Segurança API REST: 11 problemas comuns e como evitar

APIs REST conectam aplicações, mas cada conexão é uma porta de entrada. Se você desenvolve ou mantém uma API, precisa conhecer os riscos antes que alguém explore. Abaixo, os 11 problemas de segurança mais comuns, do mais crítico ao menos óbvio, com dicas práticas de mitigação.

1. Autenticação fraca

Senhas simples ou tokens mal gerenciados abrem caminho para acessos indevidos. Sem um mecanismo robusto, qualquer requisição pode ser forjada. Use OAuth 2.0 ou OpenID Connect e exija expiração curta para tokens.

2. Autorização quebrada

Não basta autenticar. Se um usuário comum consegue acessar recursos de admin, o controle de acesso falhou. Implemente autorização baseada em função (RBAC) e valide permissões em cada endpoint, não só no front-end.

3. Exposição de dados sensíveis

Respostas com campos desnecessários, como senhas ou dados de cartão, viram vazamento. Retorne apenas o que o cliente precisa e use criptografia em trânsito e em repouso.

4. Falta de rate limiting

APIs sem limite de requisições sofrem ataques de força bruta e DoS. Defina limites por IP e por usuário, e devolva código 429 quando o limite for atingido.

5. Injeção de SQL e NoSQL

Entradas não validadas podem manipular consultas ao banco. Use prepared statements no SQL e saneamento de dados no NoSQL. Nunca concatene entrada do usuário diretamente em queries.

6. Configuração insegura de CORS

Liberar origens demais permite que sites maliciosos façam requisições em seu nome. Configure CORS para aceitar apenas domínios confiáveis e evite o curinga "*" em produção.

7. Validação insuficiente de entrada

Dados malformados ou com payloads gigantes derrubam serviços. Valide tipo, tamanho e formato em todas as entradas. Um campo de email que aceita 10 MB é um risco.

8. Falta de logging e monitoramento

Sem registros, ataques passam despercebidos. Habilite logs de erros e acessos, e monitore padrões anormais, como picos de requisições ou tentativas de login falhas.

9. Dependências desatualizadas

Bibliotecas com vulnerabilidades conhecidas são portas abertas. Mantenha atualizadas todas as dependências e use ferramentas de varredura contínua, como OWASP Dependency-Check.

10. Erros que revelam detalhes internos

Mensagens de erro com stack trace ou versão de framework ajudam o atacante. Retorne respostas genéricas e registre detalhes apenas no servidor.

11. Falta de HTTPS em todos os endpoints

Muitos ainda expõem endpoints sem TLS, deixando dados trafegarem em texto puro. Use HTTPS obrigatório e redirecione qualquer requisição HTTP.

Como priorizar a correção

Comece pelos itens 1 a 3, que causam danos diretos e vazamentos. Depois, ataque rate limiting e validação. Os demais são importantes, mas podem ser corrigidos em uma segunda rodada. Use o OWASP API Security Top 10 como checklist mensal.

FAQ

Qual a diferença entre autenticação e autorização em APIs?

Autenticação confirma quem você é; autorização define o que você pode fazer. Uma API pode autenticar um usuário corretamente, mas falhar ao impedir que ele acesse recursos de admin. Os dois precisam funcionar juntos.

O que é rate limiting e por que importa?

Rate limiting limita o número de requisições por IP ou usuário em um intervalo. Ele impede ataques de força bruta e sobrecarga. Sem isso, sua API fica vulnerável a abusos simples.

HTTPS é suficiente para proteger minha API?

Não. HTTPS protege os dados em trânsito, mas não impede ataques como injeção ou autorização quebrada. É uma camada necessária, não a solução completa.

Como saber se minha API já foi atacada?

Monitore logs de acesso e erros. Padrões como muitas requisições em horário curto, tentativas de login com senhas erradas ou payloads incomuns indicam atividade suspeita.

O que é CORS e como configurar com segurança?

CORS controla quais origens podem chamar sua API. Configure para aceitar apenas domínios que você controla. Evite o curinga "*" em produção, pois libera qualquer site.

APIs REST são mais inseguras que SOAP?

Não necessariamente. SOAP tem padrões de segurança embutidos, mas REST é mais simples e comum, o que atrai mais ataques. A segurança depende da implementação, não do protocolo.