deardaniel/secdata-raw huggingface dataset:
OWASP API Security Top 10: 0xd0 about data

# Methodik und Daten

## Überblick

Die AppSec-Branche hatte sich bisher nicht speziell auf die neueste Architektur von Anwendungen, in denen APIs eine wichtige Rolle spielen fokusiert. Deshalb wäre eine
Liste der zehn kritischsten API-Sicherheitsrisiken auf der Grundlage eines öffentlichen Datenaufrufs zu erstellen, eine schwierige Aufgabe gewesen. Obwohl es keinen öffentlichen Datenaufruf gab, basiert die
Top-10-Liste auf öffentlich verfügbaren Daten, Beiträgen von Sicherheitsexperten und offene Diskussionen mit der Community.

## Methodik

In der ersten Phase wurden öffentlich verfügbare Daten über Sicherheitsvorfälle mit APIs
von einer Gruppe von Sicherheitsexperten gesammelt, geprüft und kategorisiert. Solche
Daten wurden innerhalb eines Zeitraums von einem Jahr von Bug Bounty-Plattformen und Schwachstellendatenbanken gesammelt. Sie wurden für statistische Zwecke verwendet.

In der nächsten Phase wurden Sicherheitsexperten mit Erfahrung in Penetrationstests
gebeten, ihre eigene Top-10-Liste zusammenzustellen.

Zur Durchführung der Risikoanalyse wurde die [OWASP Risk Rating Methodology][1] verwendet. Die
Bewertungen wurden von den Sicherheitsexperten diskutiert und überprüft. Für
Überlegungen zu diesen Themen finden Sie im Abschnitt [API-Sicherheitsrisiken][2].

Der erste Entwurf der OWASP API Security Top 10 2019 entstand aus einem Konsens zwischen den statistischen Ergebnissen aus Phase eins und den Listen der Sicherheitsexperten. Dieser Entwurf wurde dann einer weiteren Gruppe von Sicherheitsexperten mit einschlägiger Erfahrung im Bereich der API-Sicherheit
weitergeleitet.

Die OWASP API Security Top 10 2019 wurde erstmals auf der OWASP Global AppSec Tel Aviv Veranstaltung (Mai 2019) vorgestellt. Seitdem steht sie auf GitHub für öffentliche Diskussionen und Beiträge zur Verfügung.

Die Liste der Mitwirkenden ist im Abschnitt [Acknowledgments][3] verfügbar.

[1]: https://www.owasp.org/index.php/OWASP_Risk_Rating_Methodology
[2]: ./0x10-api-security-risks.md
[3]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x00 header

---
title: ''
---

![OWASP LOGO](./images/owasp-logo.png)

# OWASP API Security Top 10 2019

Die 10 kritischsten Sicherheitsrisiken für APIs

27 Januar 2023

![WASP Logo URL TBA](./images/front-wasp.png)

| | | |
| - | - | - |
| https://owasp.org | This work is licensed under a [Creative Commons Attribution-ShareAlike 4.0 International License][1] | ![Creative Commons License Logo](images/front-cc.png) |

[1]: http://creativecommons.org/licenses/by-sa/4.0/
OWASP API Security Top 10: 0x02 foreword

# Vorwort

Ein fundamentales Element der Innovation in der heutigen App-getriebenen Welt ist die
Anwendungsprogrammierschnittstelle (API). Von Bankenwesen, dem Einzelhandel 
bis hin zu IoT-Systemen, autonomen Fahrzeugen und intelligenten Städten - APIs sind ein wichtiger Bestandteil der
modernen mobilen und Webanwendungen. APIs sind in alle modernen externen und internen Anwendungen zu finden.

APIs stellen von Natur aus Anwendungslogik und sensible Daten wie personenbezogene
Daten externen Dritten zur Verfügung. Deshalb sind APIs zunehmend zu
einem Ziel für Angreifer geworden. Ohne sichere APIs wäre eine schnelle Innovation
unmöglich.

Obwohl eine umfassendere Top-10-Liste der Sicherheitsrisiken von Webanwendungen in Teilen anwendbar ist, ist aufgrund 
ihrer eigenen Besonderheiten eine API-spezifische Liste der Sicherheitsrisiken sinnvoll.
Die OWASP Top 10 API Security Risks konzentriert sich auf die Vermittlung von Strategien zur Behebung der gängigsten
Schwachstellen und Sicherheitsrisiken im Zusammenhang mit APIs.

