O OWASP API Security Top 10 (Edição 2023) reflete a maturidade das ameaças contra interfaces modernas e continua sendo o padrão da indústria para classificar riscos em APIs em 2026. Diferente de aplicações web tradicionais, as APIs expõem a lógica de negócio e os endpoints de dados diretamente, exigindo uma estratégia de defesa em camadas que priorize a performance e a segurança distribuída.
Neste guia atualizado com insights e técnicas, detalhamos cada risco e como mitigá-los.
API1:2023 — Broken Object Level Authorization (BOLA)
O que é: Falha ao verificar se o usuário autenticado tem permissão para acessar um objeto específico via ID.
- Exemplo de Ataque: Um usuário altera o ID na URL de
/api/v1/orders/1001para/1002e acessa dados de terceiros. - Mitigação Técnica: 1. Utilize UUIDs (Universally Unique Identifiers) ou IDs não previsíveis em vez de números sequenciais. 2. Implemente verificações de propriedade (ownership) em cada requisição no backend.
- Global Infrastructure: Use computação serverless para validar se o
sub(subject) do token JWT coincide com o proprietário do recurso solicitado antes mesmo da requisição atingir o data center.
API2:2023 — Broken Authentication
O que é: Implementações de autenticação que permitem o comprometimento de tokens ou exploração de credenciais.
- Mitigação: Implemente OAuth2/OIDC com tokens de curta duração e rotação de refresh tokens.
- Na Plataforma de Computação distribuída: Realize a verificação de assinatura JWT e o gerenciamento de blacklists de tokens na borda, garantindo baixa latência e alta performance.
API3:2023 — Broken Object Property Level Authorization
O que é: Esta categoria unifica o antigo Mass Assignment e a Excessive Data Exposure. Ocorre quando a API permite ler ou alterar propriedades sensíveis de um objeto (ex: isAdmin, balance).
- Mitigação: Utilize DTOs (Data Transfer Objects) e aplique uma allow-list estrita de campos.
- Uso de WAAP: Configure o Web Application Firewall para realizar a validação de JSON Schema, bloqueando automaticamente payloads que contenham propriedades não documentadas ou sensíveis.
API4:2023 — Unrestricted Resource Consumption
O que é: Falta de limites para consumo de CPU, memória ou banda.
- Mitigação: Defina limites de tamanho de payload e timeouts estritos.
- Na Global Infrastructure: Aplique Rate Limiting e Throttling granular por IP ou API Key para proteger o data center contra picos abusivos.
API5:2023 — Broken Function Level Authorization
O que é: Falha em restringir funções administrativas (ex: /admin/v1/users) a perfis privilegiados.
- Mitigação: Implemente RBAC (Role-Based Access Control) rigoroso em todos os endpoints.
- Edge Nodes: Bloqueie o acesso a rotas administrativas por padrão na Global Infrastructure, permitindo-as apenas sob condições de rede e autenticação específicas.
API6:2023 — Unrestricted Access to Sensitive Business Flows
O que é: Abuso da lógica de negócio, como bots realizando scalping de ingressos ou fraudes de cupons.
- Mitigação: Implemente limites de frequência baseados em processos de negócio, não apenas em tráfego técnico.
- Bot Management: Utilize análise comportamental e fingerprinting para distinguir entre humanos e automações maliciosas em tempo real.
API7:2023 — Server Side Request Forgery (SSRF)
O que é: Ocorre quando a API recebe uma URL e tenta acessá-la sem validação, podendo expor serviços internos do data center.
- Mitigação: Não processe respostas de URLs fornecidas por usuários e mantenha uma allow-list de domínios permitidos.
- WAAP: Bloqueie requisições com parâmetros que apontem para endereços IP internos (RFC1918), metadados de provedores de nuvem ou endereços de loopback.
API8:2023 — Security Misconfiguration
O que é: Configurações inseguras de TLS, headers ausentes ou mensagens de erro verbosas.
- Mitigação: Utilize TLS 1.3 e sanitize respostas de erro no ambiente de produção.
- Sanitização: Use a Global Infrastructure para padronizar headers de segurança e remover informações de infraestrutura sensíveis nas respostas (como
X-Powered-By).
API9:2023 — Improper Inventory Management
O que é: Falta de governança sobre Shadow APIs e versões legadas (zumbis).
- Mitigação: Utilize ferramentas de API Discovery para mapear o tráfego em tempo real na Global Infrastructure e identificar endpoints não documentados.
API10:2023 — Unsafe Consumption of APIs
O que é: Confiar em dados de APIs de terceiros sem validação rigorosa.
- Mitigação: Trate toda integração externa como tráfego não confiável. Aplique validação de esquema, sanitização e limites de cota em todos os dados provenientes de parceiros externos.
Tabela de Defesa em Camadas (OWASP 2023)
| Risco | Mitigação no Backend | Defesa na Global Infrastructure |
|---|---|---|
| BOLA | UUIDs e Owner Checks | JWT Claims Validation |
| Property Auth | DTOs e Whitelists | JSON Schema Enforcement (WAF) |
| SSRF | Domain Whitelisting | IP/Metadata Blocklisting |
| Bots | Business Logic Throttling | Behavioral Analysis (Bot Manager) |
Conclusão
A mitigação do OWASP API Security Top 10 em 2026 exige uma visão que une segurança e performance. Ao mover a inteligência de detecção e o bloqueio de ameaças para a Plataforma de Computação Distribuída, as organizações reduzem a carga no origin e garantem que apenas tráfego legítimo e validado atinja sua aplicação.
Próximos Passos:
- Confira nosso API Security Checklist para implementação.
- Explore as melhores práticas de segurança de API para defesa em camadas.
- Compare as superfícies de ataque em REST vs. GraphQL.
- Conheça as Soluções de WAAP da Azion.