Che cos'è il ciclo di vita delle API?

Le API (Application Programming Interface) sono diventate elementi fondamentali dell'economia digitale. Consentendo ai diversi componenti software di comunicare facilmente tra loro, le API sono fondamentali per l'innovazione, per lo sviluppo rapido di software e per la capacità di condividere i dati tra le piattaforme.

Il ciclo di vita delle API è il processo di progettazione, creazione, gestione e, infine, ritiro di un'API. Le fasi del ciclo di vita di un'API iniziano con un'idea per una nuova API e passano dalla progettazione allo sviluppo, dai test all'implementazione fino a diventare eventualmente obsolete. Ogni fase del ciclo di vita aiuta a garantire che le API rimangano funzionali, sicure e preziose per gli utenti.

La gestione del ciclo di vita delle API si riferisce alla supervisione strategica e all'amministrazione di un'API in ogni fase del suo ciclo di vita. Coordinando le varie fasi dello sviluppo e dell'implementazione delle API, la gestione del ciclo di vita delle API garantisce che le API offrano funzionalità di alta qualità, siano protette dalle minacce informatiche e soddisfino le esigenze delle parti interessate nelle API.

La gestione del ciclo di vita delle API è solitamente responsabilità di diversi team:

• I team addetti allo sviluppo sono responsabili della progettazione, dello sviluppo e dei test delle API.

• I team DevOps si concentrano sull'implementazione, sull'automazione e sulla manutenzione degli ambienti di produzione. 

• I product manager possono essere coinvolti nella creazione di strategie per le API e nella definizione di casi di utilizzo.

Non esiste una singola definizione delle varie fasi della gestione delle API per l'intero ciclo di vita. Tuttavia, la maggior parte dei programmi delle API include le seguenti fasi:

1. Pianificazione e progettazione

La fase di progettazione iniziale del ciclo di vita delle API stabilisce una strategia per le API, definisce lo scopo delle API, identifica i potenziali casi di utilizzo e delinea le funzionalità delle API. La progettazione delle API richiede decisioni sull'architettura delle API: un piano dettagliato per la struttura delle API che determina il modo in cui interagirà con altri sistemi e componenti, specialmente nelle architetture di microservizi. Un contratto per le API delinea il comportamento previsto dell'API. La progettazione delle API include anche la creazione di specifiche e schemi, spesso utilizzando strumenti come OpenAPI per le API REST, SDL per le API GraphQL e Swagger per documentare e sottoporre a test diversi tipi di API.

2. Sviluppo

Durante la fase di sviluppo, i team addetti allo sviluppo codificano l'API in base alle specifiche descritte nel relativo contratto. I team configurano anche le API utilizzando varie impostazioni e parametri per definire le loro modalità di funzionamento e interazione con altri sistemi. Le configurazioni includono la specificazione di endpoint, metodi, meccanismi di autenticazione, limiti di velocità, formati di risposta e altri aspetti critici che garantiscono il funzionamento corretto e sicuro delle API.

3. Esecuzione dei test

Durante questa fase, le API vengono sottoposte a test rigorosi in un ambiente di runtime per identificare e correggere eventuali vulnerabilità o bug nel software. I test delle API garantiscono che le API soddisfino specifiche definite e funzionino con gli endpoint come previsto. I tester per il controllo della qualità sottopongono a test manuali le funzionalità, le performance e la sicurezza di ogni API. Le organizzazioni devono iniziare a testare le API nelle prime fasi del ciclo di sviluppo per:

• Assicurarsi che ogni API sia creata con adeguati controlli di sicurezza 

• Risolvere potenziali vulnerabilità, come errori di codifica e configurazioni errate prima che un'API raggiunga la fase di produzione

I test delle API possono anche essere eseguiti automaticamente da diverse aree geografiche o all'interno di pipeline CI/CD. Tra i vari test a cui vengono sottoposte le API, figurano i seguenti:

• Test contrattuali che garantiscono che l'API soddisfi le aspettative delineate durante la fase di progettazione

• Test delle performance che confermano che un'API può fornire risposte in un determinato periodo di tempo

• Test di sicurezza delle API per individuare e correggere le vulnerabilità delle API

Per ulteriori informazioni sui test di sicurezza delle API, potete consultare la sezione "Le funzionalità principali per la sicurezza delle API" riportata di seguito.