Wenn Sie mit dem [OWASP Top 10 Project][1] vertraut sind, dann werden Sie die
Ähnlichkeiten zwischen diesen beiden Dokumenten feststellen. Diese Ähnlichkeiten ermöglichen eine schnelle Einarbeitung 
in diese Thematik. Wenn Sie die OWASP Top 10-Reihe noch nicht kennen, sollten Sie zuerst 
die Kapitel [Sicherheitsrisiken für APIs][2] und [Methodik und Daten][3] lesen
bevor Sie sich mit dieser Top-10-Liste befassen.

Sie können zu den OWASP API Security Top 10 mit Ihren Fragen, Kommentaren 
und Ideen in unserem GitHub-Projekt-Repository beitragen:

* https://github.com/OWASP/API-Security/issues
* https://github.com/OWASP/API-Security/blob/master/CONTRIBUTING.md

Sie können die OWASP API Security Top 10 hier finden:

* https://www.owasp.org/index.php/OWASP_API_Security_Project
* https://github.com/OWASP/API-Security

Wir danken allen Beteiligten, die dieses Projekt mit ihrem Engagement und ihren Beiträgen möglich gemacht haben.
Sie sind alle im Abschnitt [Danksagungen][4] aufgeführt. Vielen Dank!

[1]: https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project
[2]: ./0x10-api-security-risks.md
[3]: ./0xd0-about-data.md
[4]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x03 introduction

# Einleitung

## Willkommen bei der OWASP API Security Top 10 - 2019!

Willkommen zur ersten Ausgabe der OWASP API Security Top 10. Wenn Sie mit der OWASP Top 10-Serie vertraut sind, werden Sie die Ähnlichkeiten bemerken: Sie sind auf Lesbarkeit und Akzeptanz ausgelegt. Andernfalls sollten Sie einen Blick auf die [OWASP API Security Project wiki page][1] werfen, bevor Sie sich näher mit den wichtigsten API-Sicherheitsrisiken auseinandersetzen.

APIs spielen eine sehr wichtige Rolle in der Architektur moderner Anwendungen. Da Sicherheitsbewusstsein und Innovation unterschiedliche Geschwindigkeiten haben, ist es wichtig, sich auf allgemeine API-Schwächen zu konzentrieren.

Das primäre Ziel der OWASP API Security Top 10 ist es, 
die an der Entwicklung und Wartung von APIs beteiligt sind, zum Beispiel Entwickler, Designer Architekten, Manager oder Organisationen zu bilden.

Im Abschnitt [Methodik und Daten][2] können Sie mehr darüber lesen, wie diese erste Ausgabe erstellt wurde. In künftigen Versionen wollen wir die Sicherheitsbranche einbeziehen, mit einem öffentlichen Aufruf zur Datenerhebung. Für den Moment ermutigen wir jeden dazu sich mit Fragen, Kommentaren und Ideen an unser [GitHub-Repository][3] oder unsere
[Mailingliste][4] zuwenden.

[1]: https://www.owasp.org/index.php/OWASP_API_Security_Project
[2]: ./0xd0-about-data.md
[3]: https://github.com/OWASP/API-Security
[4]: https://groups.google.com/a/owasp.org/forum/#!forum/api-security-project
OWASP API Security Top 10: 0xd1 acknowledgments

# Danksagungen

## Danksagungen an einzelne Mitwirkende

Wir möchten uns bei den folgenden Personen bedanken, die öffentlich auf GitHub
oder über andere Wege zu diesem Projekt beigetragen haben:

* 007divyachawla
* Abid Khan
* Adam Fisher
* anotherik
* bkimminich
* caseysoftware
* Chris Westphal
* dsopas
* DSotnikov
* emilva
* ErezYalon
* flascelles
* Guillaume Benats
* IgorSasovets
* Inonshk
* JonnySchnittger
* jmanico
* jmdx
* Keith Casey
* kozmic
* LauraRosePorter
* Matthieu Estrade
* nathanawmk
* PauloASilva
* pentagramz
* philippederyck
* pleothaud
* r00ter
* Raj kumar
* Sagar Popat
* Stephen Gates
* thomaskonrad
* xycloops123
* Nick Lorenz
* Moritz Gruber
* Tim Barsch (domai-tb)
* Steffen Thamm
OWASP API Security Top 10: 0x04 release notes

# Erläuterungen zur Veröffentlichung

Dies ist die erste Ausgabe der OWASP API Security Top 10, die regelmäßig, alle drei 
oder vier Jahre, aktualisiert werden soll.

Im Gegensatz zu dieser Version wollen wir in zukünftigen Versionen einen öffentlichen Aufruf zur Datenerhebung veröffentlichen,
und die Sicherheitsbranche in unsere Initiative miteinbeziehen. In dem Kapitel [Methodik und Daten][1]
finden Sie weitere Einzelheiten darüber, wie diese Version erstellt wurde. Detaillierte 
Informationen zu den Sicherheitsrisiken finden Sie im Kapitel [Sicherheitsrisiken für APIs][2].

Es ist wichtig zu verstehen, dass sich in den letzten Jahren die Architektur von 
Anwendungen grundsätzlich verändert hat. Derzeit spielen APIs eine sehr wichtige Rolle 
in dieser neuen Infrastruktur aus Microservices, Single Page Applications (SPAs),
mobilen Anwendungen und IoT-Systemen.

Die OWASP API Security Top 10 war eine notwendige Maßnahme, um das Bewusstsein für
moderne API-Sicherheitsprobleme zu schaffen. Sie war nur möglich durch den großen Einsatz von
zahlreichen ehrenamtlichen Helfern, welche alle im Abschnitt [Danksagungen][3] aufgeführt sind.
Vielen Dank!

[1]: ./0xd0-about-data.md
[2]: ./0x10-api-security-risks.md
[3]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x10 api security risks

# Sicherheitsrisiken für APIs

Zur Durchführung der Risikoanalyse wurde die [OWASP Risk Rating Methodology][1] verwendet.

Die nachstehende Tabelle fasst die mit der Risikobewertung verbundene Terminologie zusammen.

| Bedrohungsakteure | Ausnutzbarkeit | Schwachstellenprävalenz | Schwachstellendetektierbarkeit | Technische Auswirkungen | Geschäftsauswirkungen |
| :-: | :-: | :-: | :-: | :-: | :-: |
| API-spezifisch | Leicht: **3** | Weit verbreitet **3** | Leicht **3** | Schwer **3** | Unternehmensspezifisch |
| API-spezifisch | Durchschnittlich **2** | Häufig **2** | Durchschnittlich **2** | Mäßig **2** | Unternehmensspezifisch |
| API-spezifisch | Schwer **1** | Schwer **1** | Schwer **1** | Leicht **1** | Unternehmensspezifisch |

**Anmerkung**: Bei diesem Ansatz wird die Wahrscheinlichkeit des Bedrohungserregers nicht berücksichtigt. Er berücksichtigt auch keine der verschiedenen technischen Details, die mit Ihrer speziellen Anwendung verbunden sind. Jeder dieser Faktoren kann die Gesamtwahrscheinlichkeit, dass ein Angreifer eine bestimmte Schwachstelle findet und ausnutzt beeinflussen. Diese Bewertung berücksichtigt nicht die tatsächlichen Auswirkungen auf Ihr
Unternehmen. Ihr Unternehmen muss entscheiden, wie viele Sicherheitsrisiken durch
Anwendungen und APIs das Unternehmen bereit ist, angesichts der Unternehmenskultur, Branche und regulatorischem Umfelds zu akzeptieren. Der Zweck der OWASP API Security Top
10 ist es nicht, diese Risikoanalyse für Sie durchzuführen.

## Referenzen

### OWASP

* [OWASP Risk Rating Methodology][1]
* [Article on Threat/Risk Modeling][2]

### External

* [ISO 31000: Risk Management Std][3]
* [ISO 27001: ISMS][4]
* [NIST Cyber Framework (US)][5]
* [ASD Strategic Mitigations (AU)][6]
* [NIST CVSS 3.0][7]
* [Microsoft Threat Modeling Tool][8]

[1]: https://www.owasp.org/index.php/OWASP_Risk_Rating_Methodology
[2]: https://www.owasp.org/index.php/Threat_Risk_Modeling
[3]: https://www.iso.org/iso-31000-risk-management.html
[4]: https://www.iso.org/isoiec-27001-information-security.html
[5]: https://www.nist.gov/cyberframework
[6]: https://www.asd.gov.au/infosec/mitigationstrategies.htm
[7]: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
[8]: https://www.microsoft.com/en-us/download/details.aspx?id=49168
OWASP API Security Top 10: 0x00 toc

