Me preocupa que mi API de acortador de URL (y servidor) se pueda usar para DDoS otros sitios web. ¿Hay algún paso que pueda tomar para garantizar que mi API no se use incorrectamente?

Answer 1

Si está haciendo que su API (supongo que un servicio web) esté disponible públicamente, una de las mejores cosas que puede hacer es crear una tabla de base de datos para almacenar las claves de API para cada usuario / cuenta que puede usar el servicio. Cada vez que se realiza una solicitud, debe validar y autenticar la clave API antes de permitir el uso de su API. También recomendaría crear una tabla que registre todas las solicitudes. En esa tabla, probablemente debería agregar una columna para rastrear varios tipos de estado, como

• válido (Clave API válida)
• inválido (Clave API no válida)
• falta (no se proporciona API)
• etc.

Es posible que desee limitar el tipo de solicitud a POST solamente, pero eso depende totalmente de usted.

Con esta implementación básica, puede ampliar su seguridad si alguna vez lo necesita, como rastrear solicitudes repetidas que no son válidas, luego bloquear la IP si es necesario, lo que le dejaré a usted para investigar. También puede restringir el acceso desde ciertas partes de su API asociando sus claves API (o un grupo de claves) a varios permisos. Es posible que desee investigar el Control de acceso basado en roles, que puede darle una idea sobre cómo adoptar este enfoque.

Answer 2

No es realmente una respuesta específica, pero la mejor manera de lidiar con cualquier amenaza es entender esa amenaza. El lugar donde comenzaría es estudiar cómo funciona DDoS y qué puede retener en su servicio para que no funcione.

Answer 3

¿Cómo puede un servicio acortador de URL causar Ddos? ¿Hará ping a la url proporcionada? ¿O hacer un rizo? Si lo hace, solo guarde en caché el estado del sitio web.