieden op basis van het aantal API-aanroepen, de verversingsfrequentie van gegevens en toegang tot premium functies.

Prestaties en schaalbaarheid

Een interne API die bijvoorbeeld door een klein team wordt gebruikt voor projectmanagement kan lagere prestatie-eisen hebben vergeleken met een externe API voor een populaire mobiele game-app die miljoenen gelijktijdige gebruikers moet kunnen verwerken en de latentie laag moet houden.

Analytics en monitoring

Denk aan een interne API die door de financiële afdeling wordt gebruikt om onkostendeclaraties te automatiseren. Het monitoren van deze API zou inhouden dat de beschikbaarheid, responstijden en foutpercentages worden gevolgd om het onkostendeclaratieproces soepel te laten verlopen. Aan de andere kant zou een externe API voor een platform voor het delen van ritten gedetailleerde analytics vereisen om gebruikspatronen te begrijpen, routes te optimaliseren en de algehele gebruikerservaring te verbeteren.

Verschillen in aanpak

Interne API-documentatie en externe API-documentatie hebben verschillende doelgroepen en doelen, wat van invloed is op de mate van detail en de focus van de documentatie.

Beveiligingsoverwegingen

Beveiliging is een belangrijk aspect van API-documentatie, maar de nadruk en details kunnen verschillen tussen interne en externe API's.

Publicatie en toegankelijkheid

De manier waarop interne en externe API-documentatie wordt gepubliceerd en toegankelijk gemaakt, verschilt op basis van de beoogde doelgroep en beveiligingseisen.

Belang van documentatie voor API-beveiliging

Duidelijke en volledige documentatie is belangrijk om ervoor te zorgen dat ontwikkelaars API's veilig gebruiken. API-documentatie moet verschillende beveiligingsonderwerpen en best practices behandelen, zoals:

• Veilige opslag en beheer van API-keys en access tokens
• Validatie en sanering van gebruikersinvoer om injection-aanvallen te voorkomen
• Gebruik van encryptie en beveiligde communicatieprotocollen zoals HTTPS
• Correcte foutafhandeling en het vermijden van blootstelling van gevoelige informatie in foutmeldingen

Regelmatige updates van API-documentatie zijn belangrijk om veranderingen in functionaliteit, beveiligingsmaatregelen en best practices weer te geven. Verouderde of onvolledige documentatie kan leiden tot beveiligingsrisico's, omdat ontwikkelaars mogelijk vertrouwen op onjuiste informatie of oude functies met bekende kwetsbaarheden gebruiken.

Risico's verbonden aan interne en externe API's

Interne API's, die binnen een organisatie worden gebruikt om verschillende services en applicaties te verbinden, kunnen beveiligingsrisico's met zich meebrengen als er geen goede beveiligingsmaatregelen worden getroffen. Een van de belangrijkste risico's is het niet handhaven van sterke service-to-service API-beveiliging, wat kan leiden tot ongeautoriseerde toegang tot interne bronnen. Als bijvoorbeeld een interne API die het HR-systeem verbindt met het salarissysteem geen goede authenticatie- en autorisatiecontroles heeft, kan een aanvaller die toegang krijgt tot het HR-systeem de API misbruiken om toegang te krijgen tot gevoelige financiële gegevens in het salarissysteem.

Externe API's, die beschikbaar worden gesteld aan externe ontwikkelaars en gebruikers, lopen extra beveiligingsrisico's door hun openbare karakter. Deze risico's zijn onder meer:

• Datalekken: Aanvallers kunnen proberen kwetsbaarheden in de API te misbruiken om ongeautoriseerde toegang te krijgen tot gevoelige gebruikersgegevens, zoals persoonlijke informatie, financiële details of vertrouwelijke bedrijfsgegevens. In 2018 kreeg Facebook bijvoorbeeld te maken met een datalek dat 50 miljoen gebruikersaccounts trof door een kwetsbaarheid in de "View As"-functie, waarmee aanvallers access tokens konden stelen en gebruikersaccounts konden overnemen.

• API-misbruik: Kwaadwillende gebruikers kunnen proberen de API te misbruiken door te veel verzoeken te doen, deze voor onbedoelde doelen te gebruiken of te proberen rate limits of toegangscontroles te omzeilen. Een voorbeeld van API-misbruik is het incident met Instagram in 2015, waarbij een bug in de API gebruikers in staat stelde om reacties van elk account te verwijderen, wat resulteerde in het verwijderen van miljoenen reacties.

• DDoS-aanvallen: Aanvallers kunnen de API overweldigen met een golf van verzoeken, waardoor deze niet meer beschikbaar is voor legitieme gebruikers. In 2016 kreeg de DNS-provider Dyn te maken met een enorme DDoS-aanval die grote internetplatforms en -services verstoorde, waaronder Twitter, Netflix en Reddit, door kwetsbaarheden in IoT-apparaten te misbruiken en deze te gebruiken om een enorm volume verkeer te genereren.

Best practices voor het beveiligen van interne en externe API's

Om de beveiligingsrisico's die verband houden met interne en externe API's te verminderen, moeten organisaties deze best practices volgen:

Belang van API-beveiligingsmonitoring

API-beveiligingsmonitoring is noodzakelijk voor zowel interne als externe API's om beveiligingsbedreigingen in realtime te detecteren en erop te reageren. Voor interne API's kan het verzamelen van gegevens uit API-logs en het integreren ervan in de beveiligingsmonitoringsystemen van de organisatie helpen bij het identificeren van verdachte activiteiten, zoals pogingen tot ongeautoriseerde toegang of ongebruikelijke gebruikspatronen.

Externe API's vereisen aanvullende maatregelen voor beveiligingsmonitoring vanwege hun blootstelling aan een breder scala aan potentiële bedreigingen. Organisaties moeten externe API-beveiligingsmonitoringtools gebruiken, zoals Imperva of Salt Security, om API-verkeer continu te monitoren, afwijkingen te detecteren en kwaadaardige verzoeken in realtime te blokkeren. Deze tools kunnen organisaties ook helpen te voldoen aan industriële regelgeving en beveiligingsstandaarden, zoals PCI DSS of HIPAA.

Praktijkvoorbeelden van API-beveiligingsmonitoringoplossingen:

1. Imperva API Security: Imperva biedt een API-beveiligingsoplossing die zichtbaarheid, bescherming en controle over API-verkeer biedt. Het gebruikt machine learning om afwijkingen te detecteren en bedreigingen in realtime te blokkeren. Imperva biedt ook functies zoals API-detectie, schemavalidatie en toegangscontrole om organisaties te helpen hun API's gedurende hun hele levenscyclus te beveiligen.

2. Salt Security API Protection Platform: Salt Security biedt een API-beschermingsplatform dat API's ontdekt, kwetsbaarheden detecteert en aanvallen in realtime voorkomt. Het gebruikt big data en AI om API-verkeer te analyseren en bedreigingen te identificeren, zoals datalekken, API-misbruik en botaanvallen. Salt Security integreert ook met bestaande beveiligingstools en biedt gedetailleerde rapporten en analytics om organisaties te helpen hun API-beveiligingspositie te verbeteren.