4. Implementazione

Una volta completati i test, le API vengono distribuite negli ambienti di produzione. I team addetti allo sviluppo possono utilizzare pipeline CI/CD e gateway API  per standardizzare e automatizzare i processi di distribuzione. Durante l'implementazione, le API pubbliche vengono messe a disposizione di utenti e sviluppatori esterni.

5. Monitoraggio e manutenzione

Dopo l'implementazione, le performance, la sicurezza e l'utilizzo delle API vengono monitorati continuamente. I tecnici DevOps possono configurare avvisi per informarli automaticamente quando le performance e la sicurezza delle API non soddisfano determinate soglie o metriche. In questa fase, vengono evidenziate vulnerabilità, errori e problemi di latenza della sicurezza che possono essere risolti tramite appositi interventi di manutenzione e aggiornamenti.

6. Controllo delle versioni e aggiornamenti

Quando vengono rilevati problemi all'interno delle API, i team addetti allo sviluppo e DevOps possono sviluppare e rilasciare nuove versioni delle API. Queste versioni devono essere gestite per garantire la compatibilità con le versioni precedenti.

7. Obsolescenza e ritiro

L'obsolescenza è il termine con cui si indica la sostituzione di un'API quando diventa obsoleta o quando problemi significativi richiedono una nuova versione. Durante l'obsolescenza, le parti interessate e gli utenti vengono avvisati e viene fornita una tempistica per il ritiro. Al momento del ritiro, i team DevOps rimuovono le API dall'uso attivo e garantiscono che tutte le dipendenze siano gestite in modo appropriato per evitare di creare problemi di funzionalità per gli utenti.

L'odierno panorama delle minacce richiede una soluzione completa per la sicurezza delle API in grado di fornire funzioni di individuazione, gestione dei sistemi, protezione del runtime e test della sicurezza delle API. Questo approccio completo è un complemento importante degli strumenti esistenti di un'organizzazione per la gestione e la protezione delle API durante il ciclo di vita delle API.

Individuazione delle API: la maggior parte delle organizzazioni ha poca (se non nessuna) visibilità sulla gran parte del traffico delle proprie API, spesso perché si dà per scontato che tutte le API vengano instradate tramite un gateway API. Eppure non è così. Molte delle API di un'organizzazione tipica non sono gestite (ad esempio, le API inattive che vengono dimenticate, ma sono ancora in esecuzione e ancora a contatto con dati sensibili). La vostra azienda è esposta ad una serie di rischi se non viene stilato un inventario completo e accurato. Queste sono le principali funzionalità richieste: 

• Individuazione e creazione di un inventario delle API, indipendentemente dalla configurazione o dal tipo

• Rilevamento delle API inattive, tradizionali e zombie

• Identificazione dei domini ombra dimenticati, trascurati o non conosciuti

• Eliminazione dei punti ciechi e individuazione dei potenziali percorsi degli attacchi 

Gestione del sistema delle API: dopo aver stilato un inventario completo delle API, è fondamentale capire quali tipi di dati vengono distribuiti tramite le API e come influiscono sulla vostra capacità di soddisfare i requisiti normativi. La gestione del livello delle API fornisce una visione completa sul traffico, sul codice e sulle configurazioni per poter valutare il livello di sicurezza delle API della vostra organizzazione. Queste sono le principali funzionalità richieste:

• Scansione automatica dell'infrastruttura per scoprire configurazioni errate e rischi nascosti

• Creazione di workflow personalizzati per informare le principali persone coinvolte circa le vulnerabilità

• Identificazione delle API e degli utenti interni che possono accedere ai dati sensibili

• Classificazione dei problemi rilevati in base ai livelli di gravità per dare priorità alla mitigazione

Sicurezza del runtime delle API: sicuramente, avete già familiarità con il concetto di dover "presupporre una violazione". Le violazioni e gli attacchi specifici delle API stanno raggiungendo lo stesso grado di inevitabilità. Per tutte le vostre API attualmente in fase di produzione, dovete essere in grado di rilevare e bloccare gli attacchi in tempo reale. Queste sono le principali funzionalità richieste:

