Keamanan API: Risiko Umum dan Cara Mengamankannya

Keamanan API semakin penting karena hampir semua aplikasi modern, dari aplikasi seluler sampai integrasi antarlayanan, bertukar data lewat API. Berbeda dengan halaman web yang dilihat manusia, API langsung membuka data dan fungsi bisnis ke siapa pun yang bisa memanggilnya. Artikel ini membahas risiko yang paling umum menurut OWASP dan kontrol praktis untuk mengamankannya.

Mengapa Keamanan API Berbeda dari Keamanan Web Biasa?

API mengekspos objek data dan fungsi secara langsung, sering dalam format yang mudah diproses mesin. Klien yang sah, seperti aplikasi seluler Anda, hanya salah satu pemanggilnya. Siapa pun yang tahu alamat dan formatnya bisa mencoba memanggil API, sehingga pertahanan tidak boleh bergantung pada antarmuka yang menyembunyikan tombol tertentu.

OWASP memelihara proyek khusus untuk ini, yaitu OWASP API Security Top 10, dengan edisi terbaru tahun 2023. Daftar ini berbeda dari OWASP Top 10 untuk aplikasi web, yang dibahas di artikel pengertian OWASP dan OWASP Top 10, karena menyoroti masalah yang khas pada API, terutama soal otorisasi dan penyalahgunaan fungsi.

Risiko Utama dalam Keamanan API Menurut OWASP

Sepuluh risiko pada edisi 2023 beserta penjelasan singkatnya adalah sebagai berikut.

1. API1 Broken Object Level Authorization. Server memeriksa bahwa pengguna sudah login, tetapi tidak memeriksa apakah objek yang diminta memang miliknya, sehingga data pengguna lain bisa terbuka.
2. API2 Broken Authentication. Mekanisme login, token, atau reset kata sandi yang lemah memungkinkan identitas pengguna diambil alih.
3. API3 Broken Object Property Level Authorization. Pengguna bisa melihat atau mengubah properti objek yang seharusnya tidak boleh, misalnya field peran atau status internal.
4. API4 Unrestricted Resource Consumption. Tanpa batas permintaan, ukuran, atau waktu proses, API dapat kelebihan beban atau membengkakkan biaya.
5. API5 Broken Function Level Authorization. Fungsi administratif dapat dipanggil oleh pengguna biasa karena pemeriksaan peran longgar.
6. API6 Unrestricted Access to Sensitive Business Flows. Alur bisnis seperti pembelian atau pendaftaran dapat disalahgunakan secara otomatis dalam skala besar.
7. API7 Server Side Request Forgery. API dipancing mengambil sumber daya dari alamat yang dikendalikan pihak lain, termasuk layanan internal.
8. API8 Security Misconfiguration. Pengaturan bawaan, pesan galat yang terlalu rinci, atau CORS dan header yang keliru.
9. API9 Improper Inventory Management. Versi lama, endpoint uji, atau API yang terlupakan masih hidup tanpa perlindungan.
10. API10 Unsafe Consumption of APIs. Data dari API pihak ketiga dipercaya begitu saja tanpa validasi.

Perhatikan bahwa tiga risiko teratas hampir semuanya soal otorisasi. Kesalahan ini tidak bisa ditangkap oleh firewall semata, karena permintaannya tampak sah secara format; yang salah adalah keputusan akses di sisi server.

Cara Mengamankan API: Kontrol yang Perlu Diterapkan

Otorisasi di setiap permintaan

Periksa hak akses pada setiap objek dan fungsi, di server, setiap kali dipanggil. Jangan percaya identitas, peran, atau ID objek yang dikirim klien tanpa verifikasi terhadap sesi atau token. Terapkan prinsip hak akses minimum, dan pastikan respons hanya memuat properti yang memang boleh dilihat peminta, bukan seluruh objek lalu disaring di klien.