# Inhaltsverzeichnis

* [Inhaltsverzeichnis](0x00-toc.md)
* [Über das OWASP](0x01-about-owasp.md)
* [Vorwort](0x02-foreword.md)
* [Einleitung](0x03-introduction.md)
* [Erläuterungen zur Veröffentlichung](0x04-release-notes.md)
* [Sicherheitsrisiken für APIs](0x10-api-security-risks.md)
* [OWASP Top 10 API Security Risks – 2019](0x11-t10.md)
* [API1:2019 Broken Object Level Authorization](0xa1-broken-object-level-authorization.md)
* [API2:2019 Broken User Authentication](0xa2-broken-user-authentication.md)
* [API3:2019 Excessive Data Exposure](0xa3-excessive-data-exposure.md)
* [API4:2019 Lack of Resources & Rate Limiting](0xa4-lack-of-resources-and-rate-limiting.md)
* [API5:2019 Broken Function Level Authorization](0xa5-broken-function-level-authorization.md)
* [API6:2019 Mass Assignment](0xa6-mass-assignment.md)
* [API7:2019 Security Misconfiguration](0xa7-security-misconfiguration.md)
* [API8:2019 Injection](0xa8-injection.md)
* [API9:2019 Improper Assets Management](0xa9-improper-assets-management.md)
* [API10:2019 Insufficient Logging & Monitoring](0xaa-insufficient-logging-monitoring.md)
* [Was kommt als nächstes auf die Entwickler zu?](0xb0-next-devs.md)
* [Was kommt als nächstes auf die DevSecOps zu?](0xb1-next-devsecops.md)
* [Methodik und Daten](0xd0-about-data.md)
* [Danksagungen](0xd1-acknowledgments.md)
OWASP API Security Top 10: 0x01 about owasp

# Über das OWASP

Das Open Web Application Security Project (OWASP) ist eine offene Gemeinschaft, deren Ziel es ist Organisationen zu ermöglichen, Anwendungen und APIs zu entwickeln, zu erwerben und zu pflegen, denen man vertrauen kann.

Bei OWASP finden Sie freie und offene:

* Tools und Standards für die Anwendungssicherheit.
* Vollständige Bücher über Anwendungssicherheitstests, sichere Codeentwicklung und Sicherheitsüberprüfungen von Code.
* Präsentationen und [Videos][1].
* [Cheat sheets][2] zu vielen gängigen Themen.
* Standard-Sicherheitskontrollen und Bibliotheken.
* [Örtliche Chapter weltweit][3].
* Modernste Forschung.
* Umfangreiche [Konferenzen weltweit][4].
* [Mailinglisten][5].

Lerne mehr darüber auf: [https://www.owasp.org][6].

Alle OWASP-Tools, -Dokumente, -Videos, -Präsentationen und -Kapitel sind kostenlos und für jeden zugänglich, der an der Verbesserung von Anwendungssicherheit interessiert ist.


Wir plädieren dafür, die Anwendungssicherheit als ein Mensch-, Prozess- und
Technologieproblem zu betrachten, da die effektivsten Ansätze zur Anwendungssicherheit Verbesserungen in diesen Bereichen liegen.

Die OWASP ist eine neue Art von Organisation. Unsere Freiheit von kommerziellen Zwängen ermöglicht es uns, unvoreingenommene, praktische und kostengünstige Informationen über Anwendungssicherheit zuliefern.

OWASP ist nicht mit einem Technologieunternehmen verbunden, obwohl wir den
Einsatz kommerzieller Sicherheitstechnologien unterstützen. Die OWASP erstellt viele Arten von Materialien in einer gemeinschaftlichen, transparenten und offenen Weise.

Die OWASP Foundation ist die gemeinnützige Einrichtung, die den langfristigen Erfolg des Projekts sicherstellt. Fast jeder, der mit OWASP zu tun hat, ist ein Freiwilliger, einschließlich des OWASP-Vorstands, der Chapter-Leiter, der Projektleiter und der Projektmitglieder. Wir unterstützen innovative Sicherheitsforschung mit Zuschüssen und Infrastruktur.

Tritt uns bei!

## Copyright und Lizenz

![license](images/license.png)

Copyright © 2003-2019 Die OWASP-Stiftung. Dieses Dokument ist veröffentlicht unter der [Creative Commons Attribution Share-Alike 4.0 Lizenz][7]. Bei jeder Wiederverwendung oder Weitergabe müssen Sie anderen die Lizenzbedingungen dieser Arbeit deutlich machen.

[1]: https://www.youtube.com/user/OWASPGLOBAL
[2]: https://www.owasp.org/index.php/OWASP_Cheat_Sheet_Series
[3]: https://www.owasp.org/index.php/OWASP_Chapter
[4]: https://www.owasp.org/index.php/Category:OWASP_AppSec_Conference
[5]: https://lists.owasp.org/mailman/listinfo
[6]: https://www.owasp.org
[7]: http://creativecommons.org/licenses/by-sa/4.0/
OWASP API Security Top 10: 0x00 notice

# اطلاعیه

این نسخه متنی OWASP API Security Top 10 است. به عنوان مرجع برای نسخه رسمی منتشر شده، در قالب یک سند قابل حمل  (PDF) استفاده می شود.

مشارکت در پروژه مانند نظرات، اصلاحات یا ترجمه ها باید در اینجا انجام شود. برای جزئیات بیشتر در مورد نحوه مشارکت، لطفاً به CONTRIBUTING.md مراجعه فرمایید.

* Erez Yallon
* Inon Shkedy
OWASP API Security Top 10: 0xd0 about data

# متدلوژی و داده

## بررسی اجمالی

از آنجا که صنعت AppSec مشخصا بر امنیت اپلیکیشن‌‌های معماری نوین که در آنها API نقشی حیاتی دارد، تمرکز ننموده، ایجاد لیستی از ده ریسک امنیتی بحرانی امنیت API بر مبنای فراخوان عمومی کاری سخت خواهد بود. علیرغم اینکه فراخوانی برای داده‌‌های عمومی داده نشده، اما لیست فعلی بر مبنای داده‌های در دسترس عموم، مشارکت کارشناسان امنیتی و نظرات متخصصان حوزه امنیت، تهیه گردیده است.

## متدلوژی

در فاز اول، داده‌‌های در دسترس عموم در حوزه رخداده‌‌های مرتبط با امنیت API توسط گروهی از متخصصین امنیت جمع آوری، بازبینی و دسته بندی شدند. این داده‌‌ها از پلتفرم‌‌های شکار باگ  و پایگاه‌‌های داده آسیب‌پذیری در یک چارچوب زمانی یک ساله به منظور تحلیل آماری جمع آوری شده اند.

در فاز بعد، از متخصصین امنیت با سویه عملیاتی و تجربه تست نفوذ خواسته شد تا آنان نیز لیست ده ریسک امنیتی بحرانی API از منظر خود را با گروه به اشتراک گذارند.

به منظور انجام فرایند تحلیل ریسک از [متدلوژی رتبه بندی ریسک OWASP][1] استفاده و نتایج آن نیز توسط متخصصین امنیتی بازبینی قرار گرفت. برای مطالعه بیشتر در این حوزه به بخش [ریسک‌‌های امنیتی API][2] مراجعه نمایید.

پیش نویس اولیه ده ریسک امنیتی بحرانی APIها در 2019 از منظر OWASP از اجماع بین نتایج آماری فاز اول و لیست مدنظر متخصصین بدست آمده است و سپس به منظور بازبینی مجدد در اختیار گروه دیگری از متخصصین (با تجربه مرتبط در حوزه امنیت API) قرار گرفته است.

مستند ده ریسک امنیتی بحرانی APIها در 2019 از منظر OWASP اولین بار در رویداد جهانیOWASP AppSec در تل‌آویو (می 2019) ارائه شده و پس از آن برای بحث و مشارکت عموم در GitHub قرار گرفت.

لیست مشارکت کنندگان در بخش [سپاسگزاری‌‌ها][3] قابل مشاهده است.

