TL;DR: API'nizin girdisi bir saldırı yüzeyidir; bu nedenle onu düşmanca isteklerle test edin. Büyük alanlar, yanlış türler, hatalı gövdeler ve enjeksiyon dizeleri gönderin. Uç noktanın 4xx döndürdüğünü ve hiçbir zaman 5xx üretmediğini doğrulayın. Şema doğrulamasını additionalProperties: false, enum'lar ve uzunluk sınırlarıyla bir güvenlik kontrolüne dönüştürün. Bu paketi her değişiklikte CI'da çalıştırın. Yapay zeka ajanları yükleri makine hızında ürettiği için, “bu veriyi yükle” isteğinin sessizce “bu kodu çalıştır” davranışına dönüşme riski artık daha kolay ölçeklenir.
Apidog'u bugün deneyin
Çoğu test paketi yalnızca nazik bir istemci geçerli veri gönderdiğinde API'nin çalıştığını kanıtlar. Geçerli bir gövde gönderir, 200 alır ve testi geçersiniz. Ancak bu, gövde düşmanca olduğunda ne olacağını söylemez. İstek gövdeleri, sorgu parametreleri, başlıklar, dosya yüklemeleri, webhook yükleri ve yapay zeka ajanlarının oluşturduğu JSON dahil olmak üzere güvenilmeyen tüm girdileri aynı varsayımla ele alın: bir gün birisi bunun mümkün olan en kötü sürümünü gönderecek.
Temmuz 2026'da Hugging Face, giriş vektörünün çalınmış parola değil veri olduğu bir güvenlik olayını açıkladı. Bu makalede uygulama tarafına odaklanacağız: saldırganın gönderebileceği girdileri testlere dönüştürecek ve bunları her değişiklikte otomatik çalıştıracağız. Kategoriler, açık tutulmaya değer olan OWASP API Güvenlik En İyi 10 ile uyumludur. Apidog, sözleşme tasarlamak ve testleri çalıştırmak için kullanılabilecek araçlardan biridir; ancak yaklaşım kullandığınız çerçeveden bağımsızdır.