• Monitoraggio della manomissione e della fuga di dati, della violazione delle policy, del comportamento sospetto e degli attacchi alle API

• Analisi del traffico delle API senza apportare ulteriori modifiche alla rete o utilizzare agenti difficili da installare

• Integrazione con i workflow esistenti (creazione di ticket, SIEM, ecc.) per avvisare i team addetti alla sicurezza/operazioni

• Prevenzione degli attacchi e degli abusi in tempo reale con una mitigazione parzialmente o totalmente automatizzata 

Esecuzione di test sulla sicurezza delle API: i team addetti allo sviluppo delle API sono sotto pressione perché devono lavorare il più rapidamente possibile. La velocità è essenziale per ogni applicazione sviluppata, il che rende più semplice il verificarsi di una vulnerabilità o un difetto di progettazione e, di conseguenza, più difficile che vengano rilevati. L'esecuzione di test sulle API in fase di sviluppo prima che entrino in produzione riduce notevolmente sia i rischi che i costi necessari per mitigare le loro vulnerabilità. Queste sono le principali funzionalità richieste:

• Esecuzione di un'ampia serie di test automatizzati che simulano il traffico dannoso

• Individuazione delle vulnerabilità prima che le API entrino in fase di produzione per ridurre il rischio di un attacco

• Verifica delle specifiche delle API sulla base delle regole e delle policy di governance stabilite

• Esecuzione di test sulla sicurezza delle API on-demand o come parte di una pipeline CI/CD

Un'efficace gestione del ciclo di vita delle API offre alle organizzazioni e ai team numerosi vantaggi significativi.

• API di alta qualità: un'adeguata gestione del ciclo di vita garantisce che le API siano ben progettate e sicure e che soddisfino le esigenze degli utenti.

• Solida sicurezza delle API: la gestione del ciclo di vita consente ai team di migliorare la sicurezza delle API identificando e correggendo le vulnerabilità delle API per impedire ai criminali di utilizzare le API come vettore di attacco.

• Sviluppo efficiente: la gestione del ciclo di vita della qualità semplifica il processo di sviluppo, consentendo ai team di produrre nuove API e iterazioni più rapidamente.

• Performance migliori: il monitoraggio continuo nel ciclo di vita delle API aiuta a ottimizzare le performance delle API.

• Controllo delle versioni: la gestione del ciclo di vita delle API consente ai team di aggiornare facilmente le API alle nuove versioni o di eseguire il rollback alle versioni precedenti, se necessario.

La gestione del ciclo di vita delle API può rappresentare per i team IT una serie di sfide.

• Sicurezza: poiché le API spesso espongono dati sensibili (e spesso non sono adeguatamente protette) sono diventate uno dei vettori di attacco preferiti dai criminali informatici. Per prevenire le minacce, i team addetti alla sicurezza devono mettere in atto apposite funzionalità per limitare la velocità, eseguire un'autenticazione affidabile e identificare/eliminare eventuali vulnerabilità di sicurezza presenti nel codice.

• Versioning: i team devono garantire che ogni nuova versione di un'API sia retrocompatibile per evitare di creare problemi per le integrazioni esistenti.

• Documentazione: mantenere una documentazione aggiornata è essenziale per sviluppatori e parti interessate che si affidano alle API. È facile trascurare questa attività nell'urgenza dei team di sviluppare e implementare nuove versioni.

I team IT possono utilizzare una varietà di soluzioni di gestione delle API durante il ciclo di vita delle API.

• Piattaforme per la gestione delle API: piattaforme come AWS API Gateway e Microsoft Azure API Management forniscono soluzioni complete per la gestione, la protezione e il monitoraggio dell'ecosistema delle API.

• Strumenti di progettazione delle API: soluzioni come Swagger e OpenAPI forniscono strumenti per la creazione di specifiche e documentazione delle API.

• Strumenti di automazione: durante i test e l'implementazione delle API, strumenti come Jenkins o GitLab CI/CD possono semplificare i workflow.

• Analisi delle API: piattaforme come Google Analytics per le API monitorano l'utilizzo, le performance e le metriche delle API.

• Portali per sviluppatori: forniscono un hub centralizzato per la documentazione, i test e l'engagement della community delle API.