Ketergantungan bisnis digital Indonesia terhadap API terus meningkat. Bank, fintech, penyedia pembayaran, e-wallet, marketplace, dan berbagai layanan digital mengandalkan API untuk menghubungkan sistem dan bertukar data.
Bertambahnya endpoint juga memperluas area yang perlu diamankan. Salah satu risiko yang mendapat perhatian dalam OWASP API Security Top 10 adalah Broken Object Level Authorization (BOLA), ketika sebuah API memastikan pengguna telah login tetapi gagal memastikan bahwa pengguna tersebut memang berhak mengakses objek atau data yang diminta.
Jenis kerentanan seperti ini tidak selalu mudah ditemukan melalui automated scanner karena respons API dapat terlihat valid dari sisi teknis. Pengujian membutuhkan pemahaman terhadap business logic, hak akses, dan hubungan antarobjek di dalam aplikasi.
Zentara melakukan pengujian terhadap REST, GraphQL, dan gRPC dengan mengacu pada risiko API Security Top 10, termasuk BOLA, Broken Function Level Authorization, mass assignment, dan penyalahgunaan schema. Certified testers melakukan validasi manual dan menghasilkan proof of concept yang dapat direproduksi.
Untuk kebutuhan pengujian yang lebih luas, perusahaan dapat menggabungkan API security testing dengan automated vulnerability assessment. Pendekatan ini membantu menggabungkan discovery berskala besar dengan validasi terhadap business logic yang membutuhkan analisis manusia.
Zentara juga menggunakan AVAS untuk melakukan assessment otomatis terhadap application dan integration layers. Menurut Zentara, full enterprise scan dapat selesai dalam waktu kurang dari 15 menit, sehingga assessment dapat dilakukan lebih dekat dengan siklus perubahan aplikasi.
Bagi perusahaan yang memproses data pribadi, keamanan API juga berkaitan dengan perlindungan data. API yang salah mengimplementasikan authorization dapat membuka akses terhadap data milik pengguna lain dan menciptakan risiko yang melampaui persoalan teknis aplikasi.