Autentikasi dan pengelolaan token yang kuat

Gunakan standar yang matang seperti OAuth 2.0 dan OpenID Connect daripada membuat skema sendiri. Beri token masa berlaku pendek, dukung pencabutan, simpan rahasia di tempat aman, dan lindungi alur login dengan autentikasi dua langkah serta pembatasan percobaan.

Validasi input dan skema

Tolak permintaan yang tidak sesuai skema: tipe data, panjang, nilai yang diizinkan, dan field yang tidak dikenal. Validasi di server juga membantu mencegah serangan injeksi, seperti SQL injection.

Pembatasan laju dan kuota

Terapkan batas permintaan per pengguna, kunci API, dan alamat, serta batas ukuran payload dan waktu proses. Untuk alur bisnis sensitif seperti pendaftaran dan pembelian, tambahkan kontrol tambahan terhadap otomatisasi.

Inventaris, versi, dan konfigurasi

Catat semua endpoint dan versi yang aktif, termasuk lingkungan uji. Matikan versi lama yang tidak dipakai, sembunyikan detail galat internal, gunakan TLS di seluruh jalur, dan tinjau konfigurasi seperti CORS. Banyak kasus pada kategori ini mirip dengan security misconfiguration pada aplikasi web.

Batasi kepercayaan pada API pihak ketiga

Perlakukan data dari layanan eksternal sebagai input yang tidak tepercaya. Validasi responsnya, batasi tujuan koneksi keluar, dan pasang batas waktu serta penanganan galat.

Gateway, pencatatan, dan pemantauan

API gateway membantu memusatkan autentikasi, pembatasan laju, dan pencatatan. Web application firewall dapat menambah penyaringan, tetapi tidak menggantikan pemeriksaan otorisasi di aplikasi. Catat siapa memanggil apa, dan buat peringatan untuk pola janggal seperti lonjakan kegagalan otorisasi atau akses berurutan ke banyak objek.

Pedoman Resmi yang Bisa Dijadikan Acuan

Selain OWASP, NIST menerbitkan SP 800-228, Guidelines for API Protection for Cloud-Native Systems, yang pembaruannya ditandai final pada 13 Maret 2026. Dokumen ini membahas risiko API sepanjang pengembangan dan runtime, kontrol dasar dan lanjutan sebelum dan saat runtime, serta perbandingan opsi implementasi. Pendekatannya bertahap dan berbasis risiko, jadi cocok dipakai sebagai kerangka untuk tim yang baru mulai merapikan keamanan API. Pendekatan prinsip akses minimum dan verifikasi terus-menerus juga sejalan dengan zero trust.

Pertanyaan yang Sering Diajukan

Apa itu keamanan API?

Keamanan API adalah upaya melindungi antarmuka pemrograman aplikasi dari penyalahgunaan, meliputi autentikasi, otorisasi, validasi input, pembatasan laju, inventaris, dan pemantauan.

Apa risiko API yang paling umum?

Dalam OWASP API Security Top 10 edisi 2023, urutan teratas ditempati Broken Object Level Authorization, lalu Broken Authentication, lalu Broken Object Property Level Authorization. Ketiganya berkaitan dengan siapa boleh mengakses apa.

Apakah API key saja cukup untuk mengamankan API?

Tidak. API key mengidentifikasi aplikasi pemanggil, tetapi tidak membuktikan hak akses pengguna terhadap objek tertentu. Gabungkan dengan autentikasi pengguna, otorisasi per objek, dan pembatasan laju.

Bagaimana cara menguji keamanan API secara legal?

Lakukan pada API milik sendiri atau dengan izin tertulis pemiliknya, idealnya di lingkungan staging dengan data uji. Pengujian pada API pihak lain tanpa izin dapat melanggar UU ITE.

Kesimpulan

Keamanan API bertumpu pada keputusan akses yang benar di sisi server, autentikasi yang kokoh, pembatasan penggunaan, dan visibilitas atas semua endpoint yang hidup. Rujuk OWASP API Security Top 10 2023 sebagai daftar periksa awal. Jika organisasi Anda ingin API-nya diuji secara terukur dan legal, lihat layanan keamanan Linuxhackingid.