[1]: https://www.owasp.org/index.php/OWASP_Risk_Rating_Methodology
[2]: ./0x10-api-security-risks.md
[3]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x00 header

---
title: ''
---

![OWASP LOGO](images/owasp-logo.png)

# OWASP API Security Top 10 2019

10 ریسک بحرانی امنیت API از منظر OWASP - 2019

29 می 2019

![WASP Logo URL TBA](images/front-wasp.png)

| | | |
| - | - | - |
| https://owasp.org | <div dir="rtl" align='right'> این اثر تحت مجوز زیر توسعه داده شده است: </div> [Creative Commons Attribution-ShareAlike 4.0 International License][1] | ![Creative Commons License Logo](images/front-cc.png) |

[1]: https://creativecommons.org/licenses/by-sa/4.0/
OWASP API Security Top 10: 0x02 foreword

# پیش‌گفتار

در دنیای مبتنی بر App امروز، یکی از ابعاد بنیادین نوآوری واسط برنامه نویسی اپلیکیشن  یا همان APIها هستند. از بانک‌‌ها گرفته تا خرده فروشی‌‌ها، حوزه حمل نقل، اینترنت اشیا، وسائل نقلیه خودران و شهرهای هوشمند، APIها بخشی حیاتی از اپلیکیشن‌‌های موبایل، وب و SaaS به شمار می‌آیند.

ذاتا APIها منطق اپلیکیشن و داده‌‌های حساسی PII (از قبیل داده‌‌هایی که به تنهایی و بدون نیاز به داده اضافی دیگر، هویت یک کاربر را عیان می کنند نظیر شماره ملی) را در معرض دید قرارداده و در نتیجه، به طور روزافزون توجه بخش بیشتری از مهاجمین را به خود جلب می‌نمایند. بدون داشتن APIهایی ایمن، توسعه سریع نوآوری‌‌های فناورانه، امکان پذیر نخواهد بود.

اگر چه کماکان می‌توان از لیست ده آسیب‌پذیری امنیتی بحرانی وب اپلیکیشن‌‌ها نیز برای امنیت APIها بهره برد، اما با توجه به ماهیت خاص APIها نیاز به لیستی از تهدیدات امنیتی مختص آنها احساس می‌شود. مقوله امنیت API بر راهکارها و استراتژی‌‌های لازم برای فهم و رفع آسیب‌پذیری‌‌ها و تهدیدات امنیتی خاص و منحصر به APIها تمرکز دارد.

اگر با [پروژه OWASP Top 10][1] آشنایی داشته باشید، شباهت‌‌هایی بین آن و مستند پیش رو خواهید یافت: هر دو با نیت فهم آسان توسط مخاطب و قابلیت بکارگیری و انطباق در سازمان تهیه شده‌اند. در صورتی که با مجموعه‌‌های OWASP Top 10 آشنایی ندارید، بهتر است پیش از رفتن به سراغ لیست اصلی، بخش‌‌های [ریسک‌‌های امنیتی API][2] و [متدلوژی و داده][3] از همین مستند را مطالعه نمایید.

با پرسش‌‌ها، نظرات و ایده‌‌های خود در GitHub پروژه می توانید در توسعه OWASP API Security Top 10 مشارکت کنید:

* https://github.com/OWASP/API-Security/issues
* https://github.com/OWASP/API-Security/blob/master/CONTRIBUTING.md

در اینجا می توانید OWASP API Security Top 10 را بیابید:

* https://www.owasp.org/index.php/OWASP_API_Security_Project
* https://github.com/OWASP/API-Security

بدین وسیله از تمامی مشارکت کنندگان در این پروژه که با تلاش‌‌های خود در بوجود آمدن آن نقش داشته اند سپاسگزاریم. لیست تمامی آنها در [قسمت سپاسگزاری‌‌ها][4] قابل مشاهده است. متشکریم!

[1]: https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project
[2]: ./0x10-api-security-risks.md
[3]: ./0xd0-about-data.md
[4]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x03 introduction

# مقدمه

## به OWASP API Security Top 10 – 2019 خوش آمدید!

به اولین ویراست ده ‌‌آسیب‌پذیری برتر امنیت API خوش آمدید. اگر با پروژه OWASP Top 10 آشنایی داشته باشید، شباهت‌هایی بین آن و مستند پیش رو خواهید یافت: هر دو با نیت فهم آسان توسط مخاطب و قابلیت بکارگیری و انطباق در سازمان تهیه شده‌اند. در غیر این صورت، پیش از مطالعه عمیق‌تر ریسک‌‌های بحرانی امنیت API بهتر است [صفحه ویکی پروژه امنیت API][1] را مطالعه نمایید.

در معماری اپلیکیشن‌‌های مدرن امروزی API نقش خیلی مهمی دارد. از آنجا که آگاهی بخشی امنیتی و نوآوری در این حوزه گام‌‌های مختلفی دارد، تمرکز بر نقاط ضعف رایج APIها اهمیت زیادی خواهد داشت.

هدف اصلی مستند و پروژه ده ‌‌آسیب‌پذیری بحرانی امنیت API آموزش افراد دخیل در توسعه و نگهداری APIها از قبیل توسعه دهندگان، طراحان، معماران، مدیران و سازمان‌‌ها است.

در بخش [متدلوژی و داده][2]، اطلاعات بیشتری درباره نحوه ایجاد اولین نسخه از مستند حاضر خواهید یافت. در نسخه‌‌های آتی، جامعه امنیت را نیز دخیل نموده و به منظور دریافت داده‌‌های مرتبط، فراخوان عمومی خواهیم داد. در حال حاضر همگان را به مشارکت در [مخزن Github][3] یا [لیست پست الکترونیک][4] ما از طریق ارسال سوال، نظر و پیشنهاد تشویق می‌کنیم.

[1]: https://www.owasp.org/index.php/OWASP_API_Security_Project
[2]: ./0xd0-about-data.md
[3]: https://github.com/OWASP/API-Security
[4]: https://groups.google.com/a/owasp.org/forum/#!forum/api-security-project
OWASP API Security Top 10: 0xd1 acknowledgments

# سپاسگزاری‌ها

## سپاسگزاری از مشارکت کنندگان

بدینوسیله از تمامی مشارکت کنندگانی که به طور عمومی در GitHub  و به سایر طرق در توسعه این مستند نقش داشته‌اند تشکر می‌نماییم 

* 007divyachawla
* Abid Khan
* Adam Fisher
* anotherik
* bkimminich
* caseysoftware
* Chris Westphal
* dsopas
* DSotnikov
* emilva
* ErezYalon
* flascelles
* Guillaume Benats
* IgorSasovets
* Inonshk
* JonnySchnittger
* jmanico
* jmdx
* Keith Casey
* kozmic
* LauraRosePorter
* Matthieu Estrade
* Mr-Listener
* nathanawmk
* PauloASilva
* pentagramz
* philippederyck
* pleothaud
* r00ter
* Raj kumar
* RNPG
* Sagar Popat
* Stephen Gates
* This-is-neo
* thomaskonrad
* xycloops123
OWASP API Security Top 10: 0x04 release notes

# یادداشت

مستند پیش رو اولین ویراست ده ‌‌آسیب‌پذیری بحرانی امنیت API است و ما بنا برآن داریم که بصورت دوره‌ای، هر سه یا چهارسال یکبار، آن را بروزرسانی نماییم.

بر خلاف نسخه حاضر، در نسخه‌های آتی برای دریافت داده‌های عمومی فراخوان داده و صنعت امنیت سایبری را نیز در تلاش خود سهیم خواهیم کرد. برای آشنایی بیشتر با نحوه آماده سازی این مستند می‌توانید به بخش [متدولوژی و داده][1] مراجعه نمایید. همچنین جزئیات ریسک‌های امنیتی مرتبط در بخش [ریسک‌‌‌های امنیتی API][2] قابل مطالعه هستند.

فهم تغییرات اساسی در معماری اپلیکیشن‌ها در سالیان گذشته از اهمیت زیادی برخوردار است. امروره APIها نقشی کلیدی در معماری ریزسرویس‌ها ، اپلیکیشن‌های تک صفحه ای (SPA )، اپلیکیشن‌های موبایل، اینترنت اشیاء و ... دارند.

پروژه ده آسیب‌پذیری بحرانی امنیت API تلاشی ضروری برای آگاهی بخشی در حوزه مسائل امنیتی APIهای مدرن به شمار می‌رود که بدون تلاش‌های داوطلبانه افراد متعدد، که در بخش [سپاسگزاری‌ها][3] از تمامی آنان نام برده شده، به سرانجام رساندن آن امکان پذیر نبود. متشکریم!



[1]: ./0xd0-about-data.md
[2]: ./0x10-api-security-risks.md
[3]: ./0xd1-acknowledgments